Désinstaller le paquet rsh-client
Garantit que le paquet rsh-client (clients hérités rsh/rcp/rlogin) n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le paquet rsh-client fournit les clients hérités rsh, rcp et rlogin, qui transmettent les identifiants et les données de session en clair sur le réseau. Un attaquant sur le chemin peut trivialement capturer les mots de passe ou détourner la session. Ces outils sont remplacés par SSH depuis des décennies. Même sans serveur rsh présent, laisser les clients installés incite les utilisateurs à taper rsh hôte ou rlogin hôte par habitude et à divulguer leurs identifiants à un serveur malveillant ou usurpé.
Ce que vérifie Pavois
Pavois interroge directement la base de paquets avec describe package('rsh-client') et vérifie qu'il should_not be_installed. Cela reflète ce qui est réellement présent sur le système, sans pouvoir être trompé par un binaire isolé ou un alias comme le ferait une vérification de chemin de fichier.
describe package('rsh-client') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur Debian/Ubuntu, exécutez dpkg -s rsh-client. Sortie attendue : dpkg-query: package 'rsh-client' is not installed. Vous pouvez aussi vérifier la disparition des binaires avec command -v rsh rlogin rcp (aucune sortie).
Inspecter et investiguer
Les opérations sur les paquets sont journalisées dans /var/log/dpkg.log (filtrez avec grep rsh-client /var/log/dpkg.log) et dans /var/log/apt/history.log. Utilisez dpkg -l rsh-client pour confirmer l'état courant.
Remédiation
Le plan de durcissement de Pavois supprime le paquet rsh-client (ressource package, action remove). Appliquez-le avec pavois harden apply. Cela retire aussi les binaires clients rsh, rcp et rlogin.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | rsh-client |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
La suppression des clients présente un faible risque sur les systèmes modernes. Avant d'appliquer, vérifiez qu'aucune automatisation ni script n'appelle encore rsh, rcp ou rlogin vers des hôtes hérités, migrez-les d'abord vers ssh/scp. Aucune interruption de service ni risque de verrouillage, ces outils étant uniquement des clients.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| CIS | 2.2.2, 2.2.4 | direct | per OS, see the benchmark table | haute |
| NIST | 3.1.13 | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.4 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.