# Uma linha de base de hardening de Linux VPS que você pode manter | SwissOctet Insights https://swissoctet.com/pt-br/insights/linux-vps-hardening-baseline/ SwissOctet / Insights / Operações do dia dois Operações do dia dois Aplicado · 6 min de leitura Uma linha de base de hardening do Linux VPS que você pode manter Administre com segurança, exponha apenas os serviços necessários e estabeleça atualizações e recuperação sem se bloquear. Por SwissOctet Editorial Salvar guia Copiar link NESTA PÁGINA 01 Estabeleça um ponto de partida confiável 02 Torne o acesso à SSH deliberado 03 Exponha a aplicação, não a máquina inteira 04 Planeje atualizações como um processo operacional 05 Restrinja o acesso à aplicação e proteja a recuperação 06 Uma sequência de primeira implantação que permanece revisável Sua lista prática Fontes e leitura adicional Voltar para a biblioteca A RESPOSTA DIRETA Comece com acesso verificado e uma rota de recuperação, depois configure administração individual, chaves SSH testadas, um firewall restritivo, software mantido e backups independentes. Aplique mudanças incrementalmente e verifique uma nova sessão antes de fechar a antiga. 01 Estabeleça um ponto de partida confiável Antes de alterar a máquina, confirme o sistema operacional esperado, o método de acesso e a rota de recuperação. Verifique a identidade do host SSH através das informações aprovadas pelo operador, em vez de aceitar uma chave inesperada sem investigação. Mantenha credenciais temporárias privadas e substitua-as pelo processo pretendido. Registre qual pessoa é responsável pela manutenção e quais opções de recuperação estão realmente disponíveis para este serviço. Mantenha uma sessão de administração funcional aberta enquanto faz alterações de acesso. Uma receita de hardening copiada pode remover o único login utilizável quando pressupõe uma distribuição ou layout de conta diferente. Faça uma alteração por vez, verifique seu resultado efetivo e preserve uma rota de volta. O objetivo é um sistema que você possa manter com segurança, não uma configuração que parece estrita mas não pode ser administrada. 02 Torne o acesso à SSH deliberado Crie acesso administrativo individual com privilégio apropriado em vez de compartilhar um único login root permanente. Instale e teste a chave pública pretendida, mantendo a chave privada no endpoint autorizado. A documentação do OpenSSH da Ubuntu explica a configuração do servidor e as escolhas de autenticação. Leia a configuração efetiva da sua distribuição, incluindo arquivos incluídos, antes de presumir que editar uma configuração alterou todo o serviço. Teste o acesso por chave através de uma segunda sessão antes de alterar a autenticação por senha ou as regras de login privilegiado. Garanta que a nova conta possa realizar a administração necessária. Revise qualquer automação que dependa do método anterior e substitua seu acesso deliberadamente. Uma chave é uma credencial de acesso, então use um local de armazenamento privado e um processo de rotação em vez de deixar cópias dentro de diretórios de aplicação. 03 Exponha a aplicação, não a máquina inteira Inventarie os serviços em escuta e identifique quais devem ser públicos. Uma aplicação web pode precisar de HTTP e HTTPS, enquanto seu banco de dados pode permanecer acessível apenas pelo caminho interno pretendido. A Ubuntu documenta o UFW como ferramenta de configuração de firewall, mas a política útil é independente da ferramenta: permita o tráfego necessário e restrinja a administração às fontes aprovadas quando praticável. Verifique controles tanto no nível do host quanto no nível do provedor, se o serviço os incluir. Antes de habilitar um conjunto restritivo de regras, permita o caminho de administração testado e verifique o acesso a partir de outra sessão. Não presuma que mover a SSH para uma porta diferente substitui autenticação ou correções. Mantenha as regras de firewall compreensíveis para que a solução de problemas futura não leve a abrir todas as portas como contorno. Mudança Verifique antes de aplicar Verifique depois Nova chave SSH Conta e chave pública corretas Segunda sessão autenticada por chave funciona Firewall restritivo Serviço necessário e caminhos de recuperação Aplicação pública funciona; portas não intencionais estão fechadas Atualização de software Implicações de backup e reinicialização Serviços reiniciam e testes da aplicação passam Mudança de permissão de serviço Caminhos de leitura e escrita necessários Aplicação funciona sem acesso mais amplo ao sistema 04 Planeje atualizações como um processo operacional Mantenha o sistema e as dependências da aplicação atualizados. A orientação de atualização automática da Ubuntu descreve upgrades não assistidos, origens permitidas e comportamento de reinicialização. Um repositório de terceiros não é automaticamente coberto só porque foi adicionado à máquina. Revise o que o processo de atualização configurado realmente inclui e dê às aplicações instaladas separadamente seu próprio caminho de manutenção. Decida como as reinicializações de serviços e reboots serão tratados. Aplicar uma atualização de pacote nem sempre significa que todo processo em execução está usando o novo código. Use uma janela de manutenção quando a carga de trabalho exigir, e faça uma verificação simples da aplicação depois. Se um pacote precisar de etapas manuais de migração, documente-as em vez de desativar todas as atualizações indefinidamente e esquecer a exposição resultante. 