Vérifier les permissions du fichier group
Garantit que /etc/group n'est pas modifiable par le groupe ou les autres et ne porte aucun bit exécutable, setuid, setgid ou sticky (mode attendu 0644 root:root).
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/group définit les groupes et leurs appartenances qui régissent une grande part du contrôle d'accès du système. Il est lisible par tous par conception (les programmes résolvent les noms de groupes), mais il ne doit pas être modifiable par le groupe ou les autres : quiconque peut l'écrire pourrait s'ajouter à sudo, wheel, docker ou shadow et obtenir les privilèges root. Restreindre l'écriture à root préserve l'intégrité de l'autorisation par groupes.
Ce que vérifie Pavois
Pavois lit les permissions réelles de l'inode /etc/group avec la ressource InSpec file (un stat), sous only_if. La lecture par tous est autorisée (le fichier est destiné à être lisible), mais l'écriture groupe, l'écriture autres et tout bit exécutable/setuid/setgid/sticky font échouer la règle, exigeant de fait 0644 root:root. Contrôler les permissions réelles détecte une erreur de chmod ou une mauvaise restauration de sauvegarde qu'une hypothèse de défaut de paquet manquerait.
only_if { file('/etc/group').exist? }
describe file('/etc/group') do
it { should_not be_executable.by('owner') }
it { should_not be_setuid }
it { should_not be_executable.by('group') }
it { should_not be_writable.by('group') }
it { should_not be_setgid }
it { should_not be_executable.by('other') }
it { should_not be_writable.by('other') }
it { should_not be_sticky }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%a %U %G' /etc/group. La sortie attendue est le mode 644 appartenant à root root, soit 644 root root. Tout droit d'écriture groupe ou autres, ou bit spécial, fait échouer la règle.
Inspecter et investiguer
Les changements de groupes se font normalement via groupadd/gpasswd/usermod, qui consignent dans /var/log/auth.log (Debian/Ubuntu) ou /var/log/secure (RHEL). Utilisez getent group pour lister les groupes effectifs et stat /etc/group pour confirmer les permissions. Si auditd surveille /etc/group, les modifications apparaissent dans /var/log/audit/audit.log.
Remédiation
Aucune remédiation automatique n'est définie ; appliquez-la manuellement : chmod u-x,g-wx,o-wx /etc/group && chown root:root /etc/group (cible 0644 root:root). Aucun redémarrage de service n'est nécessaire ; les nouvelles connexions voient immédiatement les permissions corrigées.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| mode | 0644 |
|---|---|
| path | /etc/group |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Rétablir 0644 root:root est très peu risqué, c'est le mode standard attendu par tous les outils. Ne supprimez pas la lecture par tous : des utilitaires comme ls -l et id résolvent les noms de groupes via ce fichier, et en retirer la lecture peut casser la résolution de noms et les connexions. Conservez le propriétaire root. Retirer l'écriture groupe/autres ne présente aucun risque de blocage. Laisser le fichier modifiable par un non-root constitue une voie directe d'élévation de privilèges.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
| CIS | 2.2.6, 7.1.3 | direct | per OS, see the benchmark table | haute |
| NIST | AC-6(1), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.