Désinstaller le paquet vsftpd
Garantit que le paquet serveur FTP vsftpd n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
vsftpd est un serveur FTP. FTP transmet identifiants et données en clair, il n'offre donc ni confidentialité ni intégrité et est trivialement interceptable ou altérable sur le réseau. Retirer le paquet élimine le risque que le service soit démarré accidentellement ou intentionnellement, et réduit la surface d'attaque de l'hôte. Lorsqu'un transfert de fichiers est réellement nécessaire, utilisez plutôt sftp/scp via SSH ou FTPS.
Ce que vérifie Pavois
Pavois interroge la base de paquets via la ressource InSpec package('vsftpd') (rpm -q / dpkg -s). Vérifier le paquet lui-même, plutôt que seulement si l'écoute sur le port 21 est active à l'instant, garantit que le service ne pourra pas être démarré plus tard par un redémarrage, une dépendance ou un opérateur ; si le paquet est absent, l'unité vsftpd n'existe pas du tout.
describe package('vsftpd') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur famille RHEL : rpm -q vsftpd → package vsftpd is not installed. Sur Debian/Ubuntu : dpkg -s vsftpd → dpkg-query: package 'vsftpd' is not installed. Vous pouvez aussi confirmer qu'aucun service n'écoute en FTP avec ss -lntp | grep ':21' qui ne renvoie aucune ligne.
Inspecter et investiguer
- État du paquet :
rpm -q vsftpd/dpkg -s vsftpd; suppression enregistrée dans/var/log/dnf.rpm.logou/var/log/dpkg.log. - Activité FTP passée (avant suppression) :
journalctl -u vsftpdet/var/log/vsftpd.log.
Remédiation
Le plan de durcissement de Pavois déclare une ressource package pour vsftpd avec l'action remove, donc pavois harden apply le désinstalle (dnf remove vsftpd / apt-get purge vsftpd). Retirer le paquet supprime aussi l'unité de service vsftpd, aucun redémarrage n'est donc nécessaire.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | vsftpd |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Laisser vsftpd installé maintient un serveur FTP en clair qui peut être démarré et devenir un vecteur de fuite d'identifiants et d'altération de données. Avant d'appliquer : vérifiez qu'aucun flux ne dépend de cet hôte pour servir du FTP, consultez ss -lntp | grep ':21' et systemctl is-enabled vsftpd. Si le FTP est utilisé, migrez d'abord les clients vers sftp/FTPS, sinon les intégrations de transfert de fichiers casseront. La suppression n'affecte pas SSH, il n'y a donc aucun risque de verrouillage de l'administration à distance.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.1.6, 2.1.7 | direct | per OS, see the benchmark table | haute |
| NIST | CM-6(a), CM-7, CM-7(a), CM-7(b), IA-5(1)(c), IA-5(1).1(v) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.