Désinstaller le paquet dnsmasq
Garantit que le serveur DNS/DHCP léger dnsmasq n'est pas installé sur les hôtes qui ne fournissent pas ces services.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
À moins qu'un système ne soit spécifiquement désigné pour servir de cache DNS, de relais DNS et/ou de serveur DHCP, il est recommandé de supprimer le paquet dnsmasq afin de réduire la surface d'attaque potentielle.
Ce que vérifie Pavois
Pavois vérifie que le paquet dnsmasq est absent via le gestionnaire de paquets. Le supprimer garantit qu'aucun relais DNS ni répondeur DHCP ne peut être démarré ou activé automatiquement, plus robuste que simplement arrêter le service, car un binaire présent écoute par défaut et porte ses propres CVE.
describe package('dnsmasq') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur Debian/Ubuntu, exécutez dpkg -s dnsmasq (et dnsmasq-base) ; sur la famille RHEL, exécutez rpm -q dnsmasq. Les deux doivent indiquer que le paquet n'est pas installé. Confirmez qu'aucun service n'écoute sur le port 53 avec ss -ulnp | grep ':53'.
Inspecter et investiguer
Confirmez la suppression avec dpkg -l dnsmasq ou rpm -q dnsmasq ; lorsqu'il est présent, dnsmasq journalise l'activité DNS/DHCP via journalctl -u dnsmasq.
Remédiation
Le plan de durcissement de Pavois supprime le paquet dnsmasq (ressource package, action remove) et s'applique avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | dnsmasq |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
La suppression de dnsmasq désactive tout cache/relais DNS local ou DHCP qu'il fournissait. Avant d'appliquer, confirmez que rien n'en dépend, notamment certaines configurations libvirt/NetworkManager utilisent dnsmasq pour le DNS/DHCP des réseaux virtuels, et le supprimer peut casser la connectivité des VM ou la résolution de noms locale. Sur les hôtes qui ne l'utilisent pas, il n'y a aucun impact.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.1.5, 2.1.6 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.