Vérifier le groupe propriétaire du répertoire /etc/selinux
Garantit que le répertoire /etc/selinux a pour groupe propriétaire root.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /etc/selinux contient la configuration SELinux qui régit la politique de contrôle d'accès obligatoire de tout le système. Si son groupe propriétaire n'est pas root, les membres de ce groupe pourraient modifier la politique ou basculer SELinux en mode permissif, désactivant de fait la dernière ligne de défense du noyau sans privilèges root.
Ce que vérifie Pavois
Pavois lit le groupe propriétaire effectif de /etc/selinux tel que le noyau le rapporte (stat), et non une valeur extraite d'un fichier de configuration. Cela reflète l'état réel sur le disque, y compris un répertoire recréé par un paquet ou un chgrp raté, qu'un scanner basé sur les fichiers ne détecterait pas.
only_if { file('/etc/selinux').exist? }
describe file('/etc/selinux') do
its('group') { should eq 'root' }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G' /etc/selinux. La sortie attendue est root. Vous pouvez aussi utiliser ls -ld /etc/selinux et vérifier que la colonne du groupe affiche root.
Inspecter et investiguer
Les changements de propriété ne sont pas journalisés par défaut. Inspectez l'état courant avec ls -ld /etc/selinux et stat /etc/selinux. Si auditd surveille /etc/selinux, les événements chgrp/chown associés apparaissent dans /var/log/audit/audit.log.
Remédiation
Le plan de durcissement de Pavois définit le groupe de la ressource file /etc/selinux sur root (équivalent à chgrp root /etc/selinux). Il s'applique avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /etc/selinux |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Réattribuer le groupe à root n'a aucun impact fonctionnel : /etc/selinux est censé appartenir à root. Le seul risque concerne un compte d'automatisation non-root qui s'appuierait légitimement sur l'accès de groupe pour lire la politique, vérifiez ce type d'outillage avant d'appliquer. Le changement ne modifie pas la politique SELinux elle-même et ne peut pas provoquer de verrouillage.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.