Hardening Servidor Linux Portugal: segurança de raiz com CIS Benchmark, superfície de ataque mínima

Hardening é o processo de reduzir a superfície de ataque de um servidor: desativar serviços que não são usados, remover pacotes desnecessários, ajustar permissões de ficheiros sensíveis, configurar parâmetros do kernel para resistência a ataques de rede, e ativar auditoria de eventos críticos. Um servidor Linux por padrão — mesmo após uma instalação mínima — tem muitos serviços e configurações que não são necessários em produção e que representam vetores de ataque desnecessários. O hardening elimina esses vetores de forma sistemática.

CIS Benchmark (Center for Internet Security) é um conjunto de boas práticas de segurança internacionalmente reconhecido para configurar sistemas de forma segura. Existem benchmarks específicos para cada distribuição Linux — Ubuntu, AlmaLinux, Debian. Utilizamos o CIS Benchmark como referência base e adaptamos ao contexto específico de cada servidor: algumas recomendações CIS são demasiado restritivas para ambientes de hosting web e seriam quebradas por aplicações legítimas. O resultado é um servidor seguro sem comprometer a funcionalidade das aplicações.

Sim, se feito sem cuidado e sem testes. Algumas configurações de sysctl, restrições de chamadas de sistema ou permissões de ficheiros mais restritivas podem quebrar aplicações que dependem de comportamentos menos seguros. Por esse motivo, aplicamos hardening de forma progressiva, testamos as aplicações após cada conjunto de alterações e documentamos cada mudança para facilitar o rollback imediato se necessário. Num servidor de produção ativo, trabalhamos fora do horário de maior tráfego.

auditd é o subsistema de auditoria do kernel Linux que regista eventos de segurança: logins SSH bem-sucedidos e falhados, execução de comandos com sudo, alterações a ficheiros sensíveis como /etc/passwd e /etc/sudoers, e outros eventos definidos nas regras de auditoria. Em caso de comprometimento, os logs do auditd são frequentemente a fonte mais valiosa para forensics — conseguem perceber exatamente o que o atacante fez, quando e a partir de onde. Sem auditd ativo, essa informação simplesmente não existe.

Um firewall controla o tráfego de rede que entra e sai do servidor — é uma camada de proteção importante, mas apenas uma. Hardening é mais abrangente: cobre o que acontece dentro do próprio servidor. Inclui firewall, mas também permissões de ficheiros, configuração de SSH, desativação de serviços, parâmetros do kernel, política de passwords, auditoria de eventos e muito mais. Um servidor com firewall mas sem hardening continua vulnerável a ataques que passam pelas portas abertas.

O hardening inicial é feito uma vez, idealmente no momento de configuração do servidor. Depois, deve ser revisto quando há atualizações significativas do OS, quando são adicionados novos serviços ao servidor, ou anualmente como auditoria de segurança. A Vuvo Hosting oferece revisões de segurança periódicas para confirmar que o servidor continua a cumprir as melhores práticas à medida que o sistema evolui e novas vulnerabilidades são descobertas.

Trabalhamos em ambos. Para servidores novos, fazemos o hardening como parte da configuração inicial. Para servidores já em produção com sites e aplicações ativas, fazemos primeiro uma auditoria do estado atual, identificamos as alterações necessárias, avaliamos o risco de cada uma no contexto das aplicações existentes e aplicamos de forma progressiva com janelas de manutenção acordadas. O objetivo é sempre zero downtime não planeado.