Désinstaller le paquet ypserv
Garantit que le paquet serveur NIS non sécurisé ypserv n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
ypserv est le démon serveur NIS (Network Information Service). NIS fournit un service d'authentification non chiffré qui ne protège ni la confidentialité ni l'intégrité des mots de passe des utilisateurs ou de la session distante, et présente un historique de vulnérabilités par déni de service et débordement de tampon. Retirer le paquet ypserv réduit le risque d'activation accidentelle ou intentionnelle de NIS/NIS+ et supprime une surface d'attaque à forte valeur ; les déploiements modernes doivent utiliser LDAP à la place.
Ce que vérifie Pavois
Pavois interroge la base de paquets via la ressource InSpec package('ypserv') (rpm -q / dpkg -s). Vérifier le paquet garantit que le serveur NIS ne peut pas être démarré pour servir des cartes d'identifiants non chiffrées ; si le paquet est absent, l'unité de service ypserv n'existe plus.
describe package('ypserv') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur famille RHEL : rpm -q ypserv → package ypserv is not installed. Sur Debian/Ubuntu : dpkg -s ypserv → dpkg-query: package 'ypserv' is not installed. Vous pouvez aussi confirmer qu'aucun service NIS ne tourne avec ss -lunp | grep ypserv qui ne renvoie aucune ligne.
Inspecter et investiguer
- État du paquet :
rpm -q ypserv/dpkg -s ypserv; suppression dans/var/log/dnf.rpm.logou/var/log/dpkg.log. - Activité passée du serveur NIS (avant suppression) :
journalctl -u ypserv.
Remédiation
Le plan de durcissement de Pavois déclare une ressource package pour ypserv avec l'action remove, donc pavois harden apply le désinstalle (dnf remove ypserv / apt-get purge ypserv). Retirer le paquet supprime aussi l'unité ypserv, aucun redémarrage n'est donc nécessaire.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | ypserv |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Si ypserv reste installé, cet hôte peut servir un annuaire NIS non chiffré exposant les cartes de mots de passe au réseau. Avant d'appliquer : confirmez que cette machine n'est pas un maître/esclave NIS actif servant d'autres hôtes, vérifiez systemctl is-enabled ypserv et si des clients s'y lient (ss -lunp | grep ypserv). Si c'est un serveur NIS en production, migrez les clients NIS vers LDAP/SSSD avant de le retirer, sinon ces clients perdent l'annuaire/l'authentification et peuvent se verrouiller. La suppression n'affecte pas l'accès SSH de cet hôte.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| CIS | 2.1.10, 2.2.4 | direct | per OS, see the benchmark table | haute |
| NIST | CM-6(a), CM-7(a), CM-7(b), IA-5(1)(c) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.4 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.