Bloquear sistemas de arquivos de rede

Risco alto Não marcada por padrão Catálogo revisado em: 2026-11-05

Se você nunca monta compartilhamentos NFS ou de servidores de arquivos do Windows, o kernel não precisa carregar esse código.

Por que importa

Montar um compartilhamento de rede faz o kernel conversar com um servidor remoto usando código que analisa os dados que o servidor envia. Um servidor malicioso ou comprometido pode tentar explorar erros nesse código. Se você nunca usa esses compartilhamentos, não precisa desse código carregado.

Como funciona

Acrescenta uma configuração do modprobe que bloqueia os módulos do grupo network-filesystems, que cobrem os clientes NFS e SMB/CIFS. Tentativas de montar esses compartilhamentos falham porque o driver não carrega.

Quem deve usar

Só se você nunca monta compartilhamentos NFS ou SMB, o que é verdade para muitos notebooks. Deixe desligado se usa NAS, servidor de arquivos da empresa ou qualquer home em NFS.

O que você pode notar

Montar um compartilhamento falha com erro como unknown filesystem type nfs ou cifs. Se um compartilhamento sumiu depois do boot, esta é uma causa provável.

Verifique no seu computador

Veja se os módulos estão carregados:

lsmod | grep -E '^(cifs|nfs|nfsv3|nfsv4|ksmbd|gfs2) '

Aplique à mão

Diga ao sistema para não carregá-los, em um arquivo seu:

sudo tee /etc/modprobe.d/90-modules-network-filesystems.conf <<'EOF'
install cifs /bin/true
install nfs /bin/true
install nfsv3 /bin/true
install nfsv4 /bin/true
install ksmbd /bin/true
install gfs2 /bin/true
EOF

Desfaça

Remova o arquivo. Os módulos já carregados continuam até a próxima reinicialização.

Configurações relacionadas

Bloquear sistemas de arquivos pouco usados

Fontes

Linux Hardening Guide (madaidans): 2.5.2