Bloquear sistemas de archivos de red

Riesgo alto No marcado por defecto Catálogo revisado: 2026-11-05

Si nunca montas recursos compartidos de NFS o de servidores de archivos de Windows, el kernel no necesita llevar ese código.

Por qué importa

Montar un recurso compartido de red hace que el kernel hable con un servidor remoto usando código que analiza los datos que el servidor envía. Un servidor malicioso o comprometido puede intentar explotar fallos en ese código. Si nunca usas esos recursos, no necesitas el código cargado.

Cómo funciona

Añade una configuración de modprobe que bloquea los módulos del grupo network-filesystems, que cubre los clientes NFS y SMB/CIFS. Los intentos de montar esos recursos fallan porque el controlador no puede cargarse.

Quién debería usarlo

Solo si nunca montas recursos NFS o SMB, algo cierto para muchos portátiles. Déjalo apagado si usas un NAS, un servidor de archivos de la empresa o cualquier carpeta personal en NFS.

Qué puedes notar

Montar un recurso falla con un error como unknown filesystem type nfs o cifs. Si falta un recurso montado tras arrancar, esta es una causa probable.

Compruébalo en tu equipo

Mira si los módulos están cargados:

lsmod | grep -E '^(cifs|nfs|nfsv3|nfsv4|ksmbd|gfs2) '

Aplícalo a mano

Indica al sistema que no los cargue, en un archivo tuyo:

sudo tee /etc/modprobe.d/90-modules-network-filesystems.conf <<'EOF'
install cifs /bin/true
install nfs /bin/true
install nfsv3 /bin/true
install nfsv4 /bin/true
install ksmbd /bin/true
install gfs2 /bin/true
EOF

Deshazlo

Elimina el archivo. Los módulos ya cargados siguen hasta el próximo reinicio.

Ajustes relacionados

Bloquear sistemas de archivos poco usados

Fuentes

Linux Hardening Guide (madaidans): 2.5.2