--- title: "Cibersegurança: 5 dicas fáceis para proteger o teu servidor contra hackers" date: 2018-03-10 language: pt topics: ["SSH", "cloud", "cyber-security", "data", "hacking", "howto", "linux", "networking", "programming", "server", "web", "work"] source_url: https://willem.com/pt/2018-03-10_ciberseguranca-5-dicas-faceis-para-proteger-o-teu-servidor-contra-hackers/ --- # Cibersegurança: 5 dicas fáceis para proteger o teu servidor contra hackers *Boas práticas de reforço da segurança de servidores para Windows e Linux* > Esta semana um dos meus clientes foi vítima de um ataque informático e pediu-me ajuda de emergência para proteger a infraestrutura dos seus servidores. Era um servidor web com sites WordPress em Apache (com PHP/MySQL), incluindo algumas lojas online com dados de clientes. Este ataque podia ter sido facilmente evitado com as boas práticas seguintes. O //teu// servidor está seguro? ![O centro de dados é onde vive o teu servidor. Mesmo que seja fisicamente seguro, deves verificar também o software!](https://willem.com/global/images/4a3f2a7449c7.webp) ## 1) Instala menos software A cibersegurança já é difícil que chegue, por isso facilita a tua vida ao instalar menos software. Menos programas, serviços e plugins significam menos coisas com que te preocupar. Na terminologia da cibersegurança, isto chama-se reduzir o vetor de ataque. ### Reduz o teu vetor de ataque: - **começando com um sistema base mínimo**: não comeces com um sistema operativo completo e inchado, começa com o mínimo possível e vai registando o que acrescentas - **instala só o que for mesmo indispensável**: instala as ferramentas, os plugins, as extensões e os programas de que realmente - mesmo - precisas. Sê firme e determinado: menos é mais! - **verifica as dependências do que instalas**: se instalares seja o que for, confirma as dependências; o software muitas vezes exige outro software (que não queres necessariamente) ## 2) Fecha todas as portas de rede e filtra as que não podes bloquear As firewalls servem para filtrar o tráfego de rede e vêm de série na maioria dos sistemas operativos. Limita as aberturas que os hackers têm para o teu servidor. ### A configