Em geral, você quer evitar ter excesso de serviços instalados nos servidores. Dado o trabalho sensível dos computadores do controlador de domínio do Active Directory (armazenar as credenciais do usuário e executar a autenticação), você deve estar ainda mais preocupado com eles do que, digamos, um servidor de arquivos.
Dito isto, porém, um computador servidor sem software instalado seria bastante inútil. Você precisa fazer uma avaliação de risco, ponderar isso em relação ao benefício fornecido pelo software e decidir sobre essa base. Esse processo geral é o que você precisa trabalhar para cada serviço exposto (mesmo que seja apenas algo que você faz "na sua cabeça" versus um processo formal). Desacreditar exponencialmente os serviços sem pesar o risco (ou pior, expô-los quando não há benefícios - pense nas instalações padrão do IIS no Windows 2000 Server) é uma má ideia.
Para falar com sua consulta específica:
O OpenSSH tem estado sujeito a um bom escrutínio por parte da comunidade, dada a natureza do serviço que presta. Infelizmente, para permitir que sshd personifique os usuários, você terá que executá-lo com uma credencial bastante privilegiada (SYSTEM, na maioria dos casos), de modo que um bug no próprio daemon possa resultar em um comprometimento remoto no nível do SISTEMA. Admito que as chances de um compromisso como esse no OpenSSH são relativamente baixas, mas ainda é uma possibilidade.
Você deve ter algum tipo de limitação de taxa nas tentativas de conexão de entrada (para evitar ataques ao DOS - eu gosto de sshd_block , pessoalmente). Você deve pensar strongmente em permitir apenas logons baseados em certificado (em vez de senhas). Você deve limitar o número de usuários que podem acessar o servidor via SSH apenas para aqueles que precisam de acesso. Você deve desativar o encaminhamento de porta e / ou o SFTP se não precisar desses recursos.
Um resumo dos meus sentimentos seria o seguinte: Pense no que você está fazendo e faça o seu "dever de casa" ao configurar as coisas e você ficará bem.