Installer le paquet pam-runtime
Garantit que le paquet libpam-runtime (configuration PAM common-* et pam-auth-update) est installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
libpam-runtime fournit le cadre de configuration PAM à l'exécution, l'outil pam-auth-update et les fichiers /etc/pam.d/common-* (common-auth, common-password, common-account, common-session), que de nombreuses autres règles de durcissement modifient pour imposer la politique d'authentification. Sans lui, les piles PAM communes n'existent pas et les contrôles basés sur PAM ne peuvent être configurés.
Ce que vérifie Pavois
Pavois interroge la base de paquets via InSpec package('libpam-runtime') (dpkg -s libpam-runtime) et vérifie qu'il est installé. Confirmer le paquet garantit que les fichiers /etc/pam.d/common-* et le cadre pam-auth-update, dont dépendent d'autres règles, sont réellement présents.
describe package('libpam-runtime') do
it { should be_installed }
endComment vérifier qu’elle est appliquée
Exécutez dpkg -s libpam-runtime. La sortie attendue contient Status: install ok installed. Toute autre valeur signifie que la règle échoue.
Inspecter et investiguer
Confirmez l'installation via apt list --installed | grep libpam-runtime ou /var/log/apt/history.log. Les modifications appliquées via pam-auth-update remodèlent /etc/pam.d/common-* ; les événements d'authentification résultants sont consignés dans /var/log/auth.log et journalctl.
Remédiation
Le plan de durcissement de Pavois déclare une ressource package nommée libpam-runtime avec l'action install ; pavois harden apply exécute l'équivalent de apt-get install libpam-runtime pour atteindre l'état conforme. Il est normalement déjà présent en tant que dépendance essentielle.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | install |
|---|---|
| name | libpam-runtime |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
C'est un paquet fondamental ; l'installer est sans danger et généralement sans effet. Précaution : ne retirez jamais libpam-runtime, supprimer les piles common-* casserait la configuration PAM partagée par login, sudo et SSH, rendant potentiellement le système incapable d'authentifier le moindre utilisateur et provoquant un verrouillage. L'installer ou le réinstaller n'a aucun effet néfaste.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 5.3.1.1 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.