Comece com acesso verificado e um percurso de recuperação e, em seguida, configure a administração individual, chaves SSH testadas, uma firewall restritiva, software mantido e cópias de segurança independentes. Aplique as alterações de forma incremental e verifique uma nova sessão antes de fechar a antiga.
Estabeleça um ponto de partida fiável
Antes de alterar a máquina, confirme o sistema operativo esperado, o método de acesso e o percurso de recuperação. Verifique a identidade do anfitrião SSH através da informação aprovada pelo operador em vez de aceitar uma chave inesperada sem investigação. Mantenha as credenciais temporárias privadas e substitua-as através do processo previsto. Registe qual a pessoa responsável pela manutenção e quais as opções de recuperação efetivamente disponíveis para este serviço.
Mantenha uma sessão de administração funcional aberta enquanto faz alterações de acesso. Uma receita de endurecimento copiada pode remover o único início de sessão utilizável quando assume uma distribuição ou disposição de conta diferente. Faça uma alteração de cada vez, verifique o seu resultado efetivo e preserve um caminho de regresso. O objetivo é um sistema que possa manter em segurança, não uma configuração que parece rigorosa mas não pode ser administrada.
Torne o acesso à SSH deliberado
Crie acesso administrativo individual com o privilégio adequado em vez de partilhar um único início de sessão root permanente. Instale e teste a chave pública pretendida, mantendo a chave privada no endpoint autorizado. A documentação do Ubuntu OpenSSH explica a configuração do servidor e as opções de autenticação. Leia a configuração efetiva da sua distribuição, incluindo os ficheiros incluídos, antes de assumir que editar uma definição alterou todo o serviço.
Teste o acesso por chave através de uma segunda sessão antes de alterar a autenticação por palavra-passe ou as regras de início de sessão privilegiado. Certifique-se de que a nova conta consegue realizar a administração de que necessita. Reveja qualquer automatização que dependa do método anterior e substitua o seu acesso de forma deliberada. Uma chave é uma credencial de acesso, por isso utilize um local de armazenamento privado e um processo de rotação em vez de deixar cópias dentro de diretórios de aplicações.
Exponha a aplicação, não a máquina inteira
Inventarie os serviços à escuta e identifique quais têm de ser públicos. Uma aplicação web pode precisar de HTTP e HTTPS, enquanto a sua base de dados pode permanecer acessível apenas através do caminho interno pretendido. O Ubuntu documenta o UFW como ferramenta de configuração de firewall, mas a política útil é independente da ferramenta: permita o tráfego necessário e restrinja a administração às origens aprovadas sempre que for prático.
Verifique os controlos ao nível do host e do fornecedor se o serviço os incluir. Antes de ativar um conjunto de regras restritivo, permita o caminho de administração testado e verifique o acesso a partir de outra sessão. Não assuma que mover o SSH para uma porta diferente substitui a autenticação ou a aplicação de patches. Mantenha as regras de firewall compreensíveis para que a resolução de problemas futura não leve à abertura de todas as portas como solução alternativa.
| Alterar | Verificar antes de aplicar | Verificar depois |
|---|---|---|
| Nova chave SSH | Conta e chave pública corretas | A segunda sessão autenticada por chave funciona |
| Firewall restritiva | Caminhos de serviço e recuperação necessários | A aplicação pública funciona; as portas não pretendidas estão fechadas |
| Atualização de software | Implicações de cópia de segurança e reinício | Os serviços reiniciam e os testes da aplicação passam |
| Alteração de permissões do serviço | Caminhos de leitura e escrita necessários | A aplicação funciona sem acesso mais amplo ao sistema |
Planeie as atualizações como um processo operacional
Mantenha o sistema e as dependências da aplicação atualizados. As orientações de atualização automática do Ubuntu descrevem atualizações não assistidas, origens permitidas e comportamento de reinício. Um repositório de terceiros não fica automaticamente abrangido só porque foi adicionado à máquina. Reveja o que o processo de atualização configurado inclui efetivamente e dê às aplicações instaladas separadamente o seu próprio caminho de manutenção.
