<div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">&gt; Are those<br>
&gt; indications sufficient for addition to the SSG, perhaps with a low<br>
&gt; severity?<br>
<br>
For the security discussion (non-compliance) portion, it&#39;s certainly<br>
worth including as a discussion point (and making available as a Rule<br>
for parties who may have specific use cases where this might really<br>
matter).  For a baseline with a wide audience such as the STIG, I had<br>
argued against inclusion.  But if you feel that there&#39;s value in<br>
enforcing this as a compliance check (which is to say, that the security<br>
benefits outweigh the costs as part of maintaining the baseline as well<br>
as of enforcement itself), please say so and throw a patch up to the list.<br></blockquote><div><br></div><div>And this is why I&#39;m interested in participating in this community, because it is way easier to make good arguments for risk acceptance or avoidance when the provenance of the requirements is known. I&#39;m with Jeffery on this one, but good luck getting this past anyone who is used to the old rules, or is simply applying the RHEL 5 profile to RHEL 6. Grr. </div>

<div><br></div><div>I&#39;m also in favor of postfix, although we never did get the RHEL 5 CIS benchmark to recommend deprecation of sendmail.</div>
<div><br></div><div>Andrew </div></div>