Installer le paquet serveur OpenSSH
Garantit que le paquet openssh-server (le démon sshd pour l'accès distant chiffré) est installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le paquet openssh-server fournit sshd, le démon qui permet l'administration distante chiffrée. Sans protection des informations transmises, la confidentialité et l'intégrité peuvent être compromises car des communications non protégées peuvent être interceptées, puis lues ou altérées. OpenSSH est le mécanisme standard et durci pour l'accès distant sécurisé et remplace les protocoles en clair comme telnet et rsh.
Ce que vérifie Pavois
Pavois interroge le gestionnaire de paquets pour savoir si openssh-server est installé via la ressource InSpec package (rpm -q openssh-server sur RHEL, dpkg-query -W openssh-server sur Ubuntu). Interroger directement l'état des paquets installés confirme la présence de sshd, plutôt que de deviner d'après l'existence de /etc/ssh/sshd_config.
describe package('openssh-server') do
it { should be_installed }
endComment vérifier qu’elle est appliquée
Exécutez rpm -q openssh-server (RHEL) ou dpkg-query -W -f='${Status}\n' openssh-server (Ubuntu). La sortie attendue est un nom de paquet versionné / install ok installed. Le démon peut ensuite être confirmé avec systemctl is-active sshd (ou ssh).
Inspecter et investiguer
rpm -q openssh-server/dpkg-query -W openssh-server, confirme que le paquet est installé.systemctl show sshd, affiche l'état résolu du démon.journalctl -u ssh(Ubuntu) oujournalctl -u sshd(RHEL), affiche les événements de connexion et d'authentification.
Remédiation
Le plan de durcissement de Pavois déclare une ressource package pour openssh-server avec l'action install et l'applique avec pavois harden apply, ce qui exécute dnf install openssh-server (ou apt-get install openssh-server) en arrière-plan. L'activation et le durcissement de sshd (authentification par clé, politique de connexion root) sont régis par des contrôles SSH distincts.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | install |
|---|---|
| name | openssh-server |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Installer openssh-server active un démon exposé au réseau. Sur la plupart des serveurs, c'est attendu et requis pour l'administration distante. Précaution : une fois installé et démarré, sshd écoute sur le port 22, assurez-vous que le pare-feu, sshd_config (désactiver la connexion root par mot de passe, privilégier les clés) et des protections de type fail2ban sont en place afin de ne pas exposer un service mal configuré. Sur les hôtes qui ne doivent avoir aucun accès distant, ce contrôle peut ne pas s'appliquer.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| NIST | CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| DISA STIG | UBTU-22-255010, UBTU-24-100800 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.