chkconfig / systemctl

systemctl list-unit-files --type=service --state=enabled

Lista los servicios habilitados al arranque, el inventario base para detectar servicios nuevos o persistencia vía systemd.

Ejecútalo como parte del baseline de cada host y de la revisión periódica de persistencia: la lista de servicios enabled es la foto de qué arranca con el sistema. Comparada con el baseline, cualquier servicio nuevo es una anomalía — y la persistencia por systemd (unit files en /etc/systemd/system) es una de las vías favoritas de los atacantes con root en Linux. En un IR, la primera pregunta tras confirmar el compromiso es '¿qué se ha instalado para sobrevivir al reinicio?', y esta lista, cruzada con los unit files recién creados, es la respuesta. También caza el software legítimo que se cuela (agentes, miners) que los admins no aprobaron.

No la uses como detección completa de persistencia: systemd es una vía, pero hay otras (cron, rc.local, profile.d, .bashrc, LD_PRELOAD) que esta lista no ve — el inventario de persistencia necesita varias fuentes. La lista de enabled solo muestra unidades que arrancan: un servicio creado y arrancado manualmente sin habilitar (systemctl start sin enable) no aparece, aunque esté corriendo. Y ojo: en hosts con muchos paquetes, la lista es larga; el filtro práctico son los unit files de /etc/systemd/system (los de administración manual), no los de /usr/lib/systemd/system (los de los paquetes).