Désinstaller le paquet cyrus-imapd
Garantit que le serveur de messagerie IMAP/POP3 cyrus-imapd n'est pas installé sur les hôtes qui ne servent pas de boîtes aux lettres.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
S'il n'est pas nécessaire de rendre le logiciel cyrus-imapd disponible, sa suppression constitue une protection contre son activation.
Ce que vérifie Pavois
Pavois vérifie que le paquet cyrus-imapd est absent via le gestionnaire de paquets. Supprimer le paquet garantit que le démon IMAP/POP3 ne peut être démarré ou activé automatiquement, ce qui est plus robuste que désactiver un service susceptible d'être réactivé ultérieurement.
describe package('cyrus-imapd') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur la famille RHEL, exécutez rpm -q cyrus-imapd (attendu : package cyrus-imapd is not installed) ; sur Debian/Ubuntu, exécutez dpkg -s cyrus-imapd. Confirmez qu'aucun service n'écoute sur les ports IMAP/POP avec ss -tlnp | grep -E ':(143|993|110|995)'.
Inspecter et investiguer
Confirmez la suppression avec rpm -q cyrus-imapd ou dpkg -l cyrus-imapd ; lorsqu'il est présent, le service journalise dans le journal système (journalctl -u cyrus-imapd) et la catégorie mail de syslog.
Remédiation
Le plan de durcissement de Pavois supprime le paquet cyrus-imapd (ressource package, action remove) et s'applique avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | cyrus-imapd |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
La suppression de cyrus-imapd désactive l'accès aux boîtes aux lettres IMAP/POP3 fourni par ce serveur. Avant d'appliquer, confirmez que l'hôte n'est pas un serveur de messagerie et qu'aucun client n'y récupère son courrier ; sur un serveur de messagerie dédié, cette règle doit être exemptée. Sur les hôtes polyvalents, il n'y a aucun impact.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.1.8 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.