Pavois
EN
← Tous les domaines de contrôles

Durcissement (divers) : 28 contrôles de durcissement Linux

Pavois audite 28 contrôles de durcissement du domaine Durcissement (divers), sur 9 systèmes Linux et 5 normes (CIS, ANSSI BP-028, NIST 800-53, PCI DSS, DISA STIG). Chaque contrôle déclare la preuve qu'il collecte, sa sévérité, sa remédiation et ses références de norme.

Le domaine en chiffres

Contrôles28
Sévérités
élevée 3moyenne 25
Preuves collectées
runtime effectif 11config persistante 7état d’inventaire 7état du système de fichiers 3
Normes
CISANSSI BP-028NIST 800-53PCI DSSDISA STIG
Systèmes
Debian 12Debian 13FedoraRHEL 10 / Rocky 10 / AlmaLinux 10RHEL 8 / Rocky 8 / AlmaLinux 8RHEL 9 / Rocky 9 / AlmaLinux 9Ubuntu 22.04Ubuntu 24.04Ubuntu 26.04
Profondeur de couvertureen profondeur

Que vérifie Pavois dans ce domaine ?

runtime effectif 11
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
config persistante 7
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
état d’inventaire 7
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
état du système de fichiers 3
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.

Quelles normes ce domaine couvre-t-il ?

Un même contrôle de configuration effective sert de preuve pour plusieurs normes à la fois. Les références ci-dessous sont celles que porte réellement le corpus, jamais une équivalence revendiquée. comment lire un mapping de norme.

CIS
1.3.1.3, 1.3.1.4, 1.3.3, 1.4.2, 2.1.21, 2.1.23, 2.2.6, 3.1.2, 5.1.4, 5.1.6, 5.1.7, 5.1.10, 5.1.12, 5.2.7, 5.3.3.4.3, 5.4.2.3, 5.4.2.4, 5.4.2.7, 5.4.3.1, 5.4.3.2, 6.1.1, 6.3.1, 6.3.2, 7.2.4, 7.2.5, 7.2.6, 7.2.9, 7.2.10, 8.2.1, 8.2.2, 8.3.1, 8.3.2, 8.6.1, 11.5.2
ANSSI BP-028
R1, R32, R33, R45, R67, R68, R74, R76
NIST 800-53
3.1.1, 3.1.11, 3.1.12, 3.1.16, 3.13.11, AC-2(5), AC-3, AC-3(4), AC-6, AC-6(8), AC-6(10), AC-12, AC-17(a), AC-18(3), AC-18(a), CM-6, CM-6(a), CM-6(b), CM-7(2), CM-7(5)(b), CM-7(a), CM-7(b), IA-2, IA-5(1)(c), IA-5(7), IA-5(c), IA-5(h), MP-7, SC-7(21), SC-10, SC-12(3), SI-7, SI-7(1)
PCI DSS
1.3.3, 1.4.2, 2.2.6, 8.2.1, 8.2.2, 8.3.1, 8.3.2, 8.6.1, 11.5.2
DISA STIG
UBTU-22-291015, UBTU-22-412030, UBTU-22-431015, UBTU-22-651015, UBTU-24-100110, UBTU-24-100120, UBTU-24-100510, UBTU-24-200060, UBTU-24-600230

Les 28 contrôles du domaine Durcissement (divers)

Réf.RègleSév.OSNormes
SOCLE-CLD-GEN-054Configurer le backend LDAP de SSSD pour utiliser TLS sur toutes les transactionsélevée9
bp28nist
SOCLE-CLD-GEN-045Supprimer les fichiers de confiance Rshélevée9
cisnist
SOCLE-CLD-GEN-040Vérifier que seul le groupe root possède le GID 0élevée9
cis
SOCLE-CLD-GEN-034Tous les profils AppArmor sont en mode enforce ou complainmoyenne5
cis
SOCLE-CLD-GEN-031Construire et tester la base de données AIDEmoyenne9
bp28cisnistpci-dssstig
SOCLE-CLD-GEN-053Configurer le client backend LDAP de SSSD pour exiger un certificat valide du serveurmoyenne9
bp28nist
SOCLE-CLD-GEN-032Configurer l'exécution périodique d'AIDE par un timer systemdmoyenne8
bp28cisnistpci-dssstig
SOCLE-CLD-GEN-056Désactiver les interfaces réseau sans filmoyenne9
cisnistpci-dssstig
SOCLE-CLD-GEN-041Connexions root directes interditesmoyenne5
bp28cisnistpci-dss
SOCLE-CLD-GEN-036Désactiver l'authentification basée sur l'hôtemoyenne9
cisnistpci-dss
SOCLE-CLD-GEN-049Désactiver l'écoute réseau de Postfixmoyenne9
bp28cisnistpci-dss
SOCLE-CLD-GEN-047Désactiver la commande SMTP VRFY de Postfixmoyenne8
SOCLE-CLD-GEN-033Appliquer en mode enforce tous les profils AppArmormoyenne5
bp28cis
SOCLE-CLD-GEN-055Imposer l'usage de pam_wheel avec le paramètre de groupe pour l'authentification sumoyenne9
cispci-dss
SOCLE-CLD-GEN-029Garantir que tous les comptes du système ont des UID uniquesmoyenne9
cispci-dss
SOCLE-CLD-GEN-039S'assurer que tous les groupes du système ont un GID uniquemoyenne9
cispci-dss
SOCLE-CLD-GEN-035Garantir qu'AppArmor est actif et configurémoyenne5
bp28niststig
SOCLE-CLD-GEN-044S'assurer que le shell nologin n'est pas listé dans /etc/shellsmoyenne9
cis
SOCLE-CLD-GEN-038S'assurer que le groupe shadow est videmoyenne9
cispci-dss
SOCLE-CLD-GEN-046S'assurer que les comptes système n'exécutent pas de shell à la connexionmoyenne9
cisnistpci-dss
SOCLE-CLD-GEN-037S'assurer que le groupe utilisé par le module pam_wheel.so existe et est videmoyenne9
cispci-dss
SOCLE-CLD-GEN-048Masquer le nom du logiciel dans la bannière SMTP de Postfixmoyenne8
SOCLE-CLD-GEN-052Limiter l'accès SSH des utilisateursmoyenne9
cisnistpci-dss
SOCLE-CLD-GEN-050Préférer un système d'exploitation 64 bits lorsqu'il est pris en chargemoyenne9
bp28
SOCLE-CLD-GEN-030Définir un délai d'expiration des sessions interactivesmoyenne9
bp28cisnistpci-dssstig
SOCLE-CLD-GEN-051Définir l'algorithme de hachage des mots de passe PAM - password-authmoyenne9
bp28cisnistpci-dss
SOCLE-CLD-GEN-042Vérifier qu'aucun fichier .forward n'existemoyenne9
cis
SOCLE-CLD-GEN-043Vérifier qu'aucun fichier .netrc n'existemoyenne9
cisnist

Catalogue complet des contrôles · Tous les domaines de contrôles