Désinstaller le paquet rsync
Garantit que le paquet rsync (et son démon rsyncd) n'est pas installé quand il n'est pas nécessaire.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le paquet rsync peut exécuter un démon rsyncd qui, dans son protocole natif, échange des données sans chiffrement et historiquement sans authentification forte, exposant les fichiers transférés et potentiellement l'hôte à des attaquants réseau. Sur un serveur durci où la synchronisation de fichiers n'est pas nécessaire, supprimer rsync élimine cette surface d'attaque et empêche l'activation accidentelle du démon.
Ce que vérifie Pavois
Pavois interroge la base de paquets avec describe package('rsync') et vérifie qu'il should_not be_installed, en lisant l'état d'installation réel plutôt qu'en devinant à partir d'un chemin de binaire qui pourrait être un reste ou un lien symbolique.
describe package('rsync') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Debian/Ubuntu : dpkg -s rsync → package 'rsync' is not installed. RPM : rpm -q rsync → package rsync is not installed. Vérifiez qu'aucun démon n'écoute avec ss -ltnp | grep :873 (aucune sortie).
Inspecter et investiguer
La suppression est journalisée dans /var/log/dpkg.log (Debian/Ubuntu) ou dnf history / /var/log/dnf.rpm.log (RPM). Si rsyncd a tourné, son activité apparaît via journalctl -u rsync. Confirmez l'état avec dpkg -l rsync / rpm -q rsync.
Remédiation
Le plan de durcissement de Pavois supprime le paquet rsync (ressource package, action remove). Appliquez-le avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | rsync |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
rsync est largement utilisé pour les sauvegardes et les transferts de fichiers. Avant de le supprimer, vérifiez qu'aucune tâche de sauvegarde, script de déploiement ou tâche cron n'invoque rsync, sinon ils casseront. Si vous souhaitez seulement désactiver le service réseau, masquer rsync.service peut être préférable à la suppression du binaire ; ne retirez le paquet que lorsque l'outil lui-même est réellement inutilisé.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.1.13 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.