chore: update

hardening/playbook-wazuh-sca-policy.yml

@@ -0,0 +1,27 @@
+---
+# Remplace la policy SCA locale "cis_ubuntu24-04" livree avec l'agent Wazuh par une
+# version allegee (checks non applicables a notre infra retires : partitions separees,
+# GDM/X11, wifi/bluetooth, ufw, nftables). Le fichier pousse via /var/ossec/etc/shared/
+# n'est PAS utilise par le module SCA quand un fichier local du meme policy id existe deja
+# (seul le premier charge, /var/ossec/ruleset/sca/, est evalue) — d'ou le remplacement direct.
+
+- name: Policy SCA Wazuh allegee (CIS Ubuntu 24.04)
+  hosts: prod,pre-prod,replica-prod,infra,infra-runner,infra-utils,ota-uber,load-balancer,!backup-mln
+  become: true
+  gather_facts: false
+
+  tasks:
+      - name: Déployer la policy SCA allégée
+        ansible.builtin.copy:
+            src: ../files/wazuh-sca/cis_ubuntu24-04.yml
+            dest: /var/ossec/ruleset/sca/cis_ubuntu24-04.yml
+            owner: root
+            group: wazuh
+            mode: "0640"
+        notify: restart wazuh-agent
+
+  handlers:
+      - name: restart wazuh-agent
+        ansible.builtin.systemd:
+            name: wazuh-agent
+            state: restarted