SOCLE-RUN-SVC-012// systemd servicesmoyenneruntime effectif

Désactiver le service DHCPD6

Garantit que le serveur DHCP IPv6 (dhcpd6.service) est désactivé et arrêté, sauf si l'hôte est un serveur DHCPv6 voulu.

Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.

Un PASS prouve✓ actif maintenant✓ sur disque✓ survit au rebootle verdict qualifié →

Debian 12CIS 1.1.0Debian 13CIS 1.0.0RHEL 8 / Rocky 8 / AlmaLinux 8CIS 4.0.0RHEL 9 / Rocky 9 / AlmaLinux 9CIS 2.0.0Ubuntu 22.04CIS 3.0.0Ubuntu 24.04CIS 1.0.0Ubuntu 26.04

✓ Un seul check, mappé sur 1 norme

CIS

2.1.3

direct

Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.

Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.

Pourquoi cette règle

Un serveur DHCPv6 non géré ou activé par inadvertance peut distribuer des adresses, routes ou DNS erronés aux clients, détournant le trafic IPv6 et perturbant un serveur DHCP légitime du réseau.

Ce que vérifie Pavois

Pavois interroge l'état résolu de l'unité avec systemctl is-enabled / is-active pour dhcpd6.service. L'état effectif révèle un serveur activé par un drop-in ou par activation socket qu'un simple examen des fichiers de /etc/dhcp ne détecterait pas.

describe service('isc-dhcp-server6.service') do
  it { should_not be_enabled }
  it { should_not be_running }
end

Comment vérifier qu’elle est appliquée

Exécutez systemctl is-enabled dhcpd6.service (résultat attendu disabled ou not-found) et systemctl is-active dhcpd6.service (résultat attendu inactive).

Inspecter et investiguer

Vérifiez systemctl show dhcpd6.service (champs UnitFileState, ActiveState) et journalctl -u dhcpd6.service ; une activité de baux indésirable apparaît aussi dans /var/log/syslog.

Remédiation

Le plan harden de Pavois applique une ressource service sur dhcpd6 avec les actions disable et stop, de sorte que le serveur DHCP IPv6 reste éteint après les redémarrages et soit arrêté immédiatement. Appliquez-le avec pavois harden apply.

Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :

action	disable, stop
name	isc-dhcp-server6.service
resource	service

pavois harden plan local

où la cible est local, un alias SSH user@hôte, ou un conteneur , Docs

Impact & précautions

Sur un hôte qui n'est pas un serveur DHCPv6, désactiver dhcpd6.service n'a aucun impact fonctionnel. Précaution : si cette machine fournit légitimement des baux IPv6, ne la désactivez pas, les clients perdraient leur adressage IPv6 ; documentez plutôt l'exception.

Mapping des normes

Norme	Référence	Type	Version	Confiance
CIS	2.1.3	direct	per OS, see the benchmark table	haute

Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.

Sources & références