05 Restrinja o acesso à aplicação e proteja a recuperação Execute serviços com as permissões de que precisam, e separe conteúdo público de segredos e metadados de implantação. Um processo web não deve poder reescrever todas as configurações do sistema. Mantenha segredos de ambiente fora de diretórios servidos publicamente e evite incluí-los em logs, exportações de suporte ou backups gerais sem uma política de proteção intencional. Remova pacotes e serviços não utilizados quando não tiverem propósito operacional. Mantenha um backup independente e teste a restauração da aplicação em um ambiente isolado. Restrinja as credenciais de backup para que uma aplicação comprometida não possa excluir automaticamente todas as cópias de recuperação. Monitore a capacidade de disco, a idade do backup e as falhas de serviço. O registro deve responder a perguntas operacionais definidas, com acesso e retenção controlados; não deve se tornar uma cópia ilimitada de requisições sensíveis. 06 Uma sequência de primeira implantação que permanece revisável Para uma nova VPS, primeiro verifique o acesso e a recuperação, depois estabeleça a conta administrativa e a chave testada. Configure o firewall, aplique atualizações e implante a aplicação sob sua conta de serviço pretendida. Confirme o comportamento público a partir de outro ambiente, verifique que arquivos privados não podem ser recuperados e faça uma restauração de backup. Mantenha notas sobre cada decisão e o caminho para reverter uma mudança de acesso. Vector VPS, Pulse NVMe e planos dedicados selecionados apresentam escolhas Linux no catálogo SwissOctet. Confirme a imagem escolhida e a divisão do trabalho de manutenção antes de encomendar. Nenhum nome de imagem Linux prova que hardening, atualizações ou backups já são gerenciados. A linha de base é o conjunto de controles que você configura, verifica e continua a manter conforme o projeto muda. TRANSFORME ISSO EM AÇÃO Sua lista prática. ✓ Verifique a identidade do host SSH e a rota de recuperação. ✓ Teste o acesso individual por chave em uma segunda sessão. ✓ Restrinja serviços em escuta e regras de firewall. ✓ Revise a cobertura de atualizações e o comportamento de reinicialização. ✓ Separe segredos de arquivos públicos e permissões de serviço. ✓ Teste uma cópia de recuperação independente. Baixar lista PERGUNTAS COMUNS Os detalhes que importam. Devo desativar o login por senha imediatamente? + Primeiro estabeleça e teste o acesso por chave substituto e a rota de recuperação. Depois altere a autenticação de acordo com sua configuração suportada. Uma mudança de porta da SSH substitui o hardening? + Não. Ela não substitui autenticação forte, acesso restrito, atualizações ou privilégio de conta apropriado. Atualizações automáticas bastam para toda aplicação? + Não. Verifique repositórios permitidos, requisitos de reinicialização e software instalado fora do processo de atualização do sistema. REFERÊNCIAS PRINCIPAIS Vá à fonte. Estas referências apoiam os conceitos técnicos deste guia. Siga a documentação atual antes de alterar um sistema em produção. Servidor Ubuntu: servidor OpenSSH ubuntu.com Servidor Ubuntu: firewalls ubuntu.com Servidor Ubuntu: atualizações automáticas ubuntu.com Orientação editorial da SwissOctet. Os exemplos são ilustrativos. Especificações de serviço, opções disponíveis e condições contratuais devem ser verificadas separadamente. CONECTE O CONHECIMENTO Infraestrutura relacionada. Vector VPS Suíça Pulse NVMe Suíça Metal EPYC Suíça MANTENHA O FIO Suas próximas notas de campo. Explore todos os guias NOTA DE CAMPO / 01 + Operações do dia dois Aplicado Construa um backup que você realmente possa restaurar Escolha um alvo de recuperação, proteja uma cópia independente e pratique a restauração antes que um incidente force a questão. 4 min de leitura Leia o guia NOTA DE CAMPO / 02 + Operações do dia dois Aplicado Um modelo de ameaça prático para o seu projeto hospedado Mapeie ativos e limites de confiança, escolha alguns cenários de falha realistas e transforme-os em controles que você possa testar. 6 min de leitura Leia o guia NOTA DE CAMPO / 03 + Operações do dia dois Aplicado Administração segura do Windows RDP sem perder o acesso Separe a alcançabilidade de rede, a autenticação e o privilégio, depois verifique uma rota de recuperação antes de restringir o acesso remoto. 6 min de leitura Leia o guia