Désinstaller le paquet dovecot
Garantit que le serveur de distribution de courrier IMAP/POP3 Dovecot n'est pas installé sur les hôtes qui ne servent pas de boîtes aux lettres.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
S'il n'est pas nécessaire de rendre le logiciel Dovecot disponible, sa suppression constitue une protection contre son activation.
Ce que vérifie Pavois
Pavois vérifie que le paquet dovecot est absent via le gestionnaire de paquets. Supprimer le paquet garantit que le démon IMAP/POP3 ne peut être démarré ou activé automatiquement, ce qui est plus robuste que désactiver un service susceptible d'être réactivé et qui reste porteur de CVE tant qu'il est installé.
describe package('dovecot-core') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur Debian/Ubuntu, exécutez dpkg -s dovecot-core ; sur la famille RHEL, exécutez rpm -q dovecot. Les deux doivent indiquer que le paquet n'est pas installé. Confirmez qu'aucun service n'écoute sur les ports IMAP/POP avec ss -tlnp | grep -E ':(143|993|110|995)'.
Inspecter et investiguer
Confirmez la suppression avec dpkg -l dovecot-core ou rpm -q dovecot ; lorsqu'il est présent, Dovecot journalise dans /var/log/mail.log et via journalctl -u dovecot.
Remédiation
Le plan de durcissement de Pavois supprime le paquet dovecot (ressource package, action remove) et s'applique avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | dovecot-core |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
La suppression de Dovecot désactive l'accès aux boîtes aux lettres IMAP/POP3 qu'il fournissait. Avant d'appliquer, confirmez que l'hôte n'est pas un serveur de messagerie et qu'aucun client n'y récupère son courrier ; sur un serveur de messagerie dédié, cette règle doit être exemptée. Sur les hôtes polyvalents, il n'y a aucun impact.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.1.8 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.