O que é normalmente desativado por defeito na maioria dos servidores Linux?

Quando aprovisiona um servidor Linux novo – seja um VPS, um servidor dedicado bare-metal ou uma máquina virtual alojada na nuvem – irá reparar que o sistema arranca num ambiente deliberadamente minimalista e reforçado. Isto não é um descuido, mas uma escolha de design intencional. As distribuições Linux modernas eliminam serviços e funcionalidades desnecessários para minimizar a superfície de ataque, conservar os recursos do sistema e dar aos administradores um controlo fino sobre o que é ativado. Abaixo vamos dissecar as caraterísticas e serviços mais comuns que estão desactivados (ou simplesmente ausentes) por defeito, e porque é que isto é importante tanto para a segurança como para a eficiência operacional.

Login SSH de raiz

O login direto do root via SSH é quase universalmente desabilitado nas compilações contemporâneas de servidores Linux. Permitir o acesso remoto à raiz é uma vulnerabilidade gritante: uma única palavra-passe comprometida equivale à posse total do sistema.

Em vez disso, espera-se que os administradores iniciem sessão com um utilizador não privilegiado e aumentem os privilégios através de sudo ou su.

Verificação:

Você deve ver:

Autenticação por senha em SSH

Em muitos servidores provisionados na nuvem, a autenticação por senha também é desativada, deixando as chaves SSH como o único mecanismo de autenticação. As chaves são resistentes a ataques de força bruta e aumentam significativamente a barreira para tentativas de acesso não autorizado.

As instalações ISO tradicionais ainda podem permitir logins com senha, mas a melhor prática é desativá-las imediatamente.

Verificação:

Protocolos de rede obsoletos

Serviços legados como Telnet, FTP, Rlogin e Rsh estão ausentes das compilações modernas de servidores. Estes protocolos transmitem credenciais e dados em texto claro, tornando-os triviais para serem interceptados.

Eles foram substituídos por:

SSH para acesso remoto à shell
SFTP/FTPS para transferências seguras de ficheiros

Verifique se há serviços ativos:

Se portas como 21 (FTP) ou 23 (Telnet) não aparecerem, esses serviços não estão a funcionar.

Interfaces Gráficas de Utilizador (GUI)

Ao contrário das distribuições desktop, as edições de servidor não são fornecidas com GNOME, KDE ou outros ambientes gráficos. Uma GUI consome memória e ciclos de CPU enquanto introduz dependências de software adicionais que podem aumentar a pegada de segurança.

A expetativa é clara: os servidores devem ser gerenciados via CLI sobre SSH.

Cadeias de ferramentas de desenvolvimento

Compiladores como o gcc e utilitários de compilação como o make estão intencionalmente ausentes na maioria das imagens de servidores mínimos. A lógica é dupla:

Para reduzir o tamanho da imagem base.
Para evitar que um atacante, caso obtenha acesso, compile binários maliciosos em tempo real.

Verifique se o GCC está presente:

Se o comando retornar não encontrado, a cadeia de ferramentas não está instalada.

Instale manualmente se necessário:

ICMP (Ping)

A maioria dos servidores Linux responde a pedidos de eco ICMP por defeito, embora alguns fornecedores de alojamento o desactivem ao nível da firewall. A supressão das respostas ICMP torna um servidor menos visível para os scans de rede, mas também interfere com a monitorização e o diagnóstico.

Teste:

IPv6

O IPv6 é habilitado por padrão em distribuições modernas, como Ubuntu, Debian e derivados do RHEL. No entanto, muitos fornecedores de alojamento desactivam-no ao nível da rede se não oferecerem conetividade IPv6.

Verifique se há endereços IPv6:

Conclusão

Os servidores Linux prontos para uso são intencionalmente provisionados em um estado seguro e despojado. O início de sessão SSH na raiz está desativado, a autenticação por palavra-passe é frequentemente restrita e os protocolos antigos são totalmente omitidos. Não é fornecido nenhum ambiente gráfico e os compiladores são excluídos das compilações de base.

Por outro lado, serviços como ICMP e IPv6 permanecem habilitados por padrão, mas podem ser restritos dependendo da postura de segurança do provedor.

Essa filosofia de “seguro por padrão, extensível por escolha” garante que os administradores mantenham total controle: o servidor expõe apenas o que é explicitamente necessário para sua função pretendida. É um modelo que maximiza a segurança operacional e a eficiência do desempenho.