Decida como serão tratados os reinícios de serviços e os arranques do sistema. Aplicar uma atualização de pacote nem sempre significa que todos os processos em execução estão a usar o novo código. Utilize uma janela de manutenção quando a carga de trabalho o exigir e realize uma verificação simples da aplicação depois. Se um pacote precisar de passos de migração manuais, documente-os em vez de desativar todas as atualizações indefinidamente e esquecer a exposição resultante.
Restrinja o acesso à aplicação e proteja a recuperação
Execute os serviços com as permissões de que necessitam e separe o conteúdo público dos segredos e dos metadados de implementação. Um processo web não deve conseguir reescrever todas as definições do sistema. Mantenha os segredos de ambiente fora de diretórios servidos publicamente e evite incluí-los em registos, exportações de suporte ou cópias de segurança gerais sem uma política de proteção intencional. Remova pacotes e serviços não utilizados quando não têm propósito operacional.
Mantenha uma cópia de segurança independente e teste a restauração da aplicação num ambiente isolado. Restrinja as credenciais de cópia de segurança para que uma aplicação comprometida não possa eliminar automaticamente todas as cópias de recuperação. Monitorize a capacidade do disco, a idade das cópias de segurança e as falhas de serviço. O registo deve responder a questões operacionais definidas, com acesso e retenção controlados; não deve tornar-se uma cópia ilimitada de pedidos sensíveis.
Uma sequência de primeira implementação que se mantém passível de revisão
Para um novo VPS, verifique primeiro o acesso e a recuperação, depois estabeleça a conta administrativa e a chave testada. Configure a firewall, aplique atualizações e implemente a aplicação sob a conta de serviço pretendida. Confirme o comportamento público a partir de outro ambiente, verifique que os ficheiros privados não podem ser obtidos e realize uma restauração de cópia de segurança. Mantenha notas sobre cada decisão e o caminho para reverter uma alteração de acesso.
O Vector VPS, o Pulse NVMe e planos dedicados selecionados apresentam escolhas de Linux no catálogo SwissOctet. Confirme a imagem escolhida e a divisão do trabalho de manutenção antes de encomendar. Nenhum nome de imagem Linux prova que o hardening, as atualizações ou as cópias de segurança já estão geridos. A linha de base é o conjunto de controlos que configura, verifica e continua a manter à medida que o projeto muda.
A sua lista de verificação prática.
- Verifique a identidade do host SSH e a rota de recuperação.
- Teste o acesso individual por chave numa segunda sessão.
- Restrinja os serviços à escuta e as regras de firewall.
- Reveja a cobertura de atualizações e o comportamento de reinício.
- Separe os segredos dos ficheiros públicos e as permissões dos serviços.
- Teste uma cópia de recuperação independente.
Os detalhes que importam.
Devo desativar o início de sessão por palavra-passe imediatamente?+
Estabeleça e teste primeiro o acesso por chave de substituição e a rota de recuperação. Depois altere a autenticação de acordo com a sua configuração suportada.
Uma alteração de porta do SSH substitui o hardening?+
Não. Não substitui autenticação forte, acesso restrito, atualizações ou privilégios de conta adequados.
As atualizações automáticas são suficientes para todas as aplicações?+
Não. Verifique os repositórios permitidos, os requisitos de reinício e o software instalado fora do processo de atualização do sistema.
Vá à fonte.
Estas referências sustentam os conceitos técnicos deste guia. Siga a documentação atual antes de alterar um sistema de produção.
- Ubuntu Server: servidor OpenSSH ubuntu.com
- Ubuntu Server: Firewalls ubuntu.com
- Ubuntu Server: atualizações automáticas ubuntu.com
Orientação editorial da SwissOctet. Os exemplos são ilustrativos. As especificações de serviço, as opções disponíveis e as condições contratuais devem ser verificadas separadamente.