SOCLE-RUN-SVC-014// systemd servicesmoyenneruntime effectif

Désactiver le service Dovecot

Garantit que le serveur IMAP/POP3 Dovecot (dovecot.service) est désactivé et arrêté, sauf si l'hôte est un serveur de messagerie voulu.

Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.

Un PASS prouve✓ actif maintenant✓ sur disque✓ survit au rebootle verdict qualifié →

Debian 12CIS 1.1.0Debian 13CIS 1.0.0FedoraRHEL 10 / Rocky 10 / AlmaLinux 10RHEL 8 / Rocky 8 / AlmaLinux 8CIS 4.0.0RHEL 9 / Rocky 9 / AlmaLinux 9CIS 2.0.0Ubuntu 22.04CIS 3.0.0Ubuntu 24.04CIS 1.0.0Ubuntu 26.04

✓ Un seul check, mappé sur 1 norme

CIS

2.1.8

direct

Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.

Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.

Pourquoi cette règle

Dovecot expose un serveur de récupération de courrier IMAP/POP3 sur le réseau, ce qui constitue une voie d'attaque distante. À moins que l'hôte ne soit un serveur de messagerie voulu, il doit être désactivé pour réduire la surface d'attaque.

Ce que vérifie Pavois

Pavois interroge l'état résolu de l'unité avec systemctl is-enabled / is-active pour dovecot.service. L'état effectif détecte un serveur activé via un drop-in ou une activation socket qu'un scan des fichiers de /etc/dovecot/ manquerait.

describe service('dovecot.service') do
  it { should_not be_enabled }
  it { should_not be_running }
end

Comment vérifier qu’elle est appliquée

Exécutez systemctl is-enabled dovecot.service (résultat attendu disabled ou not-found) et systemctl is-active dovecot.service (résultat attendu inactive).

Inspecter et investiguer

Vérifiez systemctl show dovecot.service (champs UnitFileState, ActiveState) et journalctl -u dovecot.service ; les événements d'accès au courrier apparaissent aussi dans /var/log/mail.log.

Remédiation

Le plan harden de Pavois applique une ressource service sur dovecot avec les actions disable et stop, de sorte que le serveur IMAP/POP3 reste éteint après les redémarrages et soit arrêté immédiatement. Appliquez-le avec pavois harden apply.

Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :

action	disable, stop
name	dovecot
resource	service

pavois harden plan local

où la cible est local, un alias SSH user@hôte, ou un conteneur , Docs

Impact & précautions

Sur un hôte qui n'est pas un serveur de messagerie, désactiver dovecot.service n'a aucun impact fonctionnel. Précaution : si des utilisateurs récupèrent leur courrier depuis cette machine via IMAP/POP3, ne la désactivez pas, leurs clients de messagerie perdraient l'accès ; documentez plutôt l'exception.

Mapping des normes

Norme	Référence	Type	Version	Confiance
CIS	2.1.8	direct	per OS, see the benchmark table	haute

Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.

Sources & références