Supprimer le groupe de paquets GDM
Supprime le gestionnaire d'affichage GNOME (gdm) afin que les systèmes sans tête et serveurs ne portent aucune pile de connexion graphique.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le gestionnaire d'affichage GNOME (gdm) entraîne toute une pile de connexion graphique inutile sur les serveurs, hyperviseurs de virtualisation et hôtes sans tête. Chaque service supplémentaire représente du code additionnel pouvant contenir des vulnérabilités et une surface d'attaque accrue. Retirer l'environnement graphique des systèmes qui n'en ont pas besoin applique le principe de fonctionnalité minimale exigé par CIS et NIST CM-7.
Ce que vérifie Pavois
Pavois interroge la base de paquets avec package('gdm') pour rapporter l'état d'installation effectif. C'est plus fiable que de vérifier la cible systemd par défaut ou un fichier de session X : le paquet du gestionnaire d'affichage peut rester installé même si le système démarre sur multi-user.target, et seule une interrogation de paquet révèle cette surface résiduelle.
describe package('gdm3') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur la famille RHEL, exécutez rpm -q gdm ; sur Debian/Ubuntu, exécutez dpkg -s gdm3 (le paquet s'y nomme gdm3). La règle passe lorsque le résultat est package ... is not installed.
Inspecter et investiguer
Confirmez la suppression avec rpm -q gdm / dpkg -s gdm3. L'activité du gestionnaire d'affichage (s'il est présent) figure dans journalctl -u gdm / journalctl -u gdm3 ; la suppression est journalisée dans /var/log/dnf.log ou /var/log/dpkg.log.
Remédiation
Le plan de durcissement de Pavois supprime le paquet gdm (ressource package, action remove) lorsque vous lancez pavois harden apply. Retirer le gestionnaire d'affichage arrête la connexion graphique : l'hôte démarrera ensuite sur une console texte.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | gdm3 |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Ne pas appliquer sur des postes de travail ni sur tout hôte nécessitant un bureau graphique, supprimer gdm désactive la connexion graphique et peut entraîner des paquets GNOME dépendants. Précaution : n'exécutez ceci que sur des serveurs/hyperviseurs administrés en SSH ou via une console texte ; assurez-vous d'avoir un accès distant/console fonctionnel avant la suppression, car la session graphique locale ne sera plus disponible.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 1.7.1, 1.8.1, 2.1.21 | direct | per OS, see the benchmark table | haute |
| NIST | CM-6(a), CM-7(a), CM-7(b) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.