Définir LogLevel sur INFO
Garantir que sshd journalise au niveau INFO ou supérieur afin d'enregistrer les connexions et déconnexions.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
SSH propose plusieurs niveaux de verbosité de journalisation. DEBUG est déconseillé en dehors du dépannage du protocole : il noie le journal sous des données qui masquent les événements pertinents pour la sécurité. Au minimum INFO (ou le plus complet VERBOSE) enregistre l'activité de connexion et de déconnexion SSH, indispensable à la réponse à incident, pouvoir déterminer quand un utilisateur donné était actif, et écarter les sessions simplement déconnectées, restreint le champ d'une investigation. Sans journalisation adéquate, les abus de comptes et les intrusions passent inaperçus et ne peuvent être attribués.
Ce que vérifie Pavois
Pavois vérifie que la sortie effective de sshd -T rapporte loglevel info ou loglevel verbose. Interroger le démon en cours d'exécution reflète la valeur résolue après fusion de tous les Include et des drop-ins de /etc/ssh/sshd_config.d/, un scan de fichiers peut manquer un drop-in qui abaisse silencieusement le niveau à QUIET ou DEBUG.
describe command('sshd -T') do
its('stdout') { should match(/^loglevel\s+(info|verbose)$/i) }
endComment vérifier qu’elle est appliquée
Exécuter sshd -T | grep -i loglevel. Sortie attendue (l'une ou l'autre convient) :
loglevel INFOloglevel VERBOSE
Inspecter et investiguer
Les événements d'authentification apparaissent dans /var/log/auth.log (Debian/Ubuntu) ou via journalctl -u ssh / journalctl -u sshd (famille RHEL). À INFO, vous voyez les lignes Accepted/Failed et l'ouverture/fermeture de session ; VERBOSE journalise en plus l'empreinte de la clé utilisée.
Remédiation
Le plan de durcissement de Pavois règle la ressource sshd_setting pour la directive loglevel sur verbose (ce qui satisfait cette règle INFO-ou-mieux), valide la configuration candidate avec sshd -t, puis déclenche un reload du service ssh. À appliquer avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| directive | loglevel |
|---|---|
| notify | action: reload, service: ssh.service |
| resource | sshd_setting |
| value | verbose |
| verify | sshd -t -f %{path} |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Augmenter le niveau de journalisation n'a aucun effet sur la connectivité, donc aucun risque de verrouillage. La seule conséquence est un volume de journaux plus élevé (surtout avec VERBOSE) ; veillez à dimensionner la rotation des logs et l'espace disque en conséquence, et évitez DEBUG, qui peut exposer des détails sensibles du protocole et n'est pas adapté à la production.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 5.1.14 | direct | per OS, see the benchmark table | haute |
| NIST | AC-17(a), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.