Да можно начиная с установки.
PermitRootLogin without-passwd,но ключ на этапе установки добавить нельзя, а пользователь создаётся без возможностей к sudo. Таким образом получить административный доступ к системе можно только при прямом доступе к железке или консоли вм.

Т.н. "мандатный доступ", который selinux - в дефолтных своих полиси преднастроенных дистроваятелями неспособен даже на apt-get upgrade. Норм, чё)

Лютая мешанина из service-юнитов и init.d скриптов. Когда в exec сервиса прописывается /etc/init.d/foo.sh start

Древнючий syslogd, вместо человечьих rsyslog/syslog-ng. К тому же его искаропки роняет ежесуточно logrotate, и система остаётся вообще без сислога. Сюрприз!

Опенбсдшный нтп-клиент, с зависимостями к freeipa. В целом он работает и нареканий особо нет, но выбор довольно странный когда есть ntpd/chrony

Системда настроена полуруками, status при наличии persistent логов вызывается минуты по три.

Ну и системные баги, которые в rhel поправлены году этак в 2016-м, тут проявляются только в путь.

Без эмоций, только что сходу вспомнил об этих прелестях