Ce este în mod normal dezactivat implicit pe majoritatea serverelor Linux?

Atunci când furnizați un nou server Linux – fie că este vorba despre un VPS, un server dedicat bare-metal sau o mașină virtuală găzduită în cloud – veți observa că sistemul pornește într-un mediu în mod deliberat minimalist și securizat. Aceasta nu este o neglijență, ci o alegere de proiectare intenționată. Distribuțiile Linux moderne elimină serviciile și funcționalitățile inutile pentru a minimiza suprafața de atac, pentru a conserva resursele sistemului și pentru a oferi administratorilor un control detaliat asupra a ceea ce este activat. Mai jos vom analiza cele mai comune caracteristici și servicii care sunt dezactivate (sau pur și simplu absente) în mod implicit și de ce acest lucru este important atât pentru securitate, cât și pentru eficiența operațională.

Conectarea SSH la rădăcină

Conectarea directă a rădăcinii prin SSH este aproape universal dezactivată în construcțiile actuale de servere Linux. Permiterea accesului la rădăcină de la distanță este o vulnerabilitate evidentă: o singură parolă compromisă echivalează cu proprietatea totală asupra sistemului.

În schimb, administratorii trebuie să se conecteze cu un utilizator neprivilegiat și să escaladeze privilegiile prin sudo sau su.

Verificare:

Ar trebui să vedeți:

Autentificarea prin parolă în SSH

Pe multe servere furnizate în cloud, autentificarea prin parolă este, de asemenea, dezactivată, lăsând cheile SSH ca singurul mecanism de autentificare. Cheile sunt rezistente la atacurile prin forța brută și ridică semnificativ ștacheta pentru încercările de acces neautorizat.

Instalațiile ISO tradiționale pot permite în continuare autentificări prin parolă, dar cea mai bună practică este să le dezactivați imediat.

Verificare:

Protocoale de rețea depășite

Serviciile moștenite , precum Telnet, FTP, Rlogin și Rsh sunt absente din construcțiile moderne de servere. Aceste protocoale transmit acreditări și date în text clar, ceea ce le face ușor de interceptat.

Ele au fost înlocuite de:

SSH pentru accesul la shell de la distanță
SFTP/FTPS pentru transferul securizat de fișiere

Verificați dacă există servicii active:

Dacă porturi precum 21 (FTP) sau 23 (Telnet) nu apar, serviciile respective nu rulează.

Interfețe grafice pentru utilizator (GUI)

Spre deosebire de distribuțiile desktop, edițiile server nu sunt livrate cu GNOME, KDE sau alte medii grafice. O interfață grafică consumă memorie și cicluri CPU, introducând în același timp dependențe software suplimentare care pot mări amprenta de securitate.

Așteptările sunt clare: serverele trebuie să fie gestionate prin intermediul CLI prin SSH.

Lanțuri de instrumente de dezvoltare

Compilatoare precum gcc și utilitare de compilare precum make sunt absente în mod intenționat din majoritatea imaginilor de server minimal. Motivația este dublă:

Pentru a reduce dimensiunea imaginii de bază.
Pentru a împiedica un atacator, în cazul în care obține acces, să compileze din mers fișiere binare rău intenționate.

Verificați dacă GCC este prezent:

Dacă comanda returnează ” not found“, lanțul de instrumente nu este instalat.

Instalați manual dacă este necesar:

ICMP (Ping)

Majoritatea serverelor Linux răspund implicit la solicitările de ecou ICMP, deși unii furnizori de servicii de găzduire le dezactivează la nivelul firewall-ului. Suprimarea răspunsurilor ICMP face un server mai puțin vizibil pentru scanările de rețea, dar interferează și cu monitorizarea și diagnosticarea.

Test:

IPv6

IPv6 este activat implicit în distribuțiile moderne precum Ubuntu, Debian și derivatele RHEL. Cu toate acestea, mulți furnizori de găzduire îl dezactivează la nivel de rețea dacă nu oferă conectivitate IPv6.

Verificați dacă există adrese IPv6:

Concluzie

Serverele Linux out-of-the-box sunt furnizate în mod intenționat într-o stare securizată, dezmembrată. Conectarea SSH la rădăcină este dezactivată, autentificarea prin parolă este adesea restricționată, iar protocoalele tradiționale sunt omise complet. Nu este furnizat niciun mediu grafic, iar compilatoarele sunt excluse din compilațiile de bază.

În schimb, servicii precum ICMP și IPv6 rămân activate în mod implicit, dar pot fi restricționate în funcție de poziția de securitate a furnizorului.

Această filozofie a “securității implicite, extensibilității la alegere” garantează că administratorii își păstrează întreaga autoritate: serverul expune doar ceea ce este necesar în mod explicit pentru rolul său. Este un model care maximizează atât securitatea operațională, cât și eficiența performanței.