# Uma base de endurecimento de Linux VPS que pode manter | SwissOctet Insights https://swissoctet.com/pt/insights/linux-vps-hardening-baseline/ SwissOctet / Informações / Operações do dia-a-dia Operações do dia-a-dia Aplicado · 6 min de leitura Uma base de endurecimento do Linux VPS que pode manter Administre com segurança, exponha apenas os serviços necessários e estabeleça atualizações e recuperação sem se bloquear a si próprio. Por SwissOctet Editorial Guardar guia Copiar ligação NESTA PÁGINA 01 Estabeleça um ponto de partida fiável 02 Torne o acesso à SSH deliberado 03 Exponha a aplicação, não a máquina inteira 04 Planeie as atualizações como um processo operacional 05 Restrinja o acesso à aplicação e proteja a recuperação 06 Uma sequência de primeira implementação que se mantém passível de revisão A sua lista de verificação prática Fontes e leitura adicional Voltar à biblioteca A RESPOSTA DIRETA Comece com acesso verificado e um percurso de recuperação e, em seguida, configure a administração individual, chaves SSH testadas, uma firewall restritiva, software mantido e cópias de segurança independentes. Aplique as alterações de forma incremental e verifique uma nova sessão antes de fechar a antiga. 01 Estabeleça um ponto de partida fiável Antes de alterar a máquina, confirme o sistema operativo esperado, o método de acesso e o percurso de recuperação. Verifique a identidade do anfitrião SSH através da informação aprovada pelo operador em vez de aceitar uma chave inesperada sem investigação. Mantenha as credenciais temporárias privadas e substitua-as através do processo previsto. Registe qual a pessoa responsável pela manutenção e quais as opções de recuperação efetivamente disponíveis para este serviço. Mantenha uma sessão de administração funcional aberta enquanto faz alterações de acesso. Uma receita de endurecimento copiada pode remover o único início de sessão utilizável quando assume uma distribuição ou disposição de conta diferente. Faça uma alteração de cada vez, verifique o seu resultado efetivo e preserve um caminho de regresso. O objetivo é um sistema que possa manter em segurança, não uma configuração que parece rigorosa mas não pode ser administrada. 02 Torne o acesso à SSH deliberado Crie acesso administrativo individual com o privilégio adequado em vez de partilhar um único início de sessão root permanente. Instale e teste a chave pública pretendida, mantendo a chave privada no endpoint autorizado. A documentação do Ubuntu OpenSSH explica a configuração do servidor e as opções de autenticação. Leia a configuração efetiva da sua distribuição, incluindo os ficheiros incluídos, antes de assumir que editar uma definição alterou todo o serviço. Teste o acesso por chave através de uma segunda sessão antes de alterar a autenticação por palavra-passe ou as regras de início de sessão privilegiado. Certifique-se de que a nova conta consegue realizar a administração de que necessita. Reveja qualquer automatização que dependa do método anterior e substitua o seu acesso de forma deliberada. Uma chave é uma credencial de acesso, por isso utilize um local de armazenamento privado e um processo de rotação em vez de deixar cópias dentro de diretórios de aplicações. 03 Exponha a aplicação, não a máquina inteira Inventarie os serviços à escuta e identifique quais têm de ser públicos. Uma aplicação web pode precisar de HTTP e HTTPS, enquanto a sua base de dados pode permanecer acessível apenas através do caminho interno pretendido. O Ubuntu documenta o UFW como ferramenta de configuração de firewall, mas a política útil é independente da ferramenta: permita o tráfego necessário e restrinja a administração às origens aprovadas sempre que for prático. Verifique os controlos ao nível do host e do fornecedor se o serviço os incluir. Antes de ativar um conjunto de regras restritivo, permita o caminho de administração testado e verifique o acesso a partir de outra sessão. Não assuma que mover o SSH para uma porta diferente substitui a autenticação ou a aplicação de patches. Mantenha as regras de firewall compreensíveis para que a resolução de problemas futura não leve à abertura de todas as portas como solução alternativa. Alterar Verificar antes de aplicar Verificar depois Nova chave SSH Conta e chave pública corretas A segunda sessão autenticada por chave funciona Firewall restritiva Caminhos de serviço e recuperação necessários A aplicação pública funciona; as portas não pretendidas estão fechadas Atualização de software Implicações de cópia de segurança e reinício Os serviços reiniciam e os testes da aplicação passam Alteração de permissões do serviço Caminhos de leitura e escrita necessários A aplicação funciona sem acesso mais amplo ao sistema 04 Planeie as atualizações como um processo operacional Mantenha o sistema e as dependências da aplicação atualizados. As orientações de atualização automática do Ubuntu descrevem atualizações não assistidas, origens permitidas e comportamento de reinício. Um repositório de terceiros não fica automaticamente abrangido só porque foi adicionado à máquina. Reveja o que o processo de atualização configurado inclui efetivamente e dê às aplicações instaladas separadamente o seu próprio caminho de manutenção. Decida como serão tratados os reinícios de serviços e os arranques do sistema. Aplicar uma atualização de pacote nem sempre significa que todos os processos em execução estão a usar o novo código. Utilize uma janela de manutenção quando a carga de trabalho o exigir e realize uma verificação simples da aplicação depois. Se um pacote precisar de passos de migração manuais, documente-os em vez de desativar todas as atualizações indefinidamente e esquecer a exposição resultante. 