Désinstaller le paquet du serveur DHCP
Garantit que le paquet du serveur DHCP n'est pas installé sur les hôtes qui ne sont pas censés distribuer des adresses IP.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
La suppression du serveur DHCP garantit qu'il ne peut être réactivé facilement ou accidentellement et perturber le fonctionnement du réseau, et elle réduit la surface d'attaque.
Ce que vérifie Pavois
Pavois vérifie que le paquet serveur dhcp est absent via le gestionnaire de paquets. Un serveur DHCP indésirable ou accidentel peut détourner l'attribution d'adresses d'un sous-réseau entier ; supprimer le paquet, plutôt que d'arrêter seulement le service, garantit qu'il ne peut être démarré ou activé automatiquement.
describe package('isc-dhcp-server') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur la famille RHEL, exécutez rpm -q dhcp-server ; sur Debian/Ubuntu, exécutez dpkg -s isc-dhcp-server. Les deux doivent indiquer que le paquet n'est pas installé. Confirmez qu'aucun service n'écoute sur UDP/67 avec ss -ulnp | grep ':67'.
Inspecter et investiguer
Confirmez la suppression avec rpm -q dhcp-server ou dpkg -l isc-dhcp-server ; lorsqu'il est présent, l'activité d'attribution de baux DHCP apparaît via journalctl -u dhcpd (ou isc-dhcp-server).
Remédiation
Le plan de durcissement de Pavois supprime le paquet dhcp (ressource package, action remove) et s'applique avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | isc-dhcp-server |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
La suppression du serveur DHCP empêche l'hôte d'attribuer des adresses IP. Avant d'appliquer, confirmez que cet hôte n'est pas le serveur DHCP de votre sous-réseau, l'y supprimer empêcherait les clients d'obtenir des adresses et casserait la connectivité réseau. Cette règle vise le serveur DHCP ; le client DHCP utilisé pour obtenir l'adresse propre de l'hôte n'est pas affecté.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| CIS | 2.1.3, 2.2.4, 2.1.4 | direct | per OS, see the benchmark table | haute |
| NIST | CM-6(a), CM-7(a), CM-7(b) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.4 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.