Qu’est-ce qui est normalement désactivé par défaut sur la plupart des serveurs Linux ?

Lorsque vous approvisionnez un nouveau serveur Linux – qu’il s’agisse d’un VPS, d’un serveur dédié bare-metal ou d’une machine virtuelle hébergée dans le nuage – vous remarquerez que le système démarre dans un environnement délibérément minimaliste et renforcé. Il ne s’agit pas d’un oubli, mais d’un choix de conception intentionnel. Les distributions Linux modernes suppriment les services et fonctionnalités inutiles afin de minimiser la surface d’attaque, d’économiser les ressources système et de permettre aux administrateurs de contrôler finement ce qui est activé. Nous allons analyser ci-dessous les fonctionnalités et les services les plus courants qui sont désactivés (ou simplement absents) par défaut, et expliquer pourquoi cela est important à la fois pour la sécurité et l’efficacité opérationnelle.

Connexion SSH à la racine

La connexion directe à la racine via SSH est presque universellement désactivée dans les serveurs Linux contemporains. Permettre l’accès à distance à la racine est une vulnérabilité flagrante : un seul mot de passe compromis équivaut à la propriété totale du système.

Au lieu de cela, les administrateurs sont censés se connecter avec un utilisateur non privilégié et élever leurs privilèges via sudo ou su.

Vérification :

Vous devriez voir :

Authentification par mot de passe en SSH

Sur de nombreux serveurs fournis par le cloud, l’authentification par mot de passe est également désactivée, laissant les clés SSH comme seul mécanisme d’authentification. Les clés sont résistantes aux attaques par force brute et augmentent considérablement les risques de tentatives d’accès non autorisé.

Les installations ISO traditionnelles peuvent encore autoriser les connexions par mot de passe, mais la meilleure pratique consiste à les désactiver immédiatement.

Vérification :

Protocoles réseau obsolètes

Les services hérités tels que Telnet, FTP, Rlogin et Rsh sont absents des serveurs modernes. Ces protocoles transmettent des informations d’identification et des données en clair, ce qui les rend faciles à intercepter.

Ils ont été remplacés par

SSH pour l’accès à distance au shell
SFTP/FTPS pour les transferts de fichiers sécurisés

Vérifiez si des services sont actifs :

Si des ports tels que 21 (FTP) ou 23 (Telnet) n’apparaissent pas, cela signifie que ces services ne sont pas en cours d’exécution.

Interfaces utilisateur graphiques (GUI)

Contrairement aux distributions de bureau, les éditions serveur ne sont pas livrées avec GNOME, KDE ou d’autres environnements graphiques. Une interface graphique consomme de la mémoire et des cycles d’unité centrale tout en introduisant des dépendances logicielles supplémentaires qui peuvent élargir l’empreinte de sécurité.

Les attentes sont claires : les serveurs doivent être gérés via la CLI et SSH.

Chaînes d’outils de développement

Les compilateurs tels que gcc et les utilitaires de construction tels que make sont intentionnellement absents de la plupart des images de serveurs minimaux. La raison en est double :

Réduire la taille de l’image de base.
Empêcher un attaquant, s’il obtient l’accès, de compiler des binaires malveillants à la volée.

Vérifier si GCC est présent :

Si la commande renvoie la mention ” not found”, cela signifie que la chaîne d’outils n’est pas installée.

Installez-la manuellement si nécessaire :

ICMP (Ping)

La plupart des serveurs Linux répondent par défaut aux demandes d’écho ICMP, bien que certains hébergeurs les désactivent au niveau du pare-feu. La suppression des réponses ICMP rend un serveur moins visible pour les scanners de réseau, mais elle interfère également avec la surveillance et les diagnostics.

Test :

IPv6

IPv6 est activé par défaut dans les distributions modernes telles qu’Ubuntu, Debian et les dérivés de RHEL. Cependant, de nombreux hébergeurs le désactivent au niveau du réseau s’ils n’offrent pas de connectivité IPv6.

Vérifiez la présence d’adresses IPv6 :

Conclusion

Les serveurs Linux prêts à l’emploi sont intentionnellement fournis dans un état sécurisé et dépouillé. La connexion SSH à la racine est désactivée, l’authentification par mot de passe est souvent restreinte et les protocoles existants sont totalement omis. Aucun environnement graphique n’est fourni et les compilateurs sont exclus des versions de base.

En revanche, les services tels que ICMP et IPv6 restent activés par défaut, mais peuvent être restreints en fonction de la position du fournisseur en matière de sécurité.

Cette philosophie de “sécurité par défaut, extensibilité par choix” garantit que les administrateurs conservent un contrôle total : le serveur n’expose que ce qui est explicitement requis pour le rôle qu’il est censé jouer. C’est un modèle qui maximise à la fois la sécurité opérationnelle et l’efficacité des performances.