{"id":21396,"date":"2016-07-04T10:00:08","date_gmt":"2016-07-04T10:00:08","guid":{"rendered":"https:\/\/blog.locaweb.com.br\/?p=21396"},"modified":"2025-04-14T16:46:13","modified_gmt":"2025-04-14T19:46:13","slug":"como-melhorar-seguranca-dos-servidores","status":"publish","type":"post","link":"https:\/\/www.locaweb.com.br\/blog\/produtos\/vps-e-cloud\/como-melhorar-seguranca-dos-servidores\/","title":{"rendered":"Como melhorar a seguran\u00e7a dos servidores"},"content":{"rendered":"

Este artigo vai mostrar algumas t\u00e9cnicas para aumentar a seguran\u00e7a em seus servidores. No entanto, vale ressaltar que somente estas dicas n\u00e3o garantem 100% de seguran\u00e7a.<\/p>\n

Vejamos o cen\u00e1rio em que voc\u00ea contratou seu servi\u00e7o de Cloud Locaweb<\/strong><\/a>, entrou em http:\/\/servidores.locaweb.com.br<\/a> com seu usu\u00e1rio e senha e l\u00e1 est\u00e3o os servidores contratados. Com a senha do usu\u00e1rio root <\/strong>em m\u00e3os, voc\u00ea vai levantar os seus servi\u00e7os e colocar a sua m\u00e1quina operar, certo? Errado, sempre voc\u00ea deve se preocupar com seguran\u00e7a e, neste tutorial, veja como deixar os ambientes mais seguros.<\/p>\n

1. N\u00e3o permitir acesso com usu\u00e1rio root<\/strong><\/p>\n

Nunca deixe o acesso feito ao seu servidor Linux ser feito via usu\u00e1rio root<\/em>. Prefira, sempre, acessar com um usu\u00e1rio comum e assumir acesso root apenas depois de entrar em seu servidor, usando o comando sudo su, ou com o comando sudo -i (se nosso usu\u00e1rio comum estiver no arquivo de sudoers), ou com o comando su (se n\u00e3o estiver). Com o comando su, ser\u00e1 necess\u00e1rio a senha do usu\u00e1rio root; com o comando sudo, basta a senha do usu\u00e1rio.<\/p>\n

Antes de bloquear o acesso SSH<\/strong> do usu\u00e1rio root<\/strong>, voc\u00ea deve ter acesso com algum usu\u00e1rio comum. Se n\u00e3o tiver um usu\u00e1rio comum, crie com os seguintes passos:<\/p>\n

[sourcecode]
\nroot@cpro36320:~# adduser wsilva
\nAdding user `wsilva’ …
\nAdding new group `wsilva’ (1000) …
\nAdding new user `wsilva’ (1000) with group `wsilva’ …
\nCreating home directory `\/home\/wsilva’ …
\nCopying files from `\/etc\/skel’ …
\nEnter new UNIX password:
\nRetype new UNIX password:
\npasswd: password updated successfully
\nChanging the user information for wsilva
\nEnter the new value, or press ENTER for the default
\nFull Name []: Wellington
\nRoom Number []:
\nWork Phone []:
\nHome Phone []:
\nOther []:
\nIs the information correct? [Y\/n] Y
\nroot@cpro36320:~#
\n[\/sourcecode]<\/p>\n

Para bloquear o acesso como root, voc\u00ea deve editar o arquivo \/etc\/ssh\/sshd_config. \u00c9 preciso editar o arquivo sshd_config<\/em><\/strong> e n\u00e3o o arquivo ssh_config<\/em><\/strong>.<\/p>\n

[sourcecode]
\nroot@cpro36320:~# vim \/etc\/ssh\/sshd_config
\n[\/sourcecode]<\/p>\n

A linha com o conte\u00fado PermitRootLogin yes<\/strong> deve ser alterada para PermitRootLogin<\/strong>. Depois, n\u00e3o se esque\u00e7a de gravar e sair do arquivo de configura\u00e7\u00e3o e, em seguida, reiniciar o servi\u00e7o de SSH.<\/p>\n

[sourcecode]
\nroot@cpro36320:~# sudo service ssh restart
\nssh stop\/waiting
\nssh start\/running, process 30751
\nroot@cpro36320:~#
\n[\/sourcecode]<\/p>\n

2. Mudar porta do servi\u00e7o SSH<\/strong><\/p>\n

Apesar de o bypass ser uma mudan\u00e7a muito f\u00e1cil de ser realizada, o simples fato de alterar a porta padr\u00e3o em que o servi\u00e7o roda j\u00e1 dificulta a a\u00e7\u00e3o de rob\u00f4s mais simples. Consequentemente, cada passo que voc\u00ea adicionar para dificultar um acesso n\u00e3o autorizado, j\u00e1 ajuda. Um paralelo que se pode fazer \u00e9 imaginar dois carros id\u00eanticos, um trancado e com alarme, e outro aberto e com as chaves no contato.<\/p>\n

