Was ist normalerweise auf den meisten Linux-Servern standardmäßig deaktiviert?

Wenn Sie einen neuen Linux-Server bereitstellen – sei es ein VPS, ein dedizierter Bare-Metal-Server oder eine in der Cloud gehostete virtuelle Maschine – werden Sie feststellen, dass das System in einer bewusst minimalistischen und gehärteten Umgebung startet. Dies ist kein Versehen, sondern eine bewusste Designentscheidung. Moderne Linux-Distributionen entfernen unnötige Dienste und Funktionen, um die Angriffsfläche zu minimieren, Systemressourcen zu schonen und Administratoren eine fein abgestufte Kontrolle darüber zu geben, was aktiviert ist. Im Folgenden werden die gängigsten Funktionen und Dienste, die standardmäßig deaktiviert (oder einfach nicht vorhanden) sind, näher betrachtet und es wird erläutert, warum dies sowohl für die Sicherheit als auch für die Betriebseffizienz von Bedeutung ist.

Root-SSH-Anmeldung

Der direkte Root-Zugang über SSH ist in aktuellen Linux-Server-Builds fast durchgängig deaktiviert. Die Gewährung von Remote-Root-Zugriff ist eine eklatante Schwachstelle: Ein einziges kompromittiertes Kennwort ist gleichbedeutend mit der vollständigen Übernahme des Systems.

Stattdessen wird von den Administratoren erwartet, dass sie sich mit einem nicht privilegierten Benutzer anmelden und ihre Rechte über sudo oder su erweitern.

Überprüfung:

Sie sollten sehen:

Passwort-Authentifizierung in SSH

Auf vielen in der Cloud bereitgestellten Servern ist die Kennwortauthentifizierung ebenfalls deaktiviert, so dass SSH-Schlüssel der einzige Authentifizierungsmechanismus sind. Schlüssel sind resistent gegen Brute-Force-Angriffe und erhöhen die Hürde für unbefugte Zugriffsversuche erheblich.

Herkömmliche ISO-Installationen erlauben zwar weiterhin die Anmeldung mit Kennwörtern, aber es empfiehlt sich, diese sofort zu deaktivieren.

Überprüfen:

Veraltete Netzwerkprotokolle

Ältere Dienste wie Telnet, FTP, Rlogin und Rsh sind in modernen Server-Builds nicht mehr enthalten. Diese Protokolle übertragen Anmeldeinformationen und Daten im Klartext, wodurch sie leicht abgefangen werden können.

Sie wurden abgelöst durch:

SSH für den Remote-Shell-Zugang
SFTP/FTPS für sichere Dateiübertragungen

Prüfen Sie auf aktive Dienste:

Wenn Ports wie 21 (FTP) oder 23 (Telnet) nicht angezeigt werden, sind diese Dienste nicht aktiv.

Grafische Benutzeroberflächen (GUI)

Im Gegensatz zu Desktop-Distributionen werden die Server-Editionen nicht mit GNOME, KDE oder anderen grafischen Umgebungen ausgeliefert. Eine grafische Benutzeroberfläche verbraucht Speicher und CPU-Zyklen und führt zusätzliche Software-Abhängigkeiten ein, die die Sicherheitsanforderungen erhöhen können.

Die Erwartung ist klar: Server sollen über die CLI über SSH verwaltet werden.

Entwicklungs-Toolchains

Compiler wie gcc und Build-Utilities wie make sind in den meisten Minimal-Server-Images absichtlich nicht enthalten. Der Grund dafür ist ein doppelter:

Die Größe des Basis-Images soll reduziert werden.
Um zu verhindern, dass ein Angreifer, sollte er Zugang erhalten, bösartige Binärdateien im Handumdrehen kompiliert.

Prüfen Sie, ob GCC vorhanden ist:

Wenn der Befehl nicht gefunden wird, ist die Toolchain nicht installiert.

Installieren Sie sie bei Bedarf manuell:

ICMP (Ping)

Die meisten Linux-Server antworten standardmäßig auf ICMP-Echo-Anfragen, obwohl einige Hosting-Anbieter dies auf Firewall-Ebene deaktivieren. Die Unterdrückung von ICMP-Antworten macht einen Server für Netzwerk-Scans weniger sichtbar, stört aber auch die Überwachung und Diagnose.

Test:

IPv6

IPv6 ist in modernen Distributionen wie Ubuntu, Debian und RHEL-Derivaten standardmäßig aktiviert. Viele Hosting-Anbieter deaktivieren es jedoch auf der Netzwerkebene, wenn sie keine IPv6-Konnektivität anbieten.

Prüfen Sie auf IPv6-Adressen:

Schlussfolgerung

Standard-Linux-Server werden absichtlich in einem sicheren, abgespeckten Zustand bereitgestellt. Der Root-SSH-Login ist deaktiviert, die Kennwortauthentifizierung ist oft eingeschränkt, und ältere Protokolle werden ganz weggelassen. Es wird keine grafische Umgebung bereitgestellt, und Compiler sind von den Basis-Builds ausgeschlossen.

Im Gegensatz dazu bleiben Dienste wie ICMP und IPv6 standardmäßig aktiviert, können aber je nach der Sicherheitslage des Anbieters eingeschränkt werden.

Mit dieser Philosophie “standardmäßig sicher, wahlweise erweiterbar” wird sichergestellt, dass die Administratoren die volle Handlungsfreiheit behalten: Der Server gibt nur das preis, was für seine vorgesehene Rolle ausdrücklich erforderlich ist. Dieses Modell maximiert sowohl die Betriebssicherheit als auch die Leistungseffizienz.