Désinstaller le paquet rsh
Garantit que le paquet rsh (clients hérités rsh/rcp/rlogin) n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Sur les systèmes à base de RPM, le paquet rsh fournit les clients hérités rsh, rcp et rlogin, qui transmettent les identifiants et les données de session en clair. Ils présentent des failles bien connues et ont été remplacés par SSH depuis longtemps. Même sans serveur rsh, laisser les clients installés permet aux utilisateurs de lancer par inadvertance rsh ou rlogin et d'exposer leurs identifiants à un espion réseau ou à un serveur usurpé.
Ce que vérifie Pavois
Pavois interroge directement la base RPM avec describe package('rsh') et vérifie qu'il should_not be_installed. Cela reflète l'état d'installation réel, qu'une analyse par chemin de fichier pourrait manquer ou mal rapporter.
describe package('rsh') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur AlmaLinux/Fedora, exécutez rpm -q rsh. Sortie attendue : package rsh is not installed. Vous pouvez aussi confirmer avec command -v rsh rlogin rcp (aucune sortie).
Inspecter et investiguer
Les transactions de paquets sont enregistrées par DNF/RPM : consultez dnf history ou /var/log/dnf.rpm.log (filtrez avec grep rsh). Utilisez rpm -q rsh pour confirmer l'état courant.
Remédiation
Le plan de durcissement de Pavois supprime le paquet rsh (ressource package, action remove). Appliquez-le avec pavois harden apply. Cela retire les binaires clients rsh, rcp et rlogin.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | rsh |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Suppression à faible risque sur les systèmes modernes. Avant d'appliquer, vérifiez qu'aucun script ni automatisation n'invoque encore rsh, rcp ou rlogin, et migrez-les vers ssh/scp. Aucun service n'est affecté et il n'y a pas de risque de verrouillage, ces outils étant uniquement des clients.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| NIST | 3.1.13 | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.4 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.