Hardening básico de um servidor Linux

Quando se arranca um servidor novo, ele vem demasiado aberto. Estas são as configurações mínimas que aplico sempre antes de o expor.

1. Atualizar e reduzir a superfície de ataque

apt update && apt full-upgrade -y

Desinstale o que não usa e desative os serviços de que não precisa. Cada porta aberta é uma porta de entrada.

2. SSH: a porta da frente

• Sem root direto: PermitRootLogin no.
• Apenas chave, sem palavra-passe: PasswordAuthentication no.
• Crie o seu próprio utilizador com sudo e inicie sessão com esse utilizador.

3. Firewall por omissão: negar

Com o ufw, negue tudo e abra apenas o que for necessário:

ufw default deny incoming
ufw allow 22/tcp
ufw enable

4. Fail2ban

Bloqueia automaticamente os IP que falham o início de sessão várias vezes. É uma das coisas com melhor relação custo-benefício que pode instalar.

Isto não o torna invulnerável, mas tira-lhe das costas 95% do ruído automatizado da internet.