Vérifier les permissions des fichiers dans /var/log/gdm
Garantit que le répertoire /var/log/gdm n'est ni lisible, ni modifiable, ni exécutable par les autres et n'est pas exécutable par le groupe, sans bits setuid/setgid/sticky.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /var/log/gdm contient les journaux du gestionnaire d'affichage GNOME (le démon de connexion graphique), y compris les détails de démarrage de session et les diagnostics X/Wayland pouvant exposer des noms d'utilisateurs, la configuration de l'affichage et des données de l'environnement local. S'il est lisible ou modifiable par les autres, un attaquant peut récolter ces informations ou altérer les preuves de connexion. L'accès devrait être restreint à root et au compte de service GDM.
Ce que vérifie Pavois
Pavois lit le mode effectif de l'inode de /var/log/gdm et vérifie l'absence d'accès pour les autres, l'absence d'exécution pour le groupe et l'absence de bits spéciaux. Lire le mode réel détecte la dérive introduite lorsque GDM (ou une installation/mise à jour de bureau) recrée le répertoire, ce qu'un manifeste de paquet statique ne refléterait pas. Ce chemin est l'emplacement des journaux GDM sur les agencements de la famille RHEL et les anciennes versions de GNOME (le only_if ignore les hôtes qui ne l'ont pas).
only_if { file('/var/log/gdm').exist? }
describe file('/var/log/gdm') do
it { should_not be_setuid }
it { should_not be_setgid }
it { should_not be_writable.by('other') }
it { should_not be_readable.by('other') }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U %G %a' /var/log/gdm. Attendu : propriétaire root, mode 750 ou plus strict, aucune lecture/écriture/exécution pour les autres.
Inspecter et investiguer
Les journaux de session GDM résident sous /var/log/gdm/ ; l'état du service du gestionnaire d'affichage est affiché par systemctl status gdm et journalctl -u gdm. Re-vérifiez le mode du répertoire après une mise à jour de paquet de bureau.
Remédiation
Aucune remédiation automatique n'est fournie pour cette règle. Restreignez manuellement : chown root:gdm /var/log/gdm && chmod 750 /var/log/gdm et restreignez les fichiers de journaux à l'intérieur avec chmod 640 /var/log/gdm/*.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| mode | 0750 |
|---|---|
| path | /var/log/gdm |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Des journaux GDM trop exposés divulguent des détails de session et d'environnement. Restreindre à root/gdm est sans danger sur les systèmes graphiques. Ce contrôle ne s'applique que là où GDM est installé (le only_if le protège), donc les serveurs sans interface graphique ne sont pas affectés. Précaution : laissez le groupe gdm traverser/lire là où il en a légitimement besoin, restreindre excessivement /var/log/gdm pourrait empêcher le gestionnaire d'affichage d'écrire ses journaux.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 6.1.4.1, 6.2.2.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.