Bastionamento de Sistemas Linux e Windows (CIS Benchmarks)

Hardening (Bastionamento) é o processo contínuo de engenharia de segurança dedicado a eliminar vulnerabilidades potenciais em um sistema operacional ou aplicação através da desativação sistemática de funções, portas, protocolos, contas e privilégios não essenciais à sua finalidade operacional estrita.

O Center for Internet Security (CIS) e os Dois Níveis de Conformidade

O Center for Internet Security (CIS) é a autoridade global mais respeitada na definição de guias prescritivos de endurecimento de configurações (os CIS Benchmarks). Desenvolvidos por consenso comunitário entre governos, desenvolvedores e especialistas em segurança cibernética, os benchmarks dividem suas recomendações em dois níveis fundamentais:

O ecossistema Linux é a espinha dorsal de servidores corporativos e ambientes de nuvem. O bastionamento de um servidor Linux corporativo engloba quatro camadas principais de proteção:

1. Bastionamento do Serviço SSH (`/etc/ssh/sshd_config`)

O Secure Shell (SSH) é a principal porta de entrada administrativa em servidores Linux e o alvo mais visado por botnets e ataques de força bruta. A configuração recomendada pelos CIS Benchmarks inclui:

# 1. Proibição categórica de login direto do superusuário root
PermitRootLogin no

# 2. Desativação de autenticação baseada em senha (obriga chaves assimétricas ed25519/RSA-4096)
PasswordAuthentication no
PermitEmptyPasswords no

# 3. Limite de tentativas de autenticação antes de desconectar
MaxAuthTries 3

# 4. Desativação de encaminhamentos desnecessários e superfície gráfica
X11Forwarding no
AllowTcpForwarding no
AllowAgentForwarding no

# 5. Restrição explícita de quais usuários ou grupos podem conectar
AllowGroups ssh-users-admin

# 6. Cifras e algoritmos modernos recomendados (rejeição de 3DES, CBC e SHA-1)
KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group16-sha512
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com
MACs hmac-sha2-512-etm@openssh.com

2. Parâmetros de Segurança do Kernel (`/etc/sysctl.conf`)

O subsistema de rede e memória do kernel Linux possui parâmetros configuráveis via sysctl que aumentam a resiliência contra ataques de rede em Camada 3/4 e exploração de memória:

# Prevenção contra spoofing de roteamento e pacotes forjados
net.ipv4.ip_forward = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0

# Proteção ativa contra ataques de negação de serviço TCP SYN Flood
net.ipv4.tcp_syncookies = 1

# Habilitação forçada de ASLR Completo (Address Space Layout Randomization)
# 0 = Desativado | 1 = Conservador | 2 = Aleatorização Completa de Heap, Stack e Bibliotecas
kernel.randomize_va_space = 2

# Restrição de mensagens de diagnóstico do dmesg para usuários sem privilégios de root
kernel.dmesg_restrict = 1

# Prevenção contra ataques de escalação de privilégios com links simbólicos e hardlinks
fs.protected_hardlinks = 1
fs.protected_symlinks = 1

3. Permissões de Arquivos, umask e Binários SUID/SGID

• Máscara Padrão de Arquivos (umask): A máscara padrão corporativa deve ser configurada em 027 (ou 077 para ambientes ultrassensíveis). Isso garante que novos arquivos sejam criados sem permissão de leitura ou escrita para "outros" usuários do sistema (permissão padrão 640 ou 600).
• Auditoria de Binários SUID/SGID: Binários com o bit SUID (como /usr/bin/passwd) executam com os privilégios do proprietário do arquivo (tipicamente root), independentemente de quem os invocou. Binários SUID desnecessários com falhas conhecidas de buffer overflow ou injeção de parâmetros são a principal porta de entrada para Escalação Local de Privilégios (Privilege Escalation - T1548).
  Comando de varredura: find / -perm -4000 -type f 2>/dev/null.
• Proteção de Arquivos de Autenticação: /etc/shadow deve possuir permissão estrita 0600 pertencendo a root:root (ou 0640 root:shadow), impedindo leitura de hashes de senha por usuários locais.

4. Módulos de Segurança de Controle de Acesso Mandatório (MAC)

Diferente das permissões tradicionais DAC (onde o dono do arquivo decide quem tem acesso), os módulos MAC do kernel restringem as ações de um processo com base em políticas rígidas, mesmo que o processo esteja rodando como root:

• SELinux (Security-Enhanced Linux): Utilizado em distribuições Red Hat, CentOS, Fedora e Rocky Linux. Associa rótulos de contexto de segurança a processos e arquivos (tipo httpd_t). Deve estar sempre configurado em modo Enforcing (nunca em modo Permissive ou Disabled).
• AppArmor: Utilizado em Debian, Ubuntu e SUSE. Baseado em caminhos de arquivos e perfis específicos para cada binário (armazenados em /etc/apparmor.d/). Os perfis devem estar em modo enforce.

Em ambientes corporativos baseados em Microsoft Windows Server e domínios de Active Directory (AD), o hardening é aplicado centralizadamente através de Objetos de Política de Grupo (GPO - Group Policy Objects). Os seguintes pilares representam o núcleo dos CIS Benchmarks para ecossistemas Windows:

Executar comandos manuais em centenas de servidores em produção é inviável e sujeito a erros humanos graves. A indústria de segurança utiliza frameworks de Compliance-as-Code (Conformidade como Código):

• Playbooks Ansible para CIS Benchmarks: Automação declarativa que audita e aplica regras do CIS Nível 1 e 2 de forma idempotente (revertendo qualquer alteração não autorizada detectada).
• OpenSCAP (Security Content Automation Protocol): Ferramenta de código aberto padronizada pelo NIST que executa varreduras automatizadas nos servidores contra os perfis CIS oficiais e gera relatórios HTML interativos com a taxa de conformidade.
• Auditorias Específicas com Lynis: Ferramenta de auditoria de segurança em Linux e Unix que analisa mais de 300 pontos de configuração e gera um índice de endurecimento (Hardening Index de 0 a 100).

Avalie na prática o nível de segurança e conformidade de arquivos reais de configuração corporativos. Neste laboratório desenvolvido em Vanilla JavaScript, você pode carregar snippets de configuração comumente encontrados em servidores vulneráveis, disparar uma auditoria de conformidade com os CIS Benchmarks, analisar os achados técnicos de segurança e aplicar correções automáticas de bastionamento com um único clique.

Utilize este checklist técnico durante implantações de servidores em produção, homologação de novas imagens douradas (Golden Images) ou revisões de auditoria para assegurar que diretrizes fundamentais de bastionamento foram observadas:

Consolide seu conhecimento respondendo a questões baseadas em provas de concursos públicos de alto escalão (Tribunais, Carreiras Policiais de Perícia em Computação Forense) e certificações de segurança (CompTIA Linux+, Red Hat RHCSA Security, Microsoft SC-200):