Désinstaller le paquet nfs-kernel-server
Supprime le paquet nfs-kernel-server (le serveur NFS) lorsque l'hôte n'a pas besoin d'exporter de partages NFS.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le paquet nfs-kernel-server fournit le serveur NFS intégré au noyau (nfsd, rpc.mountd, exports), transformant l'hôte en serveur de fichiers NFS. Il expose la pile RPC/portmapper et les démons NFS sur le réseau, une surface historiquement vulnérable. Si le système n'a pas besoin d'exporter de partages NFS, supprimer le paquet élimine ces services en écoute et réduit la surface d'attaque distante.
Ce que vérifie Pavois
Pavois interroge la base de paquets via la ressource InSpec package('nfs-kernel-server') et vérifie should_not be_installed, en s'appuyant sur dpkg. L'inventaire effectif est plus fiable que l'inspection de /etc/exports : un fichier d'exports vide ne prouve pas la disparition du serveur, et les démons peuvent être réactivés une fois installés. L'état du paquet indique de manière définitive si le code serveur NFS est présent.
describe package('nfs-kernel-server') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Exécutez dpkg -s nfs-kernel-server ; attendu : not installed. Confirmez l'absence d'exports avec exportfs -v (commande absente ou sans sortie) et l'absence d'écoute nfsd via ss -lntup | grep :2049 (aucune sortie attendue).
Inspecter et investiguer
La suppression est tracée dans /var/log/dpkg.log. L'activité antérieure du serveur NFS, les demandes de montage et les erreurs d'export apparaissent dans journalctl -u nfs-server et journalctl -u rpc-mountd. Après suppression, ces unités ne doivent plus exister.
Remédiation
Le plan de durcissement de Pavois déclare une ressource package pour nfs-kernel-server avec l'action remove ; pavois harden apply le désinstalle via apt, ce qui arrête nfs-server et les démons RPC associés. Supprimer le paquet serveur ne retire pas le support client (nfs-common) ; c'est une règle distincte.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | nfs-kernel-server |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Supprimer nfs-kernel-server empêche l'hôte de servir du NFS ; les clients montant ses exports perdront l'accès. Précautions : avant d'appliquer, vérifiez /etc/exports et exportfs -v, si cet hôte est un serveur de fichiers dont d'autres systèmes dépendent, ne le supprimez pas (ou migrez d'abord ces partages). Prévenez les clients de l'interruption. Sur les hôtes n'ayant jamais exporté de NFS, la suppression est sans danger et réduit la surface d'attaque réseau.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.1.9 | direct | per OS, see the benchmark table | haute |
| DISA STIG | UBTU-22-215040, UBTU-24-100050 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.