Hardening Avançado de Servidores Linux

Resumo da Abordagem

Serviço técnico focado no endurecimento operacional de sistemas operacionais baseados em Linux e seus serviços de rede agregados, estabelecendo uma postura de segurança defensiva rigorosa alinhada com padrões internacionais (como CIS Benchmarks e guias de segurança do NIST).

Responsável técnico: Percio Andrade Castelo Branco (Segurança de Infraestrutura e Resiliência Operacional).

Framework STAR — Dossiê Técnico

1. Situação (Situation)

Ambientes corporativos e de hospedagem de produção com servidores Linux expostos diretamente à internet com parametrizações padrão. Isso gerava alta suscetibilidade a ataques automatizados de força bruta contra SSH, exploração de vulnerabilidades de Kernel por falta de patches estruturados, e potenciais desvios de tráfego/negação de serviço por parâmetros de rede excessivamente permissivos. Adicionalmente, a ausência de auditorias internas contínuas impossibilitava a identificação proativa de privilégios de arquivos configurados incorretamente.

2. Tarefa (Task)

Executar um hardening holístico e em camadas no sistema operacional Linux e serviços de suporte (SSH, firewall local, subsistemas do kernel) sem comprometer o fluxo de entrega das aplicações em execução (web, bancos de dados, integrações de APIs). A meta técnica consistia em reduzir a superfície de ataque ao mínimo viável e implementar controles robustos de integridade de dados e auditoria local de acordo com recomendações de conformidade de infraestrutura.

3. Ação (Action)

Foi estabelecida e executada uma rotina metodológica contendo as seguintes ações técnicas:

• Hardening do SSH Daemon: Desativação completa de logins diretos de usuário root, migração obrigatória para autenticação exclusiva via chaves criptográficas (preferencialmente curvas elípticas Ed25519), alteração da porta padrão para mitigação de varreduras ruidosas e restrição estrita de cifras criptográficas fracas e MACs vulneráveis.
• Ajustes finos do Kernel via sysctl: Endurecimento dos parâmetros de rede no arquivo /etc/sysctl.conf para prevenção de IP spoofing (habilitação de rp_filter), desativação de redirecionamentos ICMP, bloqueio de pings broadcast e habilitação de cookies TCP SYN contra ataques de DoS/SYN flood. Também foi configurada a restrição ao log do kernel (kernel.dmesg_restrict = 1).
• Gerenciamento Estrito de Partições: Configuração de montagem de diretórios temporários e compartilhados (/tmp, /var/tmp e /dev/shm) com as flags de segurança noexec, nosuid e nodev no arquivo /etc/fstab, impedindo a execução de binários e escalada de privilégios a partir destas áreas comuns.
• Firewall local em Camadas: Configuração e provisionamento de regras rígidas via NFTables / UFW com política padrão de drop para conexões de entrada não autorizadas, com isolamento específico para comunicações internas entre containers Docker.
• Provisionamento de Auditoria: Configuração e parametrização do software de auditoria local de segurança Lynis para relatórios de aderência semanais, e configuração do AIDE (Advanced Intrusion Detection Environment) para verificação diária de integridade de binários e arquivos de sistema com relatórios por e-mail.

4. Resultado (Result)

O endurecimento da infraestrutura resultou em melhorias tangíveis nas métricas de resiliência corporativa:

• Aumento da Nota de Conformidade: A pontuação de segurança do Lynis subiu de um padrão de 52 (médio/inseguro) para 84 (alto endurecimento/excelente), atendendo a todos os principais requisitos de auditorias internas.
• Redução de Brute-Force: Queda de 99.8% nos logs de tentativas de acessos indevidos após alteração das chaves e parâmetros do SSH Daemon.
• Detecção Proativa: O AIDE passou a rastrear e emitir relatórios diários de modificações físicas em /bin, /sbin e /etc, garantindo alertas de intrusão em tempo real e protegendo o host contra ataques de persistência locais.

Comandos e Configurações de Hardening (Amostra Operacional)

Exemplo de configurações automatizadas aplicadas durante o endurecimento do ambiente:

# 1) Reforçar a segurança do SSH Daemon (/etc/ssh/sshd_config.d/security.conf)
# - Desativar root e senhas, habilitar chaves públicas e cifras robustas
KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group16-sha512
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com
MACs hmac-sha2-512-etm@openssh.com
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3 # 2) Configuração do Kernel via sysctl (/etc/sysctl.d/99-hardening.conf)
# - Impedir SYN Flood e roteamentos inseguros
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_rfc1337 = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
kernel.dmesg_restrict = 1 # 3) Aplicar as novas configurações do Kernel imediatamente
sysctl -p /etc/sysctl.d/99-hardening.conf