Vérifier le propriétaire des fichiers de configuration du serveur SSH
Garantit que le répertoire /etc/ssh/sshd_config.d appartient à root (uid 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le répertoire /etc/ssh/sshd_config.d contient des fichiers drop-in qui surchargent la configuration du démon SSH. Si son propriétaire n'est pas root (uid 0), un utilisateur non privilégié pourrait y déposer un fichier réactivant PermitRootLogin, affaiblissant l'authentification ou ouvrant le transfert de ports, sapant discrètement le durcissement SSH sur le point d'entrée d'accès distant de l'hôte.
Ce que vérifie Pavois
Pavois lit l'uid propriétaire effectif de /etc/ssh/sshd_config.d depuis le système de fichiers (stat). C'est précisément le répertoire drop-in que sshd inclut, exactement le type de chemin qu'un scanner ne lisant que sshd_config ignorerait. Pavois audite le répertoire dont le contenu est réellement fusionné dans la configuration sshd -T en cours d'exécution.
only_if { file('/etc/ssh/sshd_config.d').exist? }
describe file('/etc/ssh/sshd_config.d') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U' /etc/ssh/sshd_config.d. La sortie attendue est root. Sinon, ls -ld /etc/ssh/sshd_config.d doit afficher root dans la colonne du propriétaire.
Inspecter et investiguer
Les changements de propriété ne sont pas journalisés par défaut ; inspectez avec ls -ld /etc/ssh/sshd_config.d. La configuration fusionnée effective est affichée par sshd -T. L'activité du service SSH est dans journalctl -u sshd et /var/log/secure (RHEL/Fedora). Si auditd surveille le répertoire, les changements de propriété apparaissent dans /var/log/audit/audit.log.
Remédiation
Aucun plan de durcissement automatisé n'est défini pour cette règle ; elle doit donc être appliquée manuellement : chown root /etc/ssh/sshd_config.d. Vérifiez ensuite avec stat -c '%U' /etc/ssh/sshd_config.d.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/ssh/sshd_config.d |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Définir le propriétaire sur root correspond à l'état attendu et n'a aucun impact sur le service SSH : sshd lit sa configuration en root. Aucun risque de verrouillage, et les sessions existantes ne sont pas affectées. Le changement ne touche que les métadonnées du répertoire ; aucun redémarrage de sshd n'est nécessaire.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 5.1.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.