O que tem maior probabilidade de ser furtado \u00e9 o que der menos trabalho ao criminoso, ou seja: o que j\u00e1 est\u00e1 aberto e com chaves no contato.<\/p>\n

Para mudar a porta padr\u00e3o do servi\u00e7o de SSH, basta alterar a diretiva Port no arquivo \/etc\/ssh\/sshd_config, citado no dica anterior. Para alterar, por exemplo, para o servi\u00e7o de SSH responder na porta 2222, basta fazer a altera\u00e7\u00e3o no arquivo e reiniciar o servi\u00e7o.<\/p>\n

[sourcecode]
\nroot@cpro36320:~# vim \/etc\/ssh\/sshd_config<\/p>\n

# What ports, IPs and protocols we listen for
\nPort 2222
\n# Port 22<\/p>\n

root@cpro36320:~# service ssh restart
\nssh stop\/waiting
\nssh start\/running, process 28867
\nroot@cpro36320:~#
\n[\/sourcecode]<\/p>\n

3. Colocar mensagem para inibir acesso a<\/strong><\/p>\n

Esta \u00e9 uma t\u00e9cnica que n\u00e3o surte muito efeito, mas assusta um atacante inexperiente.<\/p>\n

No arquivo \/etc\/ssh\/sshd_config, citado anteriormente, deve-se “descomentar” e definir a op\u00e7\u00e3o Banner<\/strong>:<\/p>\n

[sourcecode]
\nroot@cpro36320:~# vim \/etc\/ssh\/sshd_config
\nBanner \/etc\/issue.net
\n[\/sourcecode]<\/p>\n

No arquivo \/etc\/issue.net, colocamos o texto<\/strong> e ascii art<\/strong>, se tivermos.<\/p>\n

[sourcecode]
\nroot@cpro36320:~# cat \/etc\/issue.net
\n################################################################
\n# All connections are monitored here. \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0#
\n# Disconnect IMMEDIATELY if you are not an authorized user. \u00a0\u00a0\u00a0#
\n# LAWS will be applied in case of RULES VIOLATION. \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0#
\n################################################################
\n[\/sourcecode]<\/p>\n

Em seguida, pode reiniciar o servi\u00e7o SSH e tentar acessar para visualizar a mensagem:<\/p>\n

[sourcecode]
\nroot@cpro36320:~# service ssh restart
\nssh stop\/waiting
\nssh start\/running, process 29877
\nroot@cpro36320:~#
\nroot@cpro36320:~# exit
\nexit
\nwsilva@cpro36320:~$ exit
\nlogout
\nConnection to cpro36320.publiccloud.com.br closed.
\n[wsilva@localhost ~]$ ssh wsilva@cpro36320.publiccloud.com.br
\n################################################################
\n# All connections are monitored here \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0#
\n# Disconnect IMMEDIATELY if you are not an authorized user. \u00a0\u00a0\u00a0#
\n# Laws will be applied in case of rules violation. \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0#
\n################################################################
\nWelcome to Ubuntu 14.04.4 LTS (GNU\/Linux 3.13.0-79-generic x86_64)
\n[\/sourcecode]<\/p>\n

* Documentation: \u00a0https:\/\/help.ubuntu.com\/
\nLast login: Mon Mar 27 16:18:22 2016 from 200.205.195.2<\/p>\n

4. Bloquear ataques de bruteforce<\/strong><\/p>\n

Para bloquear ataques de bruteforce, existe algumas ferramentas como denyhosts<\/em> e fail2ban<\/em>, que bloqueiam, temporariamente, o endere\u00e7o IP do atacante para qualquer tentativa de acesso via ssh. O fail2ban<\/em> pode ser configurado para bloquear acesso a outros servi\u00e7os como apache, asterisk e mysql-auth, entre outros. Tamb\u00e9m, voc\u00ea pode personalizar as a\u00e7\u00f5es a serem tomadas, mais do que simplesmente bloquear o atacante no iptables, como enviar e-mails e notificac\u00f5es de alertas, por exemplo.<\/p>\n

Voc\u00ea pode instalar o fail2ban. <\/strong>Para isso, utilize o gerenciador de pacotes de nossa distribui\u00e7\u00e3o Linux.<\/p>\n

Para CentOS<\/strong>, RedHat<\/strong>, Fedora<\/strong> e similares:<\/p>\n

[sourcecode]
\nroot@cpro36320:~# yum install fail2ban
\n[\/sourcecode]<\/p>\n

Para Debian<\/strong>, Ubuntu<\/strong>, Mint<\/strong> e similares:<\/p>\n

[sourcecode]
\nroot@cpro36320:~# apt-get install fail2ban
\n[\/sourcecode]<\/p>\n

O arquivo de configura\u00e7\u00e3o do fail2ban<\/strong> fica em \/etc\/fail2ban\/jail.conf. Devemos ter aten\u00e7\u00e3o aos seguintes par\u00e2metros:<\/p>\n