Désinstaller le paquet rsh-server
Garantit que le paquet rsh-server (services non sécurisés rshd/rlogind/rexecd) n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le paquet rsh-server fournit les services rshd, rlogind et rexecd, qui offrent un accès distant non chiffré avec une authentification très faible fondée sur la confiance (.rhosts/hosts.equiv). Les mots de passe et toute la session circulent en clair ; un espion réseau peut donc capturer les identifiants et détourner les connexions, si un utilisateur privilégié s'y connecte, root peut être compromis. Supprimer le paquet élimine ces services obsolètes et empêche leur activation accidentelle ou malveillante.
Ce que vérifie Pavois
Pavois interroge la base de paquets avec describe package('rsh-server') et vérifie qu'il should_not be_installed. Vérifier le paquet réellement installé est plus fiable que rechercher des fichiers de configuration, qui peuvent être absents même lorsque le démon est présent.
describe package('rsh-server') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur Debian/Ubuntu : dpkg -s rsh-server → package 'rsh-server' is not installed. Sur AlmaLinux/Fedora : rpm -q rsh-server → package rsh-server is not installed. Vérifiez l'absence d'écoute avec ss -ltnp | grep -E ':513|:514' (aucune sortie).
Inspecter et investiguer
La suppression est enregistrée dans /var/log/dpkg.log (Debian/Ubuntu) ou dnf history / /var/log/dnf.rpm.log (RPM). Les connexions rsh passées, si le service a tourné, apparaîtraient dans /var/log/auth.log ou journalctl. Confirmez l'état avec dpkg -l rsh-server / rpm -q rsh-server.
Remédiation
Le plan de durcissement de Pavois supprime le paquet rsh-server (ressource package, action remove). Appliquez-le avec pavois harden apply. Cela arrête et désinstalle les services rshd/rlogind/rexecd.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | rsh-server |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Supprimer rsh-server coupe tout accès distant rsh/rlogin/rexec. Avant d'appliquer, assurez-vous que SSH est installé et fonctionnel pour conserver l'accès d'administration distant, et vérifiez qu'aucun hôte hérité ne dépend des relations de confiance rsh. Les sessions rsh entrantes seront interrompues ; migrez d'abord les clients vers SSH pour éviter toute coupure.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| CIS | 2.2.4 | direct | per OS, see the benchmark table | haute |
| NIST | CM-6(a), CM-7(a), CM-7(b), IA-5(1)(c) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.4 | support | 4.0.1 | moyenne |
| DISA STIG | UBTU-22-215030, UBTU-24-100040 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.