Vérifier le groupe propriétaire du répertoire /etc/sudoers.d
Garantit que le répertoire /etc/sudoers.d a pour groupe propriétaire root.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /etc/sudoers.d contient des fichiers drop-in qui accordent des privilèges sudo. Si son groupe propriétaire n'est pas root, les membres de ce groupe pourraient y déposer un fichier leur octroyant un accès root sans mot de passe, menant à une élévation de privilèges complète. Maîtriser le groupe propriétaire est essentiel pour garder la politique sudo fiable.
Ce que vérifie Pavois
Pavois lit le groupe propriétaire effectif de /etc/sudoers.d depuis le système de fichiers (stat), reflétant l'état réel, y compris un répertoire recréé par une mise à jour de paquet, plutôt qu'une valeur supposée. C'est le répertoire que sudo analyse réellement, donc sa propriété est ce qui compte.
only_if { file('/etc/sudoers.d').exist? }
describe file('/etc/sudoers.d') do
its('group') { should eq 'root' }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G' /etc/sudoers.d. La sortie attendue est root. Sinon, ls -ld /etc/sudoers.d doit afficher root dans la colonne du groupe.
Inspecter et investiguer
Les changements de propriété ne sont pas journalisés par défaut. Inspectez l'état avec ls -ld /etc/sudoers.d. L'usage de la politique sudo est journalisé dans /var/log/auth.log (Debian/Ubuntu) ou /var/log/secure (RHEL). Si auditd surveille /etc/sudoers.d, les changements de propriété apparaissent dans /var/log/audit/audit.log.
Remédiation
Le plan de durcissement de Pavois définit le groupe de la ressource file /etc/sudoers.d sur root (équivalent à chgrp root /etc/sudoers.d). Il s'applique avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /etc/sudoers.d |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Définir le groupe sur root correspond à l'état attendu et n'a aucun impact fonctionnel sur sudo, qui s'exécute en root. Aucun risque de verrouillage. Avant d'appliquer, confirmez qu'aucun outil non-root légitime ne dépend de l'accès de groupe pour lire les fichiers drop-in ; ces cas sont rares et constituent généralement eux-mêmes des erreurs de configuration.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.