Supprimer le client NIS
Garantit que le paquet client NIS non sécurisé ypbind n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
ypbind est le démon client NIS (Network Information Service). NIS est intrinsèquement non sécurisé : il a été vulnérable à des attaques par déni de service et à des débordements de tampon, et offre une authentification faible lors de l'interrogation des cartes NIS, qu'il transmet sans chiffrement. NIS a été remplacé par des protocoles tels que LDAP. Le paquet client doit être retiré afin que l'hôte ne puisse pas se lier à un domaine NIS et divulguer des données d'annuaire ou d'identifiants.
Ce que vérifie Pavois
Pavois interroge la base de paquets via la ressource InSpec package('ypbind') (rpm -q). Vérifier le paquet garantit que le client NIS ne peut pas être démarré pour lier l'hôte à un domaine NIS ; si le paquet est absent, l'unité de service ypbind n'existe plus.
describe package('ypbind') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Exécutez rpm -q ypbind. Sortie attendue : package ypbind is not installed. Vous pouvez aussi confirmer que systemctl status ypbind renvoie Unit ypbind.service could not be found.
Inspecter et investiguer
- État du paquet :
rpm -q ypbind; suppression enregistrée dans/var/log/dnf.rpm.log. - Activité passée de liaison NIS (avant suppression) :
journalctl -u ypbindetypwhich(quel serveur NIS était lié).
Remédiation
Le plan de durcissement de Pavois déclare une ressource package pour ypbind avec l'action remove, donc pavois harden apply le désinstalle (dnf remove ypbind). Retirer le paquet supprime aussi l'unité ypbind, aucun redémarrage n'est donc nécessaire.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | ypbind |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Si ypbind reste installé, l'hôte peut se lier à un domaine NIS et dépendre d'un service d'annuaire non chiffré et faiblement authentifié pour les utilisateurs/identifiants. Avant d'appliquer : confirmez que l'hôte n'authentifie pas réellement d'utilisateurs et ne résout pas de cartes via NIS, vérifiez les entrées nis dans /etc/nsswitch.conf et ypwhich. Si NIS est encore utilisé pour la connexion, migrez d'abord vers LDAP/SSSD, sinon retirer le client peut casser l'authentification des utilisateurs et verrouiller les comptes qui ne se résolvent que via NIS. La suppression n'affecte pas l'accès SSH par clé existant.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| PCI DSS | 2.2.4 | support | 4.0.1 | moyenne |
| CIS | 2.2.3 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.