Używanie /conf/crontab, jak zauważył Dlawson, wydaje mi się doskonałym pomysłem. To pozwala mi uruchamiać skrypt raz na minutę, który zapewnia wyłączenie wszystkiego oprócz http i ssh:
/etc/init.d/cdserver stop
/etc/init.d/fdserver stop
/etc/init.d/cim_sfcb stop
/etc/init.d/webgo stop
To wciąż pozostawia mi serwer sieciowy z kontrolą dostępu opartą na hasłach (nie widzę sposobu, aby zweryfikował certyfikaty klienta) i kto wie, jakie luki zdalne. Wyłączenie go, gdy go nie używam (przez większość czasu) wydaje się rozsądnym rozwiązaniem; dodanie wpisu crontab w celu wyłączenia go co pięć lub dziesięć minut wychwyciłoby przypadki, w których ktoś zapomniałby go zamknąć, gdy skończy.
Demon ssh to wersja dropbear, która wydaje się dość mocno zmodyfikowana. Odczytuje nazwy użytkowników i hasła w postaci zwykłego tekstu /conf/PMConfig.dat(który jest również używany przez serwer WWW), loguje się pod dowolnym prawidłowym nazwiskiem i hasłem jako użytkownik root i ignoruje ~/.ssh/authorized_keysplik. Ten ostatni problem jest denerwujący; zmusza cię do zezwalania na logowanie się hasłem i otwiera możliwość tylnych drzwi w zależności od tego, skąd bierze wszystkie swoje nazwy i hasła.
Więc to jest dylemat, przed którym stoisz: na ile naprawdę ufasz temu zmodyfikowanemu demonowi ssh zainstalowanemu w systemie, który został dość wyraźnie zaprojektowany przez naiwnych programistów? Niewiele, biorąc pod uwagę liczbę połamanych kawałków crufta, które widziałem w ich skryptach powłoki. Istnieją nietypowe konwencje nazewnictwa (/etc/rc?.d/sshd to dowiązanie symboliczne do /etc/init.d/ssh), ogromna ilość kodu, który wydaje się nieużywany, oraz funkcje tylko w skrypcie startowym ssh, takie jak /conf/portcfg_sshplik a nawet restartpolecenia są całkowicie zerwane. (Nie próbuj ich używać; sshd nie uruchomi się ponownie i zostaniesz wkręcony, chyba że masz istniejący login. Ponownie uruchomiliśmy BMC i musieliśmy go ponownie załadować).
Najlepszą opcją, o której mogę pomyśleć, jeśli w ogóle zamierzasz korzystać z tej rzeczy, jest uruchomienie ssh na alternatywnym porcie za pomocą zadania cron, więc przynajmniej jest mniej prawdopodobne, że pojawią się w skanerze portów.
Ostatnim elementem są porty zarządzania siecią IPMI; Nie widzę, jak je wyłączyć.