Désinstaller le paquet setroubleshoot-plugins
Garantit que le paquet setroubleshoot-plugins (plugins d'analyse SETroubleshoot) n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le paquet setroubleshoot-plugins fournit les plugins d'analyse du démon SETroubleshoot, qui interprète les refus AVC de SELinux et affiche des notifications de bureau. Cet assistant de dépannage est inutile sur un serveur, accroît la surface d'attaque et exécute du code analysant des événements de sécurité hors du chemin SELinux principal. Le supprimer (avec setroubleshoot) garde le serveur minimal et conforme au principe de n'installer que les logiciels nécessaires (ANSSI R49).
Ce que vérifie Pavois
Pavois interroge la base de paquets avec describe package('setroubleshoot-plugins') et vérifie qu'il should_not be_installed, reflétant l'état d'installation réel plutôt que de rechercher des fichiers de plugins sur le disque.
describe package('setroubleshoot-plugins') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
RPM : rpm -q setroubleshoot-plugins → package setroubleshoot-plugins is not installed. Debian/Ubuntu : dpkg -s setroubleshoot-plugins → package 'setroubleshoot-plugins' is not installed.
Inspecter et investiguer
La suppression est enregistrée par le gestionnaire de paquets : dnf history / /var/log/dnf.rpm.log (RPM) ou /var/log/dpkg.log (Debian/Ubuntu) ; filtrez avec grep setroubleshoot. Les refus SELinux eux-mêmes sont journalisés dans /var/log/audit/audit.log (type=AVC) indépendamment de ce paquet. Confirmez l'état avec rpm -q setroubleshoot-plugins.
Remédiation
Le plan de durcissement de Pavois supprime le paquet setroubleshoot-plugins (ressource package, action remove). Appliquez-le avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | setroubleshoot-plugins |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Supprimer les plugins ne désactive que les notifications de dépannage SELinux ; l'application de SELinux et l'audit AVC ne sont pas affectés. Aucun risque de disponibilité de service ni de verrouillage. Sur un serveur administré, vous perdez l'analyse conviviale sealert, mais les refus bruts restent dans /var/log/audit/audit.log pour le diagnostic.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R49 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.