Vérifier l'utilisateur propriétaire du répertoire /etc/selinux
Garantit que le répertoire /etc/selinux appartient à root (uid 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /etc/selinux contient la configuration SELinux qui régit la politique de contrôle d'accès obligatoire de tout le système. Si son propriétaire n'est pas root (uid 0), un utilisateur non privilégié pourrait éditer config pour passer SELinux en permissif ou désactivé, neutralisant le contrôle d'accès obligatoire du noyau sans jamais avoir besoin de root. La propriété par root assure un contrôle exclusif de la configuration SELinux.
Ce que vérifie Pavois
Pavois lit l'uid propriétaire effectif de /etc/selinux depuis le système de fichiers (stat), reflétant l'état réel sur le disque, y compris un répertoire recréé par un paquet ou un chown raté, plutôt qu'une valeur déduite du texte de la politique.
only_if { file('/etc/selinux').exist? }
describe file('/etc/selinux') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U' /etc/selinux. La sortie attendue est root. Sinon, ls -ld /etc/selinux doit afficher root dans la colonne du propriétaire.
Inspecter et investiguer
Les changements de propriété ne sont pas journalisés par défaut ; inspectez avec ls -ld /etc/selinux et stat /etc/selinux. Le mode SELinux courant est affiché par getenforce / sestatus. Si auditd surveille /etc/selinux, les changements de propriété apparaissent dans /var/log/audit/audit.log.
Remédiation
Aucun plan de durcissement automatisé n'est défini pour cette règle ; elle doit donc être appliquée manuellement : chown root /etc/selinux. Vérifiez ensuite avec stat -c '%U' /etc/selinux.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/selinux |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Définir le propriétaire sur root correspond à l'état attendu et n'a aucun impact fonctionnel : la gestion de SELinux s'exécute en root. Aucun risque de verrouillage, et le changement ne modifie ni la politique active ni le mode d'application. Il ne touche que les métadonnées du répertoire.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.