Почему нельзя использовать посторонее ПО на серверах?

Question

[SkyNezu]

Добрый день.
Каждому известно, что на сервера не нужно устанавливать ПО, которое не используется в работе служб сервера. Например, всякие лаунчеры, турболанчи и прочее.

Не могли бы вы накидать ссылок на литературу или статьи, где описаны риски использования стороннего ПО на серверах?

Comments

[Kovalsky]

Если очень хочется именно статью, то вот например статья "7 security measures to protect your servers" от DigitalOcean, тут несколько раз можно встретить подобное:

The more services that you have running, the greater chance there is of a vulnerability existing in your accessible software

Answer 1

[АртемЪ]

Почему нельзя использовать посторонее ПО на серверах?

А кто вам сказал что нельзя? Можно и зачастую нужно.

Comments

[SkyNezu]

Если ПО необходимо для работы служб сервера - оно нужно.

Ситуация: на сервер устанавливают Mozilla Firefox, отключают его обновления. Админ заходит на сервер - запускает какой-нибудь процесс по работе и пока он выполняется открывает огнелиса, чтобы почитать яплакал или пикабушечку, просто потому, что ему лень сворачивать окно RDP.
Такие же истории и с лаунчерами. Не нравится плиточное меню на винде - установим крякнутый лаунчер.

Вы считаете это нормально и безопасно?

[Александр Аксентьев]

SkyNezu:

Такие же истории и с лаунчерами. Не нравится плиточное меню на винде - установим крякнутый лаунчер.

небезопасно не быть в курсе что это уже давно опционально, а точнее даже вообще отключено для десктопа "из коробки".

Плиточное меню видел последний раз пару лет назад, когда собственно оно было свежим и не выключаемым без гемора.

Админ заходит на сервер - запускает какой-нибудь процесс по работе и пока он выполняется открывает огнелиса, чтобы почитать яплакал или пикабушечку, просто потому, что ему лень сворачивать окно RDP.

это к ПО то не относится вопрос, это уже к админу вопросы.
Монитор у сервера тоже такая вещь которая как ненужное ПО.

[АртемЪ]

SkyNezu: Не знаю что такое лаунчер, не сталкивался с ними.
По поводу браузера и админа- сервер не предназначен для серфинга по интернету, у вас явная проблема с админом. При чем тут стороннее ПО?

Я очень часто использую стороннее ПО на сервере - например 7z,The Dude, Acronis и никаких проблем нет.
И считаю что стороннее ПО использовать можно, и во многих случаях нужно, ибо без него не обойтись.
А вообще что нормально и безопасно решает админ, или начальник IT отдела.

[АртемЪ]

А по поводу понижения безопасности - зачастую установка любого софта, даже штатного понижает безопасность.
Включили RDP - появилась потенциальная уязвимость, снизилась безопасность.

С другой стороны установка постороннего ПО может и повысить безопасность в отдельных случаях.

[laxikodeje]

SkyNezu:

Если ПО необходимо для работы служб сервера - оно нужно.

Почему только это?

У меня на серверах стоит еще
vim, mc, git, p7zip, golang, curl и еще немножко.
Ничего из этого не нужно для работы сервера.
Но оно нужно мне для удобства копания с сервером.

[Ивор Барханский]

laxikodeje: я даже боюсь предположить, как vim или git или curl делают более удобной работу с windows-сервером.

[laxikodeje]

Игорь Б: p7zip однозначно определяет, что это не Windows-сервер.
а на Windows сервере у меня стоит FAR в том числе.

git, curl, vim - довольно универсальный набор, что вас смущает?

[Ивор Барханский]

однозначно определяет, что это не Windows-сервер.

laxikodeje: просто тэг вопроса "Windows Server" как бы подразумевает и задаёт тон беседе…

[laxikodeje]

Игорь Б: Я уже дважды ответил.

[laxikodeje]

Игорь Б: Уже и дурак бы понял.
Но третий раз для полных дебилов не буду.

[Ивор Барханский]

@laxikodeje: войти в тему про Windows, два раза подряд ответить про Линукс, обозвать полными дебилами тех, кому не нравятся ответы про Линукс в Windows-ветке и уйти. Типичный линуксоид. ;)

Answer 2

[laxikodeje]

У меня есть сервер, инсталлированный в 2004 году.
13 лет, Карл!
Нет никаких сбоев.
Вообще никаких.
Перезагружается раз в года два, для профилактики.

Хотя это ругаемая многими (дураками) система Windows Server.
НО!!!
Из ПО, кроме самой Windows, там стоит самый минимум:
Far Manager, 7zip, MS SQL Server, nncron, 1C Предприятие.

Мне почему то кажется, что причина стабильности именно в этом.
И в хорошем железе.

Comments

[Антон Уланов]

именно в этом, вы не ставили всякий шлак и рюшечки которые любят многие не до админы

[Ивор Барханский]

Если он ребутается раз в два года с 2004 года, значит на нём напрочь зарезаны любые обновления? Не игра ли с огнём?

[Максим Ярошевич]

Может, таки пора обновить систему?

Answer 3

[Юрий Чудновский]

Известно, что любое ПО может содержать уязвимости, конфликтовать с другим и т.п. Следовательно, не нужно быть семи пядей во лбу, чтобы понимать, что на ответственном компе должен быть только необходимый минимум софта.

Answer 4

[mikes]

тут в первую очередь определить надобность этого ПО..
Сервер - комп который предоставляет сервис которым пользуются удаленно (в большинстве случаев), необходимости работать непосредственно на нем как правило нет необходимости, а соответственно и в утилитах на нем.

Answer 5

[Максим Ярошевич]

Начнем с цитаты:

всякие лаунчеры, турболанчи и прочее

- на сервере? А зачем? На сервер ставится минимально необходимый набор программ, не более того. Даже на терминальный сервер, на котором работают пользователи, ставится только то , что необходимо для работы.

Вообще,

всякие лаунчеры, турболанчи и прочее

не имеет смысла ставить нигде и никогда - абсолютно ненужный тип программ, все можно сделать средствами системы, в современных системах есть много инструментов для этого.

Answer 6

[Swartalf]

Если хочете почитать со стороны безопасности, то рекомендую ориентироваться на PCI DSS https://www.pcisecuritystandards.org/document_library

Comments

[chupasaurus]

s/хочете/хотите/

Answer 7

[Антон Уланов]

не забывайте про Роль Сервера. Если это DC то там ненужный лаунчеры, максимум что может понадобится это утилиты для работы с контроллером и агенты для резервного копирование если это не VSS, за частую на таких ролях хватает и ослика как браузера. Если же Роль Терминального Сервера там тонны стороннего софта, от архиваторов до ЭЦП