05 Restrinja o acesso à aplicação e proteja a recuperação Execute os serviços com as permissões de que necessitam e separe o conteúdo público dos segredos e dos metadados de implementação. Um processo web não deve conseguir reescrever todas as definições do sistema. Mantenha os segredos de ambiente fora de diretórios servidos publicamente e evite incluí-los em registos, exportações de suporte ou cópias de segurança gerais sem uma política de proteção intencional. Remova pacotes e serviços não utilizados quando não têm propósito operacional. Mantenha uma cópia de segurança independente e teste a restauração da aplicação num ambiente isolado. Restrinja as credenciais de cópia de segurança para que uma aplicação comprometida não possa eliminar automaticamente todas as cópias de recuperação. Monitorize a capacidade do disco, a idade das cópias de segurança e as falhas de serviço. O registo deve responder a questões operacionais definidas, com acesso e retenção controlados; não deve tornar-se uma cópia ilimitada de pedidos sensíveis. 06 Uma sequência de primeira implementação que se mantém passível de revisão Para um novo VPS, verifique primeiro o acesso e a recuperação, depois estabeleça a conta administrativa e a chave testada. Configure a firewall, aplique atualizações e implemente a aplicação sob a conta de serviço pretendida. Confirme o comportamento público a partir de outro ambiente, verifique que os ficheiros privados não podem ser obtidos e realize uma restauração de cópia de segurança. Mantenha notas sobre cada decisão e o caminho para reverter uma alteração de acesso. O Vector VPS, o Pulse NVMe e planos dedicados selecionados apresentam escolhas de Linux no catálogo SwissOctet. Confirme a imagem escolhida e a divisão do trabalho de manutenção antes de encomendar. Nenhum nome de imagem Linux prova que o hardening, as atualizações ou as cópias de segurança já estão geridos. A linha de base é o conjunto de controlos que configura, verifica e continua a manter à medida que o projeto muda. TRANSFORME ISTO EM AÇÃO A sua lista de verificação prática. ✓ Verifique a identidade do host SSH e a rota de recuperação. ✓ Teste o acesso individual por chave numa segunda sessão. ✓ Restrinja os serviços à escuta e as regras de firewall. ✓ Reveja a cobertura de atualizações e o comportamento de reinício. ✓ Separe os segredos dos ficheiros públicos e as permissões dos serviços. ✓ Teste uma cópia de recuperação independente. Descarregar lista de verificação PERGUNTAS FREQUENTES Os detalhes que importam. Devo desativar o início de sessão por palavra-passe imediatamente? + Estabeleça e teste primeiro o acesso por chave de substituição e a rota de recuperação. Depois altere a autenticação de acordo com a sua configuração suportada. Uma alteração de porta do SSH substitui o hardening? + Não. Não substitui autenticação forte, acesso restrito, atualizações ou privilégios de conta adequados. As atualizações automáticas são suficientes para todas as aplicações? + Não. Verifique os repositórios permitidos, os requisitos de reinício e o software instalado fora do processo de atualização do sistema. REFERÊNCIAS PRIMÁRIAS Vá à fonte. Estas referências sustentam os conceitos técnicos deste guia. Siga a documentação atual antes de alterar um sistema de produção. Ubuntu Server: servidor OpenSSH ubuntu.com Ubuntu Server: Firewalls ubuntu.com Ubuntu Server: atualizações automáticas ubuntu.com Orientação editorial da SwissOctet. Os exemplos são ilustrativos. As especificações de serviço, as opções disponíveis e as condições contratuais devem ser verificadas separadamente. LIGUE O CONHECIMENTO Infraestrutura relacionada. Vector VPS Suíça Pulse NVMe Suíça Metal EPYC Suíça MANTENHA O FIO As suas próximas notas de campo. Explore todos os guias NOTA DE CAMPO / 01 + Operações do dia-a-dia Aplicado Construa uma cópia de segurança que consiga realmente restaurar Escolha um objetivo de recuperação, proteja uma cópia independente e pratique a restauração antes que um incidente force a questão. 4 min de leitura Leia o guia NOTA DE CAMPO / 02 + Operações do dia-a-dia Aplicado Um modelo de ameaças prático para o seu projeto alojado Mapeie os ativos e os limites de confiança, escolha alguns cenários de falha realistas e transforme-os em controlos que possa testar. 6 min de leitura Leia o guia NOTA DE CAMPO / 03 + Operações do dia-a-dia Aplicado Administração segura do Windows RDP sem perder o acesso Separe a acessibilidade de rede, a autenticação e os privilégios e, em seguida, verifique uma rota de recuperação antes de restringir o acesso remoto. 6 min de leitura Leia o guia