Désinstaller le paquet telnet-server
Garantit que le paquet telnet-server n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
telnet-server fournit un service d'accès distant non chiffré n'offrant aucune confidentialité ni intégrité pour les mots de passe ou la session. Si un utilisateur privilégié s'y connecte, son mot de passe peut être capturé sur le réseau. C'est une fonctionnalité superflue qui élargit la surface d'attaque ; la supprimer empêche l'activation accidentelle ou intentionnelle de telnet.
Ce que vérifie Pavois
Pavois vérifie que le paquet telnet-server est absent de la base de paquets. Un binaire serveur présent peut être (re)démarré pour exposer un port de connexion en clair, donc la requête de paquet est le signal qui fait autorité, indépendamment d'une unité actuellement activée ou non.
describe package('telnetd') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur la famille RHEL, exécutez rpm -q telnet-server : attendez package telnet-server is not installed. Éventuellement, confirmez qu'aucun service n'écoute sur le port 23 avec ss -lntp | grep ':23' (aucune sortie).
Inspecter et investiguer
La suppression est enregistrée par le gestionnaire de paquets : dnf history / rpm -q --last telnet-server (RHEL) ou grep telnet-server /var/log/dpkg.log (Debian/Ubuntu). Les connexions telnet passées, si le service a tourné, apparaissent dans /var/log/secure ou /var/log/auth.log.
Remédiation
Le plan de durcissement de Pavois déclare la ressource package telnet-server avec l'action remove ; ainsi pavois harden apply la désinstalle via le gestionnaire de paquets système (dnf/apt).
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | telnetd |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Conserver telnet-server installé expose à la capture en clair d'identifiants privilégiés et au détournement de session. Précaution avant application : assurez-vous que l'accès SSH fonctionne et qu'aucun équipement ou automatisation n'atteint cet hôte en telnet (port 23) ; sinon la suppression pourrait verrouiller un système administré via telnet. Une fois SSH vérifié, la suppression est sûre.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| CIS | 2.2.4, 2.1.16, 2.1.15 | direct | per OS, see the benchmark table | haute |
| NIST | CM-6(a), CM-7(a), CM-7(b) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.4 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.