Ensure sudo timestamp_type is configured

MédiaNível 1Automatizadalinux

Descrição

After a successful authentication, sudo caches the credential for a short period. The timestamp_type option controls the scope of that cached credential: tty (per terminal, the default), ppid (per parent process), kernel, or global (one record shared by all of the user's processes and sessions).

Como é verificado

Método de auditoria: Comando shell

shell

alt0() { command -v grep >/dev/null 2>&1 || { echo "step1: grep not installed"; return 1; }; o=$(bash -c 'grep -rPi -- '"'"'timestamp_type\h*=\h*global'"'"' /etc/sudoers /etc/sudoers.d/' 2>/dev/null); [ -z "$o" ] || { echo "step1: $o" | head -c 300; return 1; }; }; if alt0; then echo compliant; fi

Saída esperada: compliant

Como é corrigido

Método de correção: Orientação ou patch de infraestrutura

Ensure the sudo authentication timestamp is scoped to the terminal rather than shared globally. Edit the appropriate sudoers file with visudo and remove any Defaults timestamp_type=global, or set a non-global value: # visudo Defaults timestamp_type=tty

Propriedades

Sistemas operacionais: almalinux-9
Tags: cis-convertedlinux
Referência: CIS AlmaLinux OS 9 Benchmark v3.0.0 - 5.2.11

Verificar este host

Execute isto em uma máquina que você tenha permissão para auditar. A varredura é somente leitura.

shell

tmaegis scan --target linux