Supprimer les clients telnet
Garantit que le paquet client telnet n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le client telnet parle un protocole non sécurisé et non chiffré : les identifiants et les données de session envoyés vers un hôte distant peuvent être capturés par quiconque sur le chemin réseau. Supprimer le client empêche les utilisateurs d'établir des sessions en clair et les oriente vers le client SSH chiffré.
Ce que vérifie Pavois
Pavois vérifie que le paquet telnet est absent de la base de paquets. La présence du binaire client constitue l'exposition pertinente (les utilisateurs pourraient ouvrir des sessions en clair vers n'importe quel hôte), donc interroger directement le gestionnaire de paquets est le signal qui fait autorité.
describe package('telnet') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur Debian/Ubuntu, exécutez dpkg -s telnet : attendez package 'telnet' is not installed ; sur la famille RHEL, exécutez rpm -q telnet : attendez package telnet is not installed.
Inspecter et investiguer
La suppression est enregistrée dans grep telnet /var/log/dpkg.log (Debian/Ubuntu) ou dnf history / rpm -q --last telnet (famille RHEL).
Remédiation
Le plan de durcissement de Pavois déclare la ressource package telnet avec l'action remove ; ainsi pavois harden apply désinstalle le client via le gestionnaire de paquets système (apt/dnf).
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | telnet |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Supprimer le client telnet est généralement sûr : SSH le remplace pour les shells distants. Précaution : le binaire telnet sert parfois de test rapide de port TCP (telnet hôte port) ; si des scripts ou administrateurs s'en servent, faites-les basculer vers nc/ncat ou ss/curl avant de supprimer le paquet.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| CIS | 2.2.4 | direct | per OS, see the benchmark table | haute |
| NIST | 3.1.13 | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.4 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.