Segurança Linux Avançada: Guia Completo para Proteger Seu Sistema

A segurança é um aspecto crucial da administração Linux. Neste guia completo, vamos explorar as técnicas avançadas de proteção para blindar sua infraestrutura Linux.

1. Configuração do Firewall

Configuração do UFW (Uncomplicated Firewall)

# Ativação do firewall
sudo ufw enable

# Configuração das regras básicas
sudo ufw default deny incoming
sudo ufw default allow outgoing

# Permitir serviços específicos
sudo ufw allow ssh
sudo ufw allow http
sudo ufw allow https

# Verificação das regras
sudo ufw status verbose

Configuração do iptables

# Backup das regras atuais
sudo iptables-save > /etc/iptables.rules

# Regras básicas
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

# Permitir tráfego local
sudo iptables -A INPUT -i lo -j ACCEPT

# Permitir conexões estabelecidas
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

2. Proteção do SSH

Configuração do sshd

# Edição do arquivo de configuração
sudo nano /etc/ssh/sshd_config

# Configuração recomendada
PermitRootLogin no
PasswordAuthentication no
X11Forwarding no
MaxAuthTries 3
LoginGraceTime 60
AllowUsers utilisateur1 utilisateur2

Chaves SSH

# Geração de chave
ssh-keygen -t ed25519 -C "votre@email.com"

# Cópia da chave pública
ssh-copy-id utilisateur@serveur

# Configuração do cliente
nano ~/.ssh/config

# Conteúdo recomendado
Host serveur
    HostName serveur.com
    User utilisateur
    IdentityFile ~/.ssh/id_ed25519
    ServerAliveInterval 60

3. Gerenciamento de Usuários e Permissões

Política de senhas

# Instalação do PAM
sudo apt install libpam-pwquality

# Configuração
sudo nano /etc/security/pwquality.conf

# Parâmetros recomendados
minlen = 12
dcredit = -1
ucredit = -1
ocredit = -1
lcredit = -1

Auditoria de permissões

# Busca de arquivos SUID
find / -type f -perm -4000 -ls

# Busca de arquivos SGID
find / -type f -perm -2000 -ls

# Verificação das permissões
ls -la /etc/passwd /etc/shadow

4. Monitoramento e Detecção de Intrusão

Instalação do Fail2ban

# Instalação
sudo apt install fail2ban

# Configuração
sudo nano /etc/fail2ban/jail.local

# Configuração recomendada
[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 3

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log

Configuração do Logwatch

# Instalação
sudo apt install logwatch

# Configuração
sudo nano /etc/logwatch/conf/logwatch.conf

# Parâmetros recomendados
Output = mail
Format = html
MailTo = admin@example.com

5. Proteção dos Serviços

Configuração do SELinux

# Instalação
sudo apt install selinux-basics selinux-policy-default

# Ativação
sudo selinux-activate

# Configuração do modo
sudo nano /etc/selinux/config

# Modo recomendado
SELINUX=enforcing
SELINUXTYPE=default

AppArmor

# Instalação
sudo apt install apparmor apparmor-utils

# Ativação
sudo systemctl enable apparmor
sudo systemctl start apparmor

# Configuração dos perfis
sudo aa-status

6. Proteção do Sistema de Arquivos

Montagem segura

# Edição do arquivo fstab
sudo nano /etc/fstab

# Opções recomendadas
/dev/sda1 / ext4 defaults,noexec,nodev,nosuid 0 1
/dev/sda2 /home ext4 defaults,nodev,nosuid 0 2

Configuração de cotas

# Instalação
sudo apt install quota

# Configuração
sudo quotacheck -cugm /
sudo quotaon -v /

# Edição das cotas
sudo edquota -u utilisateur

7. Backup e Recuperação

Configuração do backup

# Script de backup
#!/bin/bash
BACKUP_DIR="/backup"
DATE=$(date +%Y%m%d)
tar -czf $BACKUP_DIR/backup_$DATE.tar.gz /etc /home /var/www

Agendamento dos backups

# Edição do crontab
sudo crontab -e

# Tarefa diária
0 2 * * * /usr/local/bin/backup.sh

8. Auditoria de Segurança

Ferramentas de auditoria

# Instalação do Lynis
sudo apt install lynis

# Execução da auditoria
sudo lynis audit system

# Instalação do rkhunter
sudo apt install rkhunter

# Configuração e varredura
sudo rkhunter --update
sudo rkhunter --check

Monitoramento dos logs

# Instalação do logwatch
sudo apt install logwatch

# Configuração
sudo nano /etc/logwatch/conf/logwatch.conf

# Agendamento dos relatórios
sudo crontab -e
0 7 * * * /usr/sbin/logwatch --mailto admin@example.com --output mail --format html

9. Proteção da Rede

Configuração do TCP Wrappers

# Edição dos arquivos de configuração
sudo nano /etc/hosts.allow
sudo nano /etc/hosts.deny

# Regras recomendadas
# /etc/hosts.deny
ALL: ALL

# /etc/hosts.allow
sshd: 192.168.1.0/24

Configuração do SSL/TLS

# Instalação do Certbot
sudo apt install certbot python3-certbot-nginx

# Obtenção do certificado
sudo certbot --nginx -d example.com

Conclusão

A segurança Linux é um processo contínuo que exige:

• Monitoramento constante
• Atualizações regulares
• Uma configuração adequada
• Uma documentação detalhada

Lembre-se de que a segurança é uma abordagem em camadas. Combine essas técnicas para criar uma defesa robusta contra as ameaças.