Bloque 14 - Permisos de archivos y directorios “home”

Comprueba los permisos aplicados a los distintos archivos, veamos las sugerencias:

...

2022-11-29 09:23:20 Test: checking file/directory /etc/crontab
2022-11-29 09:23:20 Test: checking if file /etc/crontab has the permissions set to 600 (rw-------) or more restrictive
2022-11-29 09:23:20 Outcome: permissions of file /etc/crontab are not matching expected value (644 != 600)

...

/etc/crontab, tiene unos permisos 644 (u=rw-,g=r--,o=r--), quiere decir que el propietario puede leer y escribir en él, el resto puede leerlo. Recomienda que sea 600 (u=rw-,g=---,o=---), que sólo sea su dueño el que puede leer y escribir. Esto lo hacemos con chmod:

## Usando Ugoa

sudo chmod u=rw-,g=-,o=- /etc/crontab

## Usando Octal

sudo chmod 600 /etc/crontab

2022-11-29 09:23:20 Test: checking file/directory /etc/cron.d
2022-11-29 09:23:20 Test: checking if file /etc/cron.d has the permissions set to 700 (rwx------) or more restrictive
2022-11-29 09:23:20 Outcome: permissions of file /etc/cron.d are not matching expected value (755 != 700)

...

/etc/cron.d, /etc/cron.daily, etc. Aquí detecta que tienen el 755 (u=rwx,g=rw-,o=rw-), el propietario puede hacer todo y el resto pueden manipularlo pero no ejecutarlo. Nos recomienda que sólo el propietario sea el que tenga el control total:

## Usando Ugoa

sudo chmod u=rwx,g=-,o=- /etc/cron.*

## Usando Octal

sudo chmod 700 /etc/cron.*

Los archivos de de crontab, como hemos comentado, sirven para ejecutar tareas automatizadas y la recomendaciones de su restricción viene dada a qué sólo el usuario root (normalmente el administrador del sistema) sea el que pueda gestionar estos archivos.

Directorios “home”

Inicia los test creando una lista de los directorios de los usuarios:

2022-11-29 09:23:20 ====
2022-11-29 09:23:20 Action: Performing tests from category: Home directories
2022-11-29 09:23:20 ====
2022-11-29 09:23:20 Performing test ID HOME-9302 (Create list with home directories)
2022-11-29 09:23:20 Test: query /etc/passwd to obtain home directories
2022-11-29 09:23:20 Result: found home directory: /bin (directory exists)
2022-11-29 09:23:20 Result: found home directory: /dev (directory exists)
2022-11-29 09:23:20 Result: found home directory: /home/anakin_skywalker (directory exists)
2022-11-29 09:23:20 Result: found home directory: /home/artoo_detoo (directory exists)
2022-11-29 09:23:20 Result: found home directory: /home/ben_kenobi (directory exists)
2022-11-29 09:23:20 Result: found home directory: /home/boba_fett (directory exists)
2022-11-29 09:23:20 Result: found home directory: /home/c_three_pio (directory exists)
2022-11-29 09:23:20 Result: found home directory: /home/chewbacca (directory exists)
2022-11-29 09:23:20 Result: found home directory: /home/darth_vader (directory exists)
2022-11-29 09:23:20 Result: found home directory: /home/greedo (directory exists)

...

Continua viendo los permisos de estos directorios y da sugerencias sobre ellos:

...

2022-11-29 09:23:20 Test: checking directory '/home/artoo_detoo' for user 'artoo_detoo'
2022-11-29 09:23:20 Result: permissions of home directory /home/artoo_detoo of user artoo_detoo are not strict enough. Should be 750 or more restrictive. Change with: chmod 750 /home/artoo_detoo

...

2022-11-29 09:23:20 Test: checking directory '/home/anakin_skywalker' for user 'anakin_skywalker'
2022-11-29 09:23:20 Result: permissions of home directory /home/anakin_skywalker of user anakin_skywalker are not strict enough. Should be 750 or more restrictive. Change with: chmod 750 /home/anakin_skywalker

...

Aquí nos salta un “peligro” por que los permisos actuales sobre los directorios de cada usuario pueden ser peligrosos:

Vemos que el usuario y el grupo de este usuario tienen los mismos permisos, es decir, todos. Lynis nos recomienda que al menos sea 750, que el usuario pueda hacerlo todo y el grupo del usuario pueda leer y ejecutar. Esto se puede modificar para cada usuario de la misma forma que vimos arriba con otros directorios.

Sigue comprobando si los dueños de los directorios son los que deberían ser:

...

2022-11-29 09:23:20 Test: checking directory '/home/vagrant' for user 'vagrant'
2022-11-29 09:23:20 Result: ownership of home directory /home/vagrant for user vagrant looks to be correct
2022-11-29 09:23:20 Test: checking directory '/var/cache/dirmngr' for user 'dirmngr'
2022-11-29 09:23:20 Result: ownership of home directory /var/cache/dirmngr for user dirmngr looks to be correct
2022-11-29 09:23:20 Test: checking directory '/home/leia_organa' for user 'leia_organa'
2022-11-29 09:23:20 Result: ownership of home directory /home/leia_organa for user leia_organa looks to be correct

...

2022-11-29 09:23:20 Result: OK, all users own their home directories
2022-11-29 09:23:20 ====

...

Para finalizar comprobando si hay algo sospechoso en los historiales de las shell de los usuarios:

2022-11-29 09:23:20 ====
2022-11-29 09:23:20 Performing test ID HOME-9310 (Checking for suspicious shell history files)
2022-11-29 09:23:20 Result: Ok, history files are type 'file'.
2022-11-29 09:23:20 Remark: History files are normally of the type 'file'. Symbolic links and other types are suspicious.
2022-11-29 09:23:20 ====

...