Vérifier les permissions des fichiers dans /var/log/gdm3
Garantit que le répertoire /var/log/gdm3 n'est ni lisible, ni modifiable, ni exécutable par les autres et n'est pas exécutable par le groupe, sans bits setuid/setgid/sticky.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /var/log/gdm3 contient les journaux du gestionnaire d'affichage GNOME (le démon de connexion graphique), y compris les détails de démarrage de session et les diagnostics X/Wayland pouvant exposer des noms d'utilisateurs, la configuration de l'affichage et des données de l'environnement local. S'il est lisible ou modifiable par les autres, un attaquant peut récolter ces informations ou altérer les preuves de connexion. L'accès devrait être restreint à root et au compte de service GDM.
Ce que vérifie Pavois
Pavois lit le mode effectif de l'inode de /var/log/gdm3 et vérifie l'absence d'accès pour les autres, l'absence d'exécution pour le groupe et l'absence de bits spéciaux. Lire le mode réel détecte la dérive introduite lorsque GDM (ou une installation/mise à jour de bureau) recrée le répertoire, ce qu'un manifeste de paquet statique ne refléterait pas.
only_if { file('/var/log/gdm3').exist? }
describe file('/var/log/gdm3') do
it { should_not be_setuid }
it { should_not be_setgid }
it { should_not be_writable.by('other') }
it { should_not be_readable.by('other') }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U %G %a' /var/log/gdm3. Attendu : propriétaire root, mode 750 ou plus strict, aucune lecture/écriture/exécution pour les autres.
Inspecter et investiguer
Les journaux de session GDM résident sous /var/log/gdm3/ ; l'état du service du gestionnaire d'affichage est affiché par systemctl status gdm3 et journalctl -u gdm3. Re-vérifiez le mode du répertoire après une mise à jour de paquet de bureau.
Remédiation
Aucune remédiation automatique n'est fournie pour cette règle. Restreignez manuellement : chown root:gdm /var/log/gdm3 && chmod 750 /var/log/gdm3 et restreignez les fichiers de journaux à l'intérieur avec chmod 640 /var/log/gdm3/*.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| mode | 0750 |
|---|---|
| path | /var/log/gdm3 |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Des journaux GDM trop exposés divulguent des détails de session et d'environnement. Restreindre à root/gdm est sans danger sur les systèmes graphiques. Ce contrôle ne s'applique que là où GDM est installé (le only_if le protège), donc les serveurs sans interface graphique ne sont pas affectés. Précaution : laissez le groupe gdm traverser/lire là où il en a légitimement besoin, restreindre excessivement /var/log/gdm3 pourrait empêcher le gestionnaire d'affichage d'écrire ses journaux.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 6.1.4.1, 6.2.2.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.