Désinstaller le paquet setroubleshoot-server
Garantit que le paquet setroubleshoot-server n'est pas installé, afin que le démon de notification SELinux SETroubleshoot ne s'exécute jamais sur l'hôte.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le démon SETroubleshoot (setroubleshootd) analyse les refus AVC de SELinux et affiche des notifications de bureau. C'est un outil de confort pour poste de travail qui n'a pas sa place sur un serveur : il exécute un service permanent, analyse des données de journaux non fiables et augmente la surface d'attaque sans aucun bénéfice opérationnel. Supprimer le paquet élimine un démon inutile et aligne l'hôte sur le principe de n'installer que les logiciels réellement nécessaires.
Ce que vérifie Pavois
Pavois interroge la base de données des paquets via la ressource package de CINC/InSpec et vérifie que le paquet est absent. Contrairement aux contrôles qui analysent des fichiers de configuration, cela reflète l'état effectif d'installation rapporté par dpkg/rpm, la même source que le gestionnaire de services consulte pour savoir si setroubleshootd peut démarrer.
describe package('setroubleshoot-server') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Confirmez que le paquet est absent :
- Debian/Ubuntu :
dpkg -s setroubleshoot-serverrenvoiepackage ... is not installed. - RHEL/Alma :
rpm -q setroubleshoot-serverrenvoiepackage setroubleshoot-server is not installed.
Inspecter et investiguer
- La suppression du paquet est enregistrée dans
/var/log/dpkg.log(Debian/Ubuntu) ou consultable viarpm -q --last setroubleshoot-serveret/var/log/dnf.log(RHEL). - Si le service tournait,
systemctl status setroubleshootddoit désormais indiquer not-found / inactive.
Remédiation
Le plan de durcissement de Pavois déclare une ressource package pour setroubleshoot-server avec l'action remove ; l'exécution de pavois harden apply le désinstalle donc via le gestionnaire de paquets natif (apt/dnf). Aucun redémarrage de service n'est nécessaire ; le démon cesse simplement d'exister.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | setroubleshoot-server |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
L'impact est minime sur un serveur : vous perdez les notifications graphiques des refus SELinux, sans intérêt sur une machine sans interface. Avant d'appliquer, vérifiez qu'aucun flux d'administration ne dépend de l'interface sealert pour trier les refus AVC, vous pouvez toujours inspecter les refus avec ausearch -m avc ou journalctl. Sa suppression ne désactive pas l'application de SELinux elle-même.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R49 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.