Como usar este guia
O conteúdo foi revisado em setembro de 2026 com foco operacional. Procedimentos sensíveis devem ser testados primeiro em laboratório, com backup, acesso de recuperação e rollback documentado. Exemplos usam placeholders e não devem receber credenciais reais.
Não exponha interfaces administrativas, chaves, dumps, amostras de malware ou logs sensíveis no portal público. Em produção, aplique segmentação, privilégio mínimo e retenção definida.
Baseline
Hardening é redução sistemática de superfície e privilégio, não uma lista de comandos copiada. Comece por inventário, função do host e ameaça.
SSH
Chaves, MFA quando aplicável, root login restrito, algoritmos atuais, AllowUsers/Groups e rede de gerência. Mantenha acesso de recuperação antes de alterar sshd.
Privilégios
Use sudo e contas nominativas, remova contas obsoletas e audite grupos privilegiados. Segredos não devem ficar em shell history.
Serviços e patches
Desabilite serviços desnecessários, automatize atualizações de segurança conforme janela e acompanhe reboot/kernel pendente.
Kernel e firewall
sysctl deve ter justificativa e teste; não aplique “hardening packs” cegamente. Firewall local continua útil mesmo atrás de firewall perimetral.
Auditoria
Centralize logs, use auditd quando necessário e verifique baseline com ferramentas como Lynis/OpenSCAP. Hardening sem medição degrada com o tempo.
Checklist antes de considerar concluído
- Versão e documentação do componente foram confirmadas.
- Fluxos de rede e privilégios necessários estão explicitamente definidos.
- Configuração foi validada antes de reload/restart quando houver comando de teste.
- Logs e métricas confirmam o comportamento esperado.
- Falha controlada e recuperação foram testadas em ambiente seguro.
- Backup, rollback e acesso de emergência são verificáveis.