Objetivos de Aprendizagem

• Entender o que é hardening de sistemas e por que é essencial para atender normas como ISO 27001/27002.
• Aplicar práticas de endurecimento em SSH: alterar porta, bloquear root, proteger contra força bruta e usar port knocking.
• Configurar logout automático de terminais inativos via variável TMOUT.
• Conhecer e usar ferramentas de hardening (SELinux, AppArmor, Bastille, OpenSCAP, Lynis, etc.).
• Descobrir recursos para hardening de Windows e continuidade de estudos.

1. Hardening de Sistemas: Conceito e Importância

Hardening reduz a superfície de ataque, essencial para conformidade com LGPD, PNSI e ISO 27001/27002.

• Remoção de serviços desnecessários;
• Aplicação de patches e updates;
• Configuração de controles de acesso (princípio do privilégio mínimo);
• Ocultação de versões e banners;
• Monitoramento contínuo.

Visa proteger o “elo mais fraco” — o usuário ou configurações padrão inseguras — e garantir conformidade com ISO 27001/27002.

• Wazuh: Monitora logs (ex.: wazuh-control start). wazuh.com
• ClamAV: Detecta malware (ex.: clamscan -r /etc --bell -i). clamav.net

2. Hardening de SSH

SSH seguro protege acessos remotos, essencial para LGPD e PNSI.

2.1 Alterar porta padrão

# /etc/ssh/sshd_config
Port 5849
# comente ou remova a linha 'Port 22'
  

sudo systemctl restart sshd

2.2 Bloquear acesso root

# /etc/ssh/sshd_config
PermitRootLogin no
  

Isso impede logins diretos como root, forçando uso de contas menos privilegiadas + sudo.

sudo systemctl restart sshd

2.3 Proteção contra força bruta com fail2ban

O Fail2ban monitora logs de serviços e bane automaticamente IPs que apresentam comportamento malicioso, como múltiplas tentativas de login com falha.

Instale e configure /etc/fail2ban/jail.local:

# /etc/fail2ban/jail.local
[sshd]
enabled   = true
port      = 5849
filter    = sshd
logpath   = /var/log/auth.log
maxretry  = 5
bantime   = 3600
ignoreip  = 192.168.0.0/24
  

sudo systemctl restart fail2ban
sudo fail2ban-client status sshd

# SSHGuard alternativo
sshguard -l /var/log/auth.log
  

2.4 Port Knocking

# /etc/knockd.conf
[options]
    logfile = /var/log/knockd.log

[openSSH]
    sequence    = 7000,8000,9000
    seq_timeout = 5
    command     = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT

[closeSSH]
    sequence    = 9000,8000,7000
    command     = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
  

knock 192.168.0.155 7000:tcp 8000:tcp 9000:tcp

3. Segurança no Terminal

# /etc/profile ou /etc/bash.bashrc
TMOUT=180
readonly TMOUT
export TMOUT

# Tmux
tmux set -g lock-after-time 180
# Screen
screen -L -Logfile /var/log/screen.log
  

Fechará a sessão após 180 segundos de inatividade.

Ferramentas

• Tmux: tmux set -g lock-after-time 180. tmux.github.io
• Screen: screen -L. gnu.org/software/screen

4. Ferramentas Essenciais de Hardening

• Nmap Ferramenta para descoberta de rede e auditoria de segurança.

  nmap -sC -sV -p- 192.168.0.0/24

  — Escaneia todas as portas com scripts padrões e identifica serviços.
• SELinux Módulo de segurança para o kernel Linux que implementa políticas de controle de acesso obrigatório (MAC). semanage port -a -t ssh_port_t -p tcp 5849

  
  getenforce
  setenforce 1
  semanage port -a -t ssh_port_t -p tcp 5849
        

• AppArmor

  
  aa-status   # mostra perfis carregados
  aa-complain /usr/sbin/sshd
        

• Bastille Linux

  Assistente interativo para hardening.

• OpenSCAP

  
  oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_standard \
    /usr/share/xml/scap/ssg/content/ssg-centos7-ds.xml
        

• Lynis

  lynis audit system --pentest

  — Auditoria de segurança que sugere melhorias cisofy.com/lynis.
• Rkhunter: rkhunter --check --report-warnings-only. rkhunter.sourceforge.net
• Wireshark / tshark

  tshark -i eth0 -w captura.pcap

  — Captura e análise de tráfego.
• Metasploit

  msfconsole

  — Framework de exploração para testar defesas.
• Burp Suite

  Proxy para testes de segurança web.

• John the Ripper

  john --wordlist=/usr/share/wordlists/rockyou.txt hashes.txt

  — Teste de força bruta em hashes de senhas.
• Grsecurity: Configurar via make menuconfig. grsecurity.net

5. Hardening em Windows

• Desabilitar SMBv1 via PowerShell:

  Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

• Política de senha e bloqueio de contas via `secedit` ou GPO.
• BitLocker em discos de sistema:

  Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256

• Hardening de RDP: limitar usuários, usar TLS 1.2+, configurar NLA.
• Sysinternals: autorunsc -a * -c > autoruns.csv. docs.microsoft.com/sysinternals
• MBSA: mbsacli /target 127.0.0.1 /nvc. microsoft.com/mbsa

Minicurso de referência: Hardening Windows – Prof. Peter Lopes

6. Hardening Avançado e Ferramentas Complementares

6.1 Kernel Hardening via sysctl

# /etc/sysctl.d/99-hardening.conf
net.ipv4.ip_forward = 0
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
fs.suid_dumpable = 0
  

sudo sysctl --system

6.2 HIDS – auditd & AIDE

# auditd para monitorar sshd_config
sudo apt install auditd
sudo auditctl -w /etc/ssh/sshd_config -p wa -k ssh_cfg_changes

# AIDE para verificar integridade
sudo apt install aide
sudo aideinit
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
sudo aide --check

# Tripwire
tripwire --init; tripwire --check

# OSSEC
ossec-control start
  

6.3 OSQuery

# Exemplo de consulta SQL
osqueryi "SELECT name, path FROM kernel_modules WHERE path LIKE '%ssh%';"
  

6.4 Firewall com nftables

sudo apt install nftables
cat <

# Nftables
nft add rule inet filter input tcp dport 5849 limit rate 5/second accept
# UFW
sudo ufw allow 58472/tcp comment 'SSH custom port'
sudo ufw enable
  

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 5849/tcp comment 'SSH custom port'
sudo ufw enable