Re: modprobe<br>  - I guess that could be good if you&#39;re trying to load the module by hand and, instead of typing the command a few times before remembering that it was disabled, actually getting some feedback.<br><br>
Re: auditd<br>  - I&#39;m remembering this from reading the man pages, nothing more. They may, or may not, be accurate.<br><br>Trevor<br><br><div class="gmail_quote">On Tue, Feb 26, 2013 at 1:38 PM, Shaw, Ray V CTR (US) <span dir="ltr">&lt;<a href="mailto:ray.v.shaw.ctr@mail.mil" target="_blank">ray.v.shaw.ctr@mail.mil</a>&gt;</span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Classification: UNCLASSIFIED<br>
Caveats: NONE<br>
<div class="im"><br>
&gt; - RHEL5 wants /etc/shadow to be 0400; RHEL6 wants this and /etc/gshadow<br>
&gt; at 0000.  Not sure of the advantage of the latter.<br>
&gt;<br>
&gt; -&gt; This matters for SELinux.<br>
<br>
</div>Fair enough.<br>
<div class="im"><br>
&gt; - RHEL5 wants module loading (DCCP, SCTP, Bluetooth, etc.) disabled<br>
&gt; with /bin/true; RHEL6 wants /bin/false.<br>
&gt;<br>
&gt; -&gt; Not sure about this one. Perhaps it&#39;s for some logic checking code<br>
&gt; or it prevents overrides later down the stack.<br>
<br>
</div>The only difference I can see is that /bin/false gives me this message:<br>
<br>
FATAL: Error running install command for Bluetooth<br>
<br>
and an exit code of 1, while /bin/true is silent (neither log anything to<br>
dmesg or syslog) and has an exit code of 0.  It&#39;s possible that it matters<br>
for some deeper reason.<br>
<div class="im"><br>
&gt; - RHEL5 wants audit rules to start with &quot;exit,always&quot;; RHEL6 wants them<br>
&gt; to start with &quot;always,exit&quot;.  Note that some of the actual RHEL6<br>
&gt; benchmark content checks for both (e.g. adjtimex), while some (the<br>
&gt; majority) does not (e.g. chmod).<br>
&gt;<br>
&gt; -&gt; This was a change in auditd itself. &quot;exit,always&quot; is no longer<br>
&gt; valid.<br>
<br>
</div>As of which audit version?  Unless I&#39;m missing something (and based on the<br>
logs, I don&#39;t think I am; the events I expect to see logged are being<br>
logged, and with my specified key values), the same &quot;exit,always&quot; rules from<br>
my RHEL5 audit.rules work on RHEL6.<br>
<br>
[I do remember that at one point, one direction or the other didn&#39;t work on<br>
RHEL5, but at the moment, both ways appear to work on both platforms.]<br>
<br>
If that syntax is invalid for newer versions of audit than are included in<br>
RHEL6, okay, but this is supposed to be a RHEL6 STIG, and a rebase of the<br>
audit system seems unlikely (as audit versions tend to be linked to kernel<br>
versions, and a rebase of the kernel seems mighty unlikely).  If both<br>
syntaxes work on RHEL6, I would like to see all audit checks allow both<br>
(instead of just the benchmark content of some audit checks).<br>
<div class="im"><br>
--<br>
Ray Shaw<br>
Contractor, STG<br>
Unix support, Army Research Labs<br>
<br>
</div>Classification: UNCLASSIFIED<br>
Caveats: NONE<br>
<br>
<br>
<br>_______________________________________________<br>
scap-security-guide mailing list<br>
<a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
<br></blockquote></div><br><br clear="all"><br>-- <br>Trevor Vaughan<br>Vice President, Onyx Point, Inc<br>(410) 541-6699<br><a href="mailto:tvaughan@onyxpoint.com">tvaughan@onyxpoint.com</a><br><br>-- This account not approved for unencrypted proprietary information --