Segurança no Linux: Guia Completo para Proteger Seu Sistema

A segurança é um aspecto fundamental da administração de sistemas Linux. Seja você responsável por um servidor em produção ou por um computador pessoal, proteger seu sistema contra ameaças é essencial. Este guia apresenta as melhores práticas e técnicas para proteger com eficiência o seu ambiente Linux.

Princípios fundamentais de segurança

Atualização regular do sistema

A primeira linha de defesa é manter o sistema atualizado:

# Pour Debian/Ubuntu
sudo apt update
sudo apt upgrade

# Pour Fedora/RHEL
sudo dnf upgrade

# Pour Arch Linux
sudo pacman -Syu

Configure as atualizações automáticas para as correções de segurança:

# Sur Debian/Ubuntu
sudo apt install unattended-upgrades
sudo dpkg-reconfigure unattended-upgrades

Gerenciamento de usuários e permissões

Princípio do menor privilégio

# Créer un utilisateur standard (non root)
sudo adduser nouvel_utilisateur

# Ajouter aux sudoers (pour les tâches administratives)
sudo usermod -aG sudo nouvel_utilisateur

# Vérifier les groupes d'un utilisateur
groups utilisateur

Reforço das senhas

# Configurer une politique de mots de passe forts
sudo apt install libpam-pwquality
sudo nano /etc/security/pwquality.conf

# Paramètres recommandés
# minlen = 12
# minclass = 3
# enforce_for_root

Segurança de rede

Configuração do firewall

O UFW (Uncomplicated Firewall) simplifica o gerenciamento do firewall:

# Installation
sudo apt install ufw

# Configuration de base
sudo ufw default deny incoming
sudo ufw default allow outgoing

# Autoriser SSH
sudo ufw allow ssh

# Autoriser d'autres services si nécessaire
sudo ufw allow 80/tcp  # HTTP
sudo ufw allow 443/tcp  # HTTPS

# Activer le pare-feu
sudo ufw enable

# Vérifier le statut
sudo ufw status verbose

Proteção do SSH

O SSH costuma ser o principal alvo de ataques:

# Éditer la configuration SSH
sudo nano /etc/ssh/sshd_config

Modificações recomendadas:

# Désactiver la connexion root
PermitRootLogin no

# Utiliser uniquement le protocole SSH v2
Protocol 2

# Désactiver l'authentification par mot de passe
PasswordAuthentication no

# Limiter les utilisateurs autorisés
AllowUsers utilisateur1 utilisateur2

# Changer le port par défaut (optionnel mais efficace)
Port 2222

# Limiter les tentatives d'authentification
MaxAuthTries 3

Reiniciar o serviço SSH:

sudo systemctl restart sshd

Autenticação por chave SSH

# Sur votre machine locale, générer une paire de clés
ssh-keygen -t ed25519 -C "votre_email@exemple.com"

# Copier la clé publique sur le serveur
ssh-copy-id -i ~/.ssh/id_ed25519.pub utilisateur@serveur

# Ou manuellement
cat ~/.ssh/id_ed25519.pub | ssh utilisateur@serveur "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

Proteção contra intrusões

Fail2ban - Proteção contra ataques de força bruta

# Installation
sudo apt install fail2ban

# Configuration
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

Configuração recomendada:

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600

Iniciar e ativar o serviço:

sudo systemctl enable fail2ban
sudo systemctl start fail2ban

Detecção de intrusão com AIDE

O AIDE (Advanced Intrusion Detection Environment) monitora as modificações em arquivos:

# Installation
sudo apt install aide

# Initialiser la base de données
sudo aideinit

# Vérifier les modifications
sudo aide --check

Hardening do sistema

Desativação de serviços desnecessários

# Lister les services actifs
systemctl list-units --type=service --state=active

# Désactiver un service
sudo systemctl disable service_inutile
sudo systemctl stop service_inutile

Proteção do bootloader

# Définir un mot de passe GRUB
sudo grub-mkpasswd-pbkdf2
sudo nano /etc/grub.d/40_custom

# Ajouter les lignes suivantes
# set superusers="admin"
# password_pbkdf2 admin <mot_de_passe_généré>

# Mettre à jour GRUB
sudo update-grub

Criptografia de dados

# Chiffrer le répertoire personnel
sudo apt install ecryptfs-utils
sudo ecryptfs-migrate-home -u utilisateur

# Chiffrer une partition complète (lors de l'installation)
# Utiliser LUKS via l'installateur de votre distribution

Monitoramento e registro de logs

Configuração do registro de logs

# Vérifier les journaux système
sudo journalctl -xe

# Surveiller les tentatives de connexion
sudo tail -f /var/log/auth.log

# Configurer la rotation des journaux
sudo nano /etc/logrotate.conf

Ferramentas de monitoramento

# Installer des outils de surveillance
sudo apt install logwatch
sudo apt install auditd

# Configurer des rapports quotidiens
sudo nano /etc/cron.daily/00logwatch

Auditorias de segurança

Lynis - Ferramenta de auditoria de segurança

# Installation
sudo apt install lynis

# Exécuter un audit complet
sudo lynis audit system

# Générer un rapport
sudo lynis audit system --report-file /tmp/lynis-report.dat

OpenVAS - Scanner de vulnerabilidades

# Installation (peut varier selon la distribution)
sudo apt install openvas

# Configuration initiale
sudo openvas-setup

# Accéder à l'interface web
# https://localhost:9392

Boas práticas adicionais

Backup seguro

# Utiliser rsync avec SSH
rsync -avz -e ssh /chemin/source utilisateur@serveur:/chemin/destination

# Automatiser avec cron
# 0 2 * * * rsync -avz -e ssh /chemin/source utilisateur@serveur:/chemin/destination

Isolamento com AppArmor ou SELinux

# AppArmor (Ubuntu/Debian)
sudo apt install apparmor apparmor-utils
sudo aa-enforce /etc/apparmor.d/*

# SELinux (Fedora/RHEL)
sudo dnf install selinux-policy-targeted
sudo setenforce 1

Conclusão

A segurança no Linux é um processo contínuo que exige vigilância e atualizações regulares. Ao aplicar as medidas descritas neste guia, você estabelecerá uma base sólida para proteger seu sistema contra a maioria das ameaças comuns.

Lembre-se de que a segurança perfeita não existe, mas uma abordagem em profundidade, com várias camadas de proteção, reduz consideravelmente os riscos. Mantenha-se informado sobre as vulnerabilidades mais recentes e adapte sua estratégia de segurança de acordo.