Что обычно отключено по умолчанию на большинстве серверов Linux?

Когда вы создаете новый Linux-сервер – будь то VPS, пустой выделенный сервер или виртуальная машина, размещенная в облаке, – вы заметите, что система загружается в заведомо минималистичную и жестко настроенную среду. Это не недосмотр, а намеренный выбор разработчиков. Современные дистрибутивы Linux удаляют ненужные сервисы и функциональность, чтобы минимизировать поверхность атаки, сэкономить системные ресурсы и предоставить администраторам тонкий контроль над тем, что включено. Ниже мы рассмотрим наиболее распространенные функции и службы, которые отключены (или просто отсутствуют) по умолчанию, и почему это важно как для безопасности, так и для эффективности работы.

Корневой SSH-логин

Прямой root-логин через SSH почти повсеместно отключен в современных сборках Linux-серверов. Разрешение удаленного root-доступа является вопиющей уязвимостью: один скомпрометированный пароль равносилен полному владению системой.

Вместо этого администраторы должны входить в систему под непривилегированным пользователем и повышать привилегии с помощью sudo или su.

Проверка:

Вы должны увидеть:

Аутентификация паролем в SSH

На многих серверах, предоставляемых облаком, аутентификация по паролю также отключена, поэтому единственным механизмом аутентификации остаются ключи SSH. Ключи устойчивы к атакам методом перебора и значительно повышают барьер для попыток несанкционированного доступа.

Традиционные установки ISO могут по-прежнему допускать вход по паролю, но лучше всего сразу отключить их.

Проверка:

Устаревшие сетевые протоколы

Устаревшие службы, такие как Telnet, FTP, Rlogin и Rsh, отсутствуют в современных сборках серверов. Эти протоколы передают учетные данные и информацию в открытом виде, что делает их легко перехватываемыми.

Они были вытеснены:

SSH для удаленного доступа к оболочке
SFTP/FTPS для безопасной передачи файлов

Проверьте наличие активных служб:

Если порты 21 (FTP) или 23 (Telnet) не отображаются, значит, эти службы не запущены.

Графические пользовательские интерфейсы (GUI)

В отличие от настольных дистрибутивов, серверные редакции не поставляются с GNOME, KDE или другими графическими окружениями. Графический интерфейс потребляет память и циклы процессора, а также вводит дополнительные программные зависимости, которые могут расширить область безопасности.

Ожидания очевидны: управление серверами должно осуществляться через CLI по SSH.

Инструментальные цепочки разработки

Компиляторы, такие как gcc, и утилиты сборки, такие как make, намеренно отсутствуют в большинстве минимальных образов серверов. Это объясняется двумя причинами:

Уменьшить размер базового образа.
Чтобы предотвратить компиляцию вредоносных двоичных файлов на лету злоумышленниками, если они получат доступ.

Проверьте, присутствует ли GCC:

Если команда возвращает сообщение not found, значит, набор инструментов не установлен.

При необходимости установите его вручную:

ICMP (Ping)

Большинство Linux-серверов по умолчанию отвечают на эхо-запросы ICMP, хотя некоторые хостинг-провайдеры отключают эту функцию на уровне брандмауэра. Подавление ICMP-ответов делает сервер менее заметным для сканирования сети, но это также мешает мониторингу и диагностике.

Тест:

IPv6

IPv6 включен по умолчанию в современных дистрибутивах, таких как Ubuntu, Debian и производные RHEL. Однако многие хостинг-провайдеры отключают его на сетевом уровне, если не предоставляют возможности подключения по IPv6.

Проверьте наличие адресов IPv6:

Заключение

Готовые серверы Linux намеренно поставляются в защищенном, урезанном виде. Корневой SSH-логин отключен, аутентификация паролем часто ограничена, а устаревшие протоколы полностью отсутствуют. Графическое окружение не предоставляется, а компиляторы исключены из базовых сборок.

В отличие от этого, такие службы, как ICMP и IPv6, остаются включенными по умолчанию, но могут быть ограничены в зависимости от уровня безопасности провайдера.

Такая философия “безопасность по умолчанию, расширяемость по выбору” обеспечивает администраторам полную свободу действий: сервер раскрывает только то, что явно требуется для его предполагаемой роли. Такая модель обеспечивает максимальную безопасность и эффективность работы.