Este artigo faz parte do Servidores Linux: reduzir a superfície.
Menos é mais
O princípio central do hardening é reduzir a superfície de ataque: menos serviços, menos portas, menos software. Tudo que não é necessário é risco potencial.
Um servidor enxuto é mais fácil de proteger e de auditar do que um cheio de serviços herdados.
Acesso administrativo
O acesso é o ponto mais crítico. Acesso administrativo deve ser por chave, não por senha, e o SSH precisa ser configurado para limitar quem entra e como.
Também vale restringir de onde se pode acessar (rede/VPN) e registrar tentativas de login, para detectar abuso.
- Autenticação por chave.
- Restrição de origem do acesso.
- Root sem login direto.
- Registro e monitoração de tentativas.
Atualizações e serviços expostos
Pacotes desatualizados são uma das portas de entrada mais comuns. Manter o sistema em dia reduz risco sem grande esforço.
Junto com isso, revisar quais serviços escutam em portas abertas e desligar o que não é necessário reduz a exposição.
- Atualizações de sistema e bibliotecas.
- Serviços expostos mínimos.
- Firewall restritivo.
- Remoção de software sem uso.
Permissões e usuários
Permissões frouxas em arquivos e diretórios sensíveis podem expor dados ou permitir alterações indevidas.
Revisar permissões e usar contas separadas por função (em vez de tudo com o mesmo usuário) reduz o impacto de um comprometimento.
Baselines e verificação contínua
Baselines como os CIS Benchmarks dão uma lista concreta de verificações por sistema. Você compara, prioriza por risco e corrige.
Como a configuração muda com o tempo, o ideal é verificar periodicamente — e não apenas no dia da instalação.
Comece pelo essencial
Se for começar, comece pelo acesso (chaves, SSH) e pelas atualizações. São os dois pontos de maior impacto e menor esforço.
Depois avance para serviços expostos, permissões e firewall. O restante do baseline entra conforme o risco do ambiente.
Perguntas frequentes
Hardening quebra o servidor?
Feito com método, não. Aplicamos os ajustes de forma controlada e testada, priorizando o que reduz risco sem afetar a operação do ambiente.
Precisa ser feito em todos os servidores?
O ideal é cobrir todos, mas a priorização pode começar pelos que estão mais expostos ou lidam com dados sensíveis.