Désinstaller le paquet nfs-common
Supprime le paquet nfs-common (support client NFS) lorsque l'hôte ne monte ni ne sert de partages NFS.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le paquet nfs-common fournit le support NFS côté client (rpc.statd, rpc.gssd, assistants mount.nfs) nécessaire pour monter des partages NFS distants. NFS s'appuie sur la pile RPC/portmapper, qui a un long historique de vulnérabilités et expose des services en écoute supplémentaires. Si le système ne monte pas de partages NFS et n'agit pas comme client NFS, supprimer le paquet réduit la surface d'attaque distante et élimine des démons RPC inutiles.
Ce que vérifie Pavois
Pavois interroge la base de paquets via la ressource InSpec package('nfs-common') et vérifie should_not be_installed, en s'appuyant sur dpkg. Lire l'inventaire effectif est plus fiable que de vérifier les montages NFS actifs avec findmnt : un hôte peut avoir la pile cliente installée et prête à monter sans aucun montage actif, donc l'état du paquet est l'indicateur définitif de l'absence de code client NFS.
describe package('nfs-common') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Exécutez dpkg -s nfs-common ; attendu : not installed (ou dpkg-query: package 'nfs-common' is not installed). Confirmez l'absence de montages NFS avec findmnt -t nfs,nfs4 (aucune sortie attendue) et de démons RPC avec ss -lntup | grep -E ':111|rpc'.
Inspecter et investiguer
La suppression est tracée dans /var/log/dpkg.log. L'activité antérieure du client NFS (statd, récupération de verrous) apparaît dans journalctl -u rpc-statd et le journal noyau (dmesg). Après suppression, ces unités ne doivent plus exister.
Remédiation
Le plan de durcissement de Pavois déclare une ressource package pour nfs-common avec l'action remove ; pavois harden apply le désinstalle via apt, ce qui arrête aussi les démons clients RPC associés. Attention : de nombreux métapaquets bureau ou d'intégration dépendent de nfs-common, donc apt peut les retirer ou bloquer, vérifiez la transaction apt avant d'appliquer sur un hôte non serveur.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | nfs-common |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Supprimer nfs-common désactive la capacité de l'hôte à monter des partages NFS ; toute application ou entrée fstab reposant sur un montage NFS échouera. Précautions : avant d'appliquer, exécutez findmnt -t nfs,nfs4 et vérifiez /etc/fstab pour des entrées NFS, si l'hôte dépend de NFS (par ex. répertoires home partagés), ne le supprimez pas. Vérifiez aussi qu'aucun métapaquet nécessaire ne sera retiré par la désinstallation apt. Sur les hôtes n'utilisant jamais NFS, la suppression est sans danger et réduit l'exposition RPC.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| DISA STIG | UBTU-22-215040 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.