S'assurer que journald est configuré pour écrire les journaux sur un disque persistant
Définit Storage=persistent afin que journald écrive les journaux dans /var/log/journal et qu'ils survivent aux redémarrages au lieu de ne résider qu'en mémoire volatile.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Domaine partiellement couvert par Pavois aujourd’hui, voir la couverture.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Avec le comportement par défaut auto/volatile, les journaux peuvent ne résider que dans /run et disparaître au redémarrage. Les logs contiennent des données forensiques précieuses : s'ils ne sont pas persistants, un plantage, une coupure de courant ou un redémarrage provoqué par un attaquant efface les preuves nécessaires à l'investigation.
Ce que vérifie Pavois
Pavois recherche dans /etc/systemd/journald.conf et les drop-ins journald.conf.d/ un Storage=persistent actif. journald fusionnant les drop-ins par-dessus le fichier de base, scanner les deux donne le mode de stockage effectif, un drop-in à persistent surcharge correctement un auto/volatile de base.
describe command('grep -rqiE \'^[[:space:]]*Storage[[:space:]]*=[[:space:]]*persistent\b\' /etc/systemd/journald.conf /etc/systemd/journald.conf.d/ 2>/dev/null && echo ok || echo ko') do
its('stdout.strip') { should eq 'ok' }
endComment vérifier qu’elle est appliquée
Exécutez grep -riE '^\s*Storage\s*=\s*persistent' /etc/systemd/journald.conf /etc/systemd/journald.conf.d/ et confirmez que /var/log/journal/ existe et contient des données (journalctl --disk-usage). Attendu : une ligne Storage=persistent correspondante et un /var/log/journal peuplé.
Inspecter et investiguer
Confirmez la persistance avec journalctl --disk-usage et listez les démarrages avec journalctl --list-boots, plusieurs démarrages passés prouvent que les logs survivent aux redémarrages. Le répertoire des journaux est /var/log/journal/ ; la config réside dans /etc/systemd/journald.conf et /etc/systemd/journald.conf.d/*.conf. Les redémarrages apparaissent via systemctl status systemd-journald.
Remédiation
Aucune remédiation automatique n'est fournie pour ce slug (remediation est vide) : appliquez manuellement. Ajoutez Storage=persistent sous [Journal] dans /etc/systemd/journald.conf.d/99-Pavois.conf, puis mkdir -p /var/log/journal et systemctl restart systemd-journald. (La règle journald-forwardtosyslog écrit ce même drop-in, incluant Storage=persistent, via pavois harden apply.)
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| content | [Journal] Storage=persistent |
|---|---|
| group | root |
| mode | 0644 |
| owner | root |
| path | /etc/systemd/journald.conf.d/99-pavois-storage.conf |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Des logs uniquement volatils signifient une perte de preuves forensiques après chaque redémarrage. Activer la persistance est peu risqué mais consomme du disque sous /var/log/journal. Précautions avant application : assurez-vous que /var (ou sa partition dédiée) dispose de marge et limitez la croissance avec SystemMaxUse=/SystemKeepFree= pour ne pas remplir la partition ; créez /var/log/journal avant le redémarrage afin que journald migre immédiatement. Redémarrer journald suspend brièvement les écritures de journaux.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 6.1.2.4, 6.2.2.4, 6.2.1.1.5 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.