Supprimer le client tftp
Garantit que le paquet client tftp n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le client tftp parle le protocole Trivial FTP, un transfert de fichiers UDP sans authentification ni chiffrement. Le conserver permet aux utilisateurs de récupérer ou d'envoyer des fichiers via un canal non sécurisé. Sauf besoin spécifique (par ex. un serveur de démarrage/PXE), le supprimer réduit la surface d'attaque.
Ce que vérifie Pavois
Pavois vérifie que le paquet tftp est absent de la base de paquets. La présence du binaire client constitue l'exposition pertinente, donc interroger directement le gestionnaire de paquets est le signal qui fait autorité.
describe package('tftp') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur Debian/Ubuntu, exécutez dpkg -s tftp : attendez package 'tftp' is not installed ; sur la famille RHEL, exécutez rpm -q tftp : attendez package tftp is not installed.
Inspecter et investiguer
La suppression est enregistrée par le gestionnaire de paquets : grep tftp /var/log/dpkg.log (Debian/Ubuntu) ou dnf history / rpm -q --last tftp (famille RHEL).
Remédiation
Le plan de durcissement de Pavois déclare la ressource package tftp avec l'action remove ; ainsi pavois harden apply désinstalle le client via le gestionnaire de paquets système (apt/dnf).
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | tftp |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Supprimer le client tftp présente un faible risque sur la plupart des serveurs. Précaution : le provisionnement PXE, l'outillage de démarrage réseau et certaines mises à jour d'équipements/firmware récupèrent des fichiers en TFTP ; si une tâche opérationnelle utilise le client tftp, remplacez-le par un transfert authentifié/chiffré (SCP/SFTP/HTTPS) avant de supprimer le paquet.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| CIS | 2.2.4, 2.2.5 | direct | per OS, see the benchmark table | haute |
| PCI DSS | 2.2.4 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.