Désinstaller le paquet Sendmail
Garantit que le paquet MTA sendmail n'est pas installé (utilisez Postfix si un MTA est nécessaire).
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le MTA sendmail n'a pas été conçu dans une optique de sécurité et son architecture monolithique le rend difficile à confiner efficacement avec SELinux, augmentant l'impact de toute compromission du service de messagerie. Lorsqu'un agent de transfert de courrier est nécessaire, Postfix (mieux isolé et confinable par SELinux) doit être utilisé à la place. Supprimer sendmail réduit la surface d'attaque et évite d'exécuter un service réseau exposé et difficile à confiner.
Ce que vérifie Pavois
Pavois interroge la base de paquets avec describe package('sendmail') et vérifie qu'il should_not be_installed, en lisant l'état d'installation réel plutôt qu'en cherchant des fichiers /etc/mail qui pourraient subsister sans le démon.
describe package('sendmail') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Debian/Ubuntu : dpkg -s sendmail → package 'sendmail' is not installed. RPM : rpm -q sendmail → package sendmail is not installed. Vérifiez que rien n'écoute en SMTP avec ss -ltnp | grep :25 (ou qu'il s'agit de Postfix, pas de sendmail).
Inspecter et investiguer
La suppression est journalisée dans /var/log/dpkg.log (Debian/Ubuntu) ou dnf history / /var/log/dnf.rpm.log (RPM). L'activité de messagerie, si sendmail a tourné, apparaît dans /var/log/maillog (RPM) ou /var/log/mail.log (Debian/Ubuntu). Confirmez l'état avec dpkg -l sendmail / rpm -q sendmail.
Remédiation
Le plan de durcissement de Pavois supprime le paquet sendmail (ressource package, action remove). Appliquez-le avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | sendmail |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Supprimer sendmail arrête la distribution de courrier local et sortant qu'il gère. Avant d'appliquer, vérifiez si des outils système, tâches cron ou supervision s'appuient sur un MTA local pour envoyer du courrier ; si oui, installez et configurez Postfix au préalable afin que la commande de compatibilité sendmail fonctionne encore. Sans MTA, les courriels des tâches planifiées et des alertes seront silencieusement perdus.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| NIST | CM-6(a), CM-7(a), CM-7(b) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.