Manter o seu VPS seguro: hardening, Lynis e uma rotina de manutenção
Com Proteger o seu VPS: os primeiros cinco minutos estabelece a base: atualizações, início de sessão com uma chave, uma firewall e fail2ban. Mas um servidor nunca está concluído. O software fica desatualizado, os certificados expiram e os discos ficam cheios. Aqui fica a saber como reforçar a segurança do servidor passo a passo a partir daí (hardening), como verificá-lo com o Lynis e que ritmo de manutenção ajuda.
Quatro princípios
- Uma superfície de ataque reduzida. O que não existe não pode ter falhas. Remova os serviços e pacotes que não utiliza e mantenha abertas para o exterior apenas as portas realmente necessárias. Consulte Que serviços estão à escuta no seu VPS e o que está acessível a partir do exterior?
- Privilégios mínimos. Nada de trabalho diário como root, serviços com um utilizador próprio, nunca
chmod 777. Consulte Ler e definir corretamente as permissões de ficheiros no seu VPS. - Defesa em camadas. Parta do princípio de que uma medida falha. Uma base de dados que está à escuta apenas em
127.0.0.1, se encontra atrás de uma firewall e tem uma palavra-passe forte, continua segura se uma dessas três falhar. - Ver o que acontece. Registos, monitorização e cópias de segurança. Sem estes três, só se apercebe de um problema quando já é tarde demais.
Os CIS Benchmarks em resumo
O Center for Internet Security (CIS) elabora os CIS Benchmarks: listas de definições recomendadas por produto, também para Debian e Ubuntu. Estão divididos em Level 1 (medidas básicas sem grandes desvantagens, o objetivo para a maioria dos servidores) e Level 2 (mais rigoroso, pode custar funcionalidades ou desempenho). Utilize-os como referência: compreenda uma recomendação antes de a aplicar, altere uma coisa de cada vez e anote porque é que deliberadamente não faz algo. Tenha cuidado com scripts prontos a usar que aplicam "tudo do CIS" de uma só vez: é fácil ficar sem acesso ao seu próprio servidor.
Verificar com o Lynis
O Lynis é um programa gratuito de código aberto que verifica o seu servidor a partir do interior. Não altera nada por si próprio, apenas produz um relatório.
sudo apt install lynis sudo lynis audit system
No AlmaLinux e no Rocky Linux, instala-o a partir do EPEL com sudo dnf install lynis. O resultado lê-se da seguinte forma:
- Warnings devem mesmo ser analisados, por exemplo pacotes com vulnerabilidades conhecidas (nesse caso há atualizações pendentes).
- Suggestions são conselhos. Muitos são úteis, alguns não se adequam ao seu servidor. Uma sugestão para desativar
AllowTcpForwarding, por exemplo, interrompe os seus túneis SSH. Não as siga cegamente. - Cada aviso tem um código entre parênteses retos, como
[SSH-7408]. Com ele, procura em/var/log/lynis.logo que foi exatamente testado. - O hardening index (um número até 100) é uma orientação, não uma pontuação a perseguir.
Crie um snapshot antes de alterar algo com base no Lynis, consulte Snapshots e cópias de segurança do seu VPS, e saiba como abrir a consola caso fique, ainda assim, sem acesso.
Um ritmo de manutenção
Um exemplo para um servidor pequeno. Adapte-o à sua própria situação e marque os momentos na sua agenda.
| Quando | O quê |
|---|---|
| Todas as semanas | Rever os alertas da sua monitorização; systemctl --failed; reiniciar se /var/run/reboot-required existir |
| Todos os meses | apt list --upgradable (há algo pendente?); atualizar contentores; espaço em disco; erros no registo com journalctl -p err --since "1 month ago" |
| Todos os trimestres | Restaurar uma cópia de segurança a título de teste; rever utilizadores e authorized_keys; executar novamente o Lynis |
| Todos os anos | Verificar a data de fim de suporte da sua versão e planear uma atualização; atualizar o security.txt, se o tiver; atualizar o seu dossiê do servidor |
Ajuda com cada componente: Atualizações e atualizações automáticas, Monitorização externa e interna, Cópias de segurança com restic para outro local, Revogar o acesso SSH ao seu VPS de um antigo colaborador ou de um portátil perdido e Atualizar o seu VPS para uma nova versão do Debian ou do Ubuntu.
Um dossiê do servidor
Escreva um documento curto por servidor e guarde-o fora do servidor, por exemplo no seu gestor de palavras-passe:
- nome, endereços IP, sistema operativo e a data de fim de suporte dessa versão;
- o que está em execução (serviços, contentores, sites) e que portas estão abertas para isso;
- onde estão as cópias de segurança, como restaurar e quando o testou pela última vez;
- que segredos estão no servidor (não os segredos em si, mas quais são e onde os substitui);
- quem tem acesso e o que fez deliberadamente de forma diferente do padrão.
Esse dossiê ajuda em caso de avaria, numa atualização e quando outra pessoa assume a gestão.
timedatectl que o relógio está sincronizado: com uma hora errada, os registos tornam-se inutilizáveis e os certificados podem ser considerados inválidos.O seu VPS é totalmente autogerido: o hardening e a manutenção dentro do servidor são da sua responsabilidade. Nós ajudamos com a parte da WebOké, como o ecrã do VPS, a rede, os snapshots e as cópias de segurança diárias.
Quer saber mais? Siga o curso gratuito VPS e gestão de servidores Linux, lição 10.1 Hardening e princípios CIS ou lição 10.4 Verificação final: avaliar o seu servidor.