Définir le LogLevel du démon SSH sur VERBOSE
Régler le LogLevel de sshd sur VERBOSE pour journaliser l'activité de connexion et l'empreinte des clés d'authentification.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
La journalisation VERBOSE enregistre l'activité de connexion et de déconnexion SSH ainsi que l'empreinte de la clé utilisée pour s'authentifier. Cette empreinte est déterminante pour la réponse à incident et l'investigation : elle permet d'attribuer une session à une clé précise, de repérer l'usage d'une clé inattendue ou révoquée, et d'écarter les sessions simplement déconnectées. DEBUG n'est pas un substitut, il noie le signal de sécurité sous le bruit du protocole, et tout niveau inférieur à INFO supprime la piste d'audit, rendant les abus de comptes indétectables.
Ce que vérifie Pavois
Pavois vérifie que la sortie effective de sshd -T rapporte exactement loglevel verbose. Interroger le démon en cours d'exécution reflète la valeur résolue après fusion de tous les Include et des drop-ins de /etc/ssh/sshd_config.d/, un scan de fichiers peut manquer un drop-in qui rétrograde le niveau et signalerait un faux succès.
describe command('sshd -T') do
its('stdout') { should match(/^loglevel\s+verbose$/i) }
endComment vérifier qu’elle est appliquée
Exécuter sshd -T | grep -i loglevel. Sortie attendue :
loglevel VERBOSE
Inspecter et investiguer
Les événements d'authentification apparaissent dans /var/log/auth.log (Debian/Ubuntu) ou via journalctl -u ssh / journalctl -u sshd (famille RHEL). À VERBOSE, chaque connexion acceptée enregistre l'empreinte de la clé, p. ex. Accepted publickey for user ... key: SHA256:....
Remédiation
Le plan de durcissement de Pavois règle la ressource sshd_setting pour la directive loglevel sur verbose, valide la configuration candidate avec sshd -t, puis déclenche un reload du service ssh pour que la journalisation prenne effet immédiatement. À appliquer avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| directive | loglevel |
|---|---|
| notify | action: reload, service: ssh.service |
| resource | sshd_setting |
| value | verbose |
| verify | sshd -t -f %{path} |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Augmenter le niveau de journalisation n'affecte pas la connectivité, donc aucun risque de verrouillage. Attendez-vous à un volume de journaux plus élevé qu'avec INFO ; vérifiez que la rotation des logs et l'espace disque sont dimensionnés en conséquence. N'utilisez pas DEBUG en production, il peut divulguer des détails internes sensibles du protocole et dégrade l'utilité de la piste d'audit.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.2.6, 5.1.15, 5.1.16 | direct | per OS, see the benchmark table | haute |
| NIST | AC-17(1), AC-17(a), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.