Placer /var/log/audit sur une partition distincte
Monte /var/log/audit sur un système de fichiers dédié afin que la piste d'audit dispose d'un espace garanti et ne puisse être perturbée par d'autres fichiers.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Placer /var/log/audit sur sa propre partition sépare les enregistrements d'audit de tous les autres fichiers et, surtout, garantit de l'espace pour l'audit. Si les journaux d'audit partageaient une partition qui se remplissait, auditd pourrait s'arrêter ou, selon sa politique de disque plein, le noyau pourrait paniquer ou stopper le système. Une partition dédiée préserve la piste d'audit et isole une saturation des journaux du reste de l'hôte.
Ce que vérifie Pavois
Pavois vérifie la table de montage effective via la ressource mount('/var/log/audit') (findmnt / /proc/self/mountinfo), et non /etc/fstab. fstab n'exprime qu'une intention ; un montage peut avoir échoué au démarrage ou été surchargé par un montage imbriqué ou une unité systemd .mount. Interroger l'état réel du noyau confirme que le répertoire d'audit est réellement sur son propre système de fichiers.
describe mount('/var/log/audit') do
it { should be_mounted }
endComment vérifier qu’elle est appliquée
Exécutez findmnt /var/log/audit. Une ligne renvoyée confirme un système de fichiers dédié. Une sortie vide signifie qu'il retombe sur /var/log, /var ou /, et la règle échoue.
Inspecter et investiguer
Utilisez findmnt /var/log/audit et df -h /var/log/audit pour confirmer le montage et l'espace libre. Le sous-système d'audit écrit lui-même dans /var/log/audit/audit.log ; le comportement en cas de disque plein est régi par space_left_action / admin_space_left_action dans /etc/audit/auditd.conf.
Remédiation
Il n'existe aucun plan de durcissement automatisé : créer cette partition nécessite un repartitionnement, impossible à réaliser sans risque sur un système en fonctionnement. Appliquez-la manuellement, idéalement à l'installation, en allouant une partition ou un volume LVM dédié à /var/log/audit et en l'ajoutant à /etc/fstab.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| command | # /var/log/audit should be its OWN filesystem (isolation + mount options). This needs (re)partitioning , # offline disk/LVM work, not a safe runtime change. findmnt /var/log/audit >/dev/null 2>&1 && echo '/var/log/audit is already a mount point' || echo '/var/log/audit is NOT separate' # Then: dedicate an LVM volume / disk to /var/log/audit and add it to /etc/fstab. |
|---|---|
| reason | a separate /var/log/audit filesystem needs partitioning/LVM/tmpfs, not a safe runtime change |
| resource | manual |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Sans isolation, une partition partagée saturée peut arrêter l'audit ou déclencher l'action « disque plein » d'auditd, qui, sur des systèmes durcis, peut arrêter la machine pour éviter de perdre des enregistrements. Précautions avant migration : arrêtez auditd avant de déplacer ses données, préservez les contextes SELinux (rsync -aHAX puis restorecon -R /var/log/audit), dimensionnez le volume selon votre politique de rétention et vérifiez space_left_action pour qu'un disque d'audit plein échoue comme prévu. Conservez un accès console/secours au cas où le montage échouerait au démarrage.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R71 | direct | 2.0 | haute |
| CIS | 1.1.2.7.1 | direct | per OS, see the benchmark table | haute |
| NIST | AU-4, CM-6(a), SC-5(2) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.