Désinstaller le paquet CUPS
Garantit que le service d'impression CUPS n'est pas installé sur les systèmes qui n'ont pas besoin d'imprimer.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Si le système n'a pas besoin d'imprimer ou d'accepter des tâches d'impression d'autres systèmes, il est recommandé de supprimer CUPS afin de réduire la surface d'attaque potentielle.
Ce que vérifie Pavois
Pavois vérifie que le paquet cups est absent via le gestionnaire de paquets. Supprimer le paquet élimine entièrement le démon d'impression en écoute, ce qui est plus robuste que simplement arrêter le service (un service arrêté peut être réactivé, et un binaire présent reste porteur de CVE).
describe package('cups') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Exécutez dpkg -s cups, qui doit indiquer package 'cups' is not installed. Confirmez qu'aucun démon d'impression n'écoute avec ss -tlnp | grep 631 (aucune sortie attendue).
Inspecter et investiguer
Confirmez la suppression avec dpkg -l cups ; lorsqu'il est présent, l'activité de CUPS est journalisée sous /var/log/cups/ et accessible via journalctl -u cups.
Remédiation
Le plan de durcissement de Pavois supprime le paquet cups (ressource package, action remove) et s'applique avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | cups |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
La suppression de CUPS désactive toute impression locale et réseau. Avant d'appliquer, confirmez que l'hôte n'est pas un serveur d'impression et qu'aucun utilisateur ou application ne dépend de l'impression locale, c'est souvent le cas des postes de travail et des bureaux. Sur les serveurs dédiés, il n'y a aucun impact au-delà de la fermeture du port TCP/631.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.1.11 | direct | per OS, see the benchmark table | haute |
| NIST | CM-7(a), CM-7(b), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.