Vérifier l'appartenance des fichiers dans /var/log/gdm3
S'assurer que chaque fichier sous /var/log/gdm3 appartient à root (UID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /var/log/gdm3 contient les journaux du gestionnaire d'affichage GNOME (GDM), qui peuvent inclure des détails de session, d'authentification et du serveur X. Si ces fichiers appartiennent à un utilisateur non-root, celui-ci pourrait altérer ou lire des données de journal sensibles ; restreindre l'appartenance à root préserve la fiabilité de la piste d'audit.
Ce que vérifie Pavois
Pavois exécute find -P /var/log/gdm3 -type f ! -user 0 (uniquement si le répertoire existe) et attend aucune sortie. Il inspecte l'appartenance effective des inodes réels plutôt que de se fier aux valeurs par défaut du paquet, ce qui détecte tout fichier de journal créé ou ré-attribué à l'exécution par GDM.
only_if { command('test -d /var/log/gdm3').exit_status.zero? }
describe command('timeout 60 find -P /var/log/gdm3 -type f ! -user 0 -print -quit 2>/dev/null') do
its('exit_status') { should_not cmp 124 } # timeout killed the scan: no evidence, not a pass
its('stdout.strip') { should eq '' }
endComment vérifier qu’elle est appliquée
Exécutez find -P /var/log/gdm3 -type f ! -user 0, il ne doit rien afficher. Toute ligne affichée correspond à un fichier de journal n'appartenant pas à root à corriger.
Inspecter et investiguer
Listez les fichiers fautifs avec find -P /var/log/gdm3 -type f ! -user 0 -printf '%u %p\n'. Les journaux de GDM eux-mêmes s'y trouvent (par ex. :0.log) ; les événements du service de gestionnaire d'affichage se consultent avec journalctl -u gdm3.
Remédiation
Il n'existe aucun plan de durcissement automatisé pour cette règle. Appliquez-la manuellement après examen : find -P /var/log/gdm3 -type f ! -user 0 -exec chown root {} +. (Cette règle ne concerne que les systèmes dotés d'une session graphique / de GDM installé.)
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| command | # Set root ownership recursively under the gdm log dir (only if it exists): [ -d /var/log/gdm ] && find /var/log/gdm -print0 | xargs -0 -r chown root: || echo 'no /var/log/gdm' |
|---|---|
| reason | recursive ownership fix under /var/log/gdm, verify the service is present and review |
| resource | manual |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Ce qui peut casser : quasiment rien, GDM continue d'écrire ses journaux quel que soit le propriétaire. Précautions : examinez les fichiers avant de les ré-attribuer ; un propriétaire non-root ici peut indiquer un lancement anormal de GDM ou une rotation de journaux mal configurée. Sur les serveurs sans interface graphique et sans GDM, le répertoire est absent et la règle est automatiquement ignorée (only_if).
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 6.1.4.1, 6.2.2.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.