Vérifier le groupe propriétaire du répertoire /etc/ipsec.d
Garantit que le répertoire /etc/ipsec.d, qui contient la configuration Libreswan/IPsec, a pour groupe propriétaire root.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /etc/ipsec.d héberge la configuration Libreswan (IPsec), y compris les secrets et les définitions de connexions utilisés pour établir les tunnels VPN. Une appartenance de groupe à root garantit un contrôle exclusif : si un groupe non privilégié le possédait, ses membres pourraient lire ou altérer les clés et politiques IPsec, et potentiellement détourner ou déchiffrer le trafic VPN. Protéger ce répertoire est essentiel pour l'intégrité et la confidentialité des connexions chiffrées de l'hôte.
Ce que vérifie Pavois
Pavois vérifie l'appartenance de groupe effective de /etc/ipsec.d via la ressource InSpec file, qui lit le gid réel de l'inode tel que résolu par le noyau (et non une valeur par défaut du paquet). Le contrôle est conditionné par only_if { file('/etc/ipsec.d').exist? }, il est donc ignoré sur les hôtes sans Libreswan installé plutôt que d'échouer à tort.
only_if { file('/etc/ipsec.d').exist? }
describe file('/etc/ipsec.d') do
its('group') { should eq 'root' }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G' /etc/ipsec.d (ou ls -ld /etc/ipsec.d). La sortie doit être root.
Inspecter et investiguer
Les changements de propriétaire ne sont pas journalisés par un service, mais vous pouvez confirmer l'état courant avec stat -c '%U:%G %a' /etc/ipsec.d et find /etc/ipsec.d -not -group root pour repérer tout fichier contenu ayant un groupe non root. Utilisez des règles de surveillance auditd sur /etc/ipsec.d si vous avez besoin d'une piste d'audit des modifications.
Remédiation
pavois harden apply utilise la ressource file pour définir le groupe de /etc/ipsec.d à root (équivalent à chgrp root /etc/ipsec.d). C'est idempotent et ne change rien si le groupe est déjà root.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /etc/ipsec.d |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
L'impact est minime : changer le groupe du répertoire pour root ne restreint que l'accès des groupes non root, ce qui est le durcissement voulu. Précaution : confirmez qu'aucun outil d'assistance ou de gestion Libreswan légitime ne dépend d'un groupe non root pour lire ce répertoire avant d'appliquer (rare). Si /etc/ipsec.d n'existe pas, la règle est ignorée et harden ne change rien.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.