Désinstaller le paquet Samba
Garantit que le paquet samba (services SMB/CIFS smbd/nmbd) n'est pas installé quand il n'est pas nécessaire.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le paquet samba exécute les services smbd/nmbd qui mettent en œuvre le partage de fichiers et d'imprimantes SMB/CIFS. SMB a un long historique de vulnérabilités graves (par exemple la famille EternalBlue) et expose un service réseau en écoute. Sur un système qui n'a pas besoin de servir des partages de fichiers Windows, supprimer Samba élimine ce service exposé et constitue une protection contre son activation accidentelle.
Ce que vérifie Pavois
Pavois interroge la base de paquets avec describe package('samba') et vérifie qu'il should_not be_installed, reflétant l'état d'installation réel au lieu de déduire la présence d'un fichier de configuration qui peut exister sans le démon.
describe package('samba') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Debian/Ubuntu : dpkg -s samba → package 'samba' is not installed. RPM : rpm -q samba → package samba is not installed. Vérifiez l'absence d'écoute SMB avec ss -ltnp | grep -E ':445|:139' (aucune sortie).
Inspecter et investiguer
La suppression est journalisée dans /var/log/dpkg.log (Debian/Ubuntu) ou dnf history / /var/log/dnf.rpm.log (RPM). L'activité des services Samba, s'ils ont tourné, apparaît via journalctl -u smbd -u nmbd. Confirmez l'état avec dpkg -l samba / rpm -q samba.
Remédiation
Le plan de durcissement de Pavois supprime le paquet samba (ressource package, action remove). Appliquez-le avec pavois harden apply. Cela désinstalle les services smbd/nmbd.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | samba |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Supprimer Samba arrête tout partage de fichiers et d'imprimantes SMB/CIFS fourni par cet hôte. Avant d'appliquer, vérifiez qu'aucun client (machines Windows, autres serveurs, outils de sauvegarde) ne monte des partages depuis ce serveur. Cette règle vise le serveur Samba ; les montages clients via cifs-utils ne sont pas concernés. Migrez ou retirez les partages dépendants avant la suppression.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.1.14, 2.1.6 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.