← Toutes les règles
SOCLE-CLD-FSP-205// File ownershipmoyenneétat du système de fichiers

Vérifier le groupe propriétaire du répertoire /etc/ipsec.d

Garantit que le répertoire /etc/ipsec.d, qui contient la configuration Libreswan/IPsec, a pour groupe propriétaire root.

Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.

Un PASS prouve✓ actif maintenant✓ sur disque✓ survit au rebootle verdict qualifié →
Debian 12CIS 1.1.0Debian 13CIS 1.0.0FedoraRHEL 10 / Rocky 10 / AlmaLinux 10RHEL 8 / Rocky 8 / AlmaLinux 8CIS 4.0.0RHEL 9 / Rocky 9 / AlmaLinux 9CIS 2.0.0Ubuntu 22.04CIS 3.0.0Ubuntu 24.04CIS 1.0.0Ubuntu 26.04
Un seul check, mappé sur 1 norme

Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.

Pourquoi cette règle

Le répertoire /etc/ipsec.d héberge la configuration Libreswan (IPsec), y compris les secrets et les définitions de connexions utilisés pour établir les tunnels VPN. Une appartenance de groupe à root garantit un contrôle exclusif : si un groupe non privilégié le possédait, ses membres pourraient lire ou altérer les clés et politiques IPsec, et potentiellement détourner ou déchiffrer le trafic VPN. Protéger ce répertoire est essentiel pour l'intégrité et la confidentialité des connexions chiffrées de l'hôte.

Ce que vérifie Pavois

Pavois vérifie l'appartenance de groupe effective de /etc/ipsec.d via la ressource InSpec file, qui lit le gid réel de l'inode tel que résolu par le noyau (et non une valeur par défaut du paquet). Le contrôle est conditionné par only_if { file('/etc/ipsec.d').exist? }, il est donc ignoré sur les hôtes sans Libreswan installé plutôt que d'échouer à tort.

only_if { file('/etc/ipsec.d').exist? }
describe file('/etc/ipsec.d') do
  its('group') { should eq 'root' }
end

Comment vérifier qu’elle est appliquée

Exécutez stat -c '%G' /etc/ipsec.d (ou ls -ld /etc/ipsec.d). La sortie doit être root.

Inspecter et investiguer

Les changements de propriétaire ne sont pas journalisés par un service, mais vous pouvez confirmer l'état courant avec stat -c '%U:%G %a' /etc/ipsec.d et find /etc/ipsec.d -not -group root pour repérer tout fichier contenu ayant un groupe non root. Utilisez des règles de surveillance auditd sur /etc/ipsec.d si vous avez besoin d'une piste d'audit des modifications.

Remédiation

pavois harden apply utilise la ressource file pour définir le groupe de /etc/ipsec.d à root (équivalent à chgrp root /etc/ipsec.d). C'est idempotent et ne change rien si le groupe est déjà root.

Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :

grouproot
path/etc/ipsec.d
resourcefile
pavois harden plan local

où la cible est local, un alias SSH user@hôte, ou un conteneur , Docs

Impact & précautions

L'impact est minime : changer le groupe du répertoire pour root ne restreint que l'accès des groupes non root, ce qui est le durcissement voulu. Précaution : confirmez qu'aucun outil d'assistance ou de gestion Libreswan légitime ne dépend d'un groupe non root pour lire ce répertoire avant d'appliquer (rare). Si /etc/ipsec.d n'existe pas, la règle est ignorée et harden ne change rien.

Mapping des normes

NormeRéférenceTypeVersionConfiance
ANSSI BP-028R50direct2.0haute

Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.

Sources & références