Na internet, não existe a pergunta “se” seu servidor será atacado, mas sim “quando”. Bots automatizados varrem a rede 24 horas por dia procurando portas abertas e senhas fracas. Se você gerencia um VPS ou Dedicado, a segurança não é um luxo, é uma obrigação.
Neste guia, vamos aplicar a estratégia de “Defesa em Profundidade” para transformar seu servidor Linux em uma fortaleza, cobrindo as configurações vitais que todo SysAdmin deve aplicar no primeiro dia de uso.
1. A Porta de Entrada: Blindando o SSH
O protocolo SSH (porta 22) é o alvo número 1 de ataques de força bruta. Se você usa apenas login e senha, sua segurança está comprometida.
O que fazer:
- Use Chaves SSH (SSH Keys): Abandone senhas. Gere um par de chaves na sua máquina local (
ssh-keygen) e envie a pública para o servidor. Isso torna ataques de adivinhação de senha impossíveis. - Desative o Login de Root: O usuário “root” existe em todo Linux, o que facilita para o atacante que só precisa adivinhar a senha. Crie um usuário comum com privilégios
sudoe use-o para logar. - Mude a Porta Padrão (Opcional mas Recomendado): Mudar a porta 22 para algo como 6544 não impede um hacker determinado, mas elimina 99% do ruído nos logs causado por bots simples.
Configuração rápida (/etc/ssh/sshd_config):
Bash
Lembre-se de reiniciar o serviço SSH após as alterações. Mantenha uma conexão ao ssh ativa e faça teste de conexão em outro terminal. Assim você não corre o risco de não conectar ao ssh.
2. O Muro: Configure um Firewall Robusto
Um servidor sem firewall é como uma casa sem muros. Você precisa controlar estritamente quem entra e quem sai.
Escolha sua ferramenta:
- UFW (Uncomplicated Firewall): Ideal para iniciantes e usuários de Ubuntu/Debian. Simples e direto.
- Firewalld: Padrão no AlmaLinux/CentOS/RHEL. Poderoso e suporta zonas de segurança.
- CSF (ConfigServer Security & Firewall) Clique aqui para instalar CSF: A melhor escolha se você usa painéis como DirectAdmin ou cPanel. Ele possui interface gráfica e recursos avançados de detecção de intrusão integrados.
Regra de Ouro: A política padrão deve ser sempre bloquear tudo o que entra (Incoming Deny) e liberar apenas o essencial (Portas SSH, 80, 443).
3. A Sentinela: Fail2Ban ou CrowdSec
Mesmo com firewall, portas abertas (como a do site ou e-mail) podem sofrer ataques de força bruta. Você precisa de uma ferramenta que leia os logs e banir IPs maliciosos automaticamente.
- Fail2Ban: O clássico. Ele monitora logs e cria regras no firewall para bloquear IPs que erraram a senha muitas vezes. Leve e eficiente.
- CrowdSec: A evolução moderna. Além de bloquear localmente, ele compartilha a informação com uma rede global. Se um IP atacou um servidor no Japão, seu servidor no Brasil já estará protegido contra ele. Clique aqui para ver Como instalar Crowdsec
Recomendação: Se busca inovação e inteligência coletiva, vá de CrowdSec. Se prefere a estabilidade do clássico, Fail2Ban resolve.
4. Atualizações Automáticas: Não Deixe para Depois
A vulnerabilidade mais perigosa é aquela que já tem correção, mas você esqueceu de aplicar. Sistemas desatualizados são explorados por exploits conhecidos.
Configure atualizações de segurança automáticas:
- Debian/Ubuntu: Pacote
unattended-upgrades. - RHEL/AlmaLinux:
dnf-automatic.
Isso garante que patches críticos de Kernel e serviços (como Apache/Nginx) sejam aplicados enquanto você dorme.
5. Proteção do Sistema de Arquivos
Impedir que arquivos críticos sejam alterados é uma camada extra de defesa.
- Imutabilidade (Chattr): O comando
chattr +ipode tornar arquivos impossíveis de serem deletados ou alterados, mesmo pelo root. Útil para proteger configurações de backup e outros. - Particionamento: Em servidores avançados, recomenda-se montar a partição
/tmpcom a flagnoexec. Isso impede que hackers rodem scripts maliciosos a partir da pasta temporária (uma técnica de ataque muito comum).
Resumo: Checklist de Segurança Inicial
Ao configurar um novo servidor, siga esta ordem:
- [ ] Criar usuário sudo e gerar chaves SSH.
- [ ] Editar
sshd_config(Desativar Root/Senha). - [ ] Atualizar todo o sistema (
apt upgradeoudnf update). - [ ] Instalar e ativar Firewall (UFW ou CSF).
- [ ] Instalar ferramenta de banimento (CrowdSec ou Fail2Ban).
Conclusão
Segurança não é um produto que você compra, é um processo contínuo. Ao implementar SSH Keys, Firewall e um sistema de detecção de intrusão, você coloca seu servidor acima da média de segurança da internet.
Não espere o incidente acontecer. Tire 30 minutos hoje para revisar essas configurações e durma tranquilo.
Clique aqui e consulte nossos planos de Gerenciamento de Servidor
Veja Mais: Como instalar Crowdsec
Veja Mais: Almalinux e Rock Linux
Veja Mais: Guia Completo do DirectAdmin para Administradores | Instalação, Segurança e Performance
Veja Mais: Como Escolher Entre cPanel e DirectAdmin
See More: How to install Crowdsec