Désinstaller le paquet tftp-server
Garantit que le paquet tftp-server n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
tftp-server expose un service Trivial FTP sans authentification ni chiffrement, permettant à des clients distants de lire ou écrire des fichiers via un canal non sécurisé, un vecteur classique d'exfiltration et de dépôt de fichiers non autorisé. Le supprimer empêche toute activation accidentelle ou intentionnelle. Si TFTP est réellement nécessaire (par ex. distribution de configuration de routeurs), son usage doit être documenté, restreint au personnel autorisé et soumis à un contrôle d'accès.
Ce que vérifie Pavois
Pavois vérifie que le paquet tftp-server est absent de la base de paquets. Un binaire serveur présent peut être (re)démarré pour exposer un port de transfert de fichiers non authentifié, donc la requête de paquet est le signal qui fait autorité quel que soit l'état actuel de l'unité/inetd.
describe package('tftpd-hpa') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur la famille RHEL, exécutez rpm -q tftp-server : attendez package tftp-server is not installed. Éventuellement, confirmez qu'aucun service n'écoute sur UDP/69 avec ss -lnup | grep ':69' (aucune sortie).
Inspecter et investiguer
La suppression est enregistrée par le gestionnaire de paquets : dnf history / rpm -q --last tftp-server (RHEL) ou grep tftp /var/log/dpkg.log (Debian/Ubuntu). Les transferts TFTP passés, si le service a tourné, apparaissent dans journalctl -u tftp ou /var/log/messages.
Remédiation
Le plan de durcissement de Pavois déclare la ressource package tftp-server avec l'action remove ; ainsi pavois harden apply la désinstalle via le gestionnaire de paquets système (dnf/apt).
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | tftpd-hpa |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un tftp-server installé est un service de fichiers non authentifié pouvant être détourné pour de l'exfiltration ou du dépôt de malware. Précaution avant application : si cet hôte est un serveur PXE/démarrage réseau ou de configuration d'équipements légitime, la suppression cassera ces flux, ne conservez le paquet qu'avec une justification documentée et un contrôle d'accès ; sinon la suppression est le choix sûr par défaut.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| CIS | 2.1.16, 2.2.4, 2.1.17 | direct | per OS, see the benchmark table | haute |
| NIST | CM-6(a), CM-7(a), CM-7(b) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.4 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.