Un démon de journalisation système est actif
Garantit qu'un démon de journalisation système, rsyslog ou syslog-ng, est installé et en cours d'exécution.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Domaine partiellement couvert par Pavois aujourd’hui, voir la couverture.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Un démon syslog actif (rsyslog ou syslog-ng) est nécessaire pour capturer, conserver et transférer les événements système et de sécurité. Sans démon de journalisation actif, les preuves d'intrusions, de pannes de service et de violations de politique sont perdues, ce qui compromet la réponse aux incidents, l'investigation et l'audit de conformité. La journalisation centralisée permet aussi une rétention hors-hôte, empêchant un attaquant d'effacer simplement les traces locales.
Ce que vérifie Pavois
Pavois vérifie l'état effectif du service : il parcourt rsyslog et syslog-ng et valide la règle dès que systemctl is-active signale l'un d'eux comme actif. Interroger systemd reflète si le démon est réellement opérationnel à l'instant présent, un paquet installé ou un fichier d'unité présent ne dit rien d'un service qui a échoué au démarrage ou qui est masqué.
describe command('for s in rsyslog syslog-ng; do systemctl is-active --quiet "$s" && { echo ok; exit 0; }; done; echo ko') do
its('stdout.strip') { should eq 'ok' }
endComment vérifier qu’elle est appliquée
systemctl is-active rsyslog(ousyslog-ng) doit renvoyeractive.systemctl status rsyslogdoit afficherrunning.logger -t test 'Pavois check'; tail -n1 /var/log/syslog(Debian/Ubuntu) ou/var/log/messages(RHEL) doit afficher la ligne de test.
Inspecter et investiguer
systemctl status rsyslog/systemctl status syslog-ngpour la santé du démon.journalctl -u rsyslogpour les démarrages/arrêts et erreurs du démon lui-même./var/log/syslogou/var/log/messagessont les fichiers que le démon produit.
Remédiation
Le plan de durcissement de Pavois utilise une ressource choose : il installe et active un démon de journalisation, avec rsyslog par défaut (paquet rsyslog, service rsyslog) et syslog-ng en alternative. Il installe le paquet, puis active et démarre le service afin que la journalisation soit immédiate et au démarrage. Appliquez avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| default | rsyslog |
|---|---|
| options | rsyslog: package: rsyslog, service: rsyslog, syslog-ng: package: syslog-ng, service: syslog-ng |
| resource | choose |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque faible, ajouter un démon syslog n'est pas perturbateur. Attention : ne pas exécuter rsyslog et syslog-ng simultanément, car ils se disputent les mêmes sockets et entrées ; choisissez-en un. Sur les images minimales/conteneurs qui s'appuient uniquement sur le journal systemd, installer rsyslog augmente l'usage disque de /var/log, assurez-vous que la rotation des journaux est configurée.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R71 | direct | 2.0 | haute |
| CIS | 6.1.3.2, 6.2.2.2 | direct | per OS, see the benchmark table | haute |
| DISA STIG | UBTU-22-652010, UBTU-24-100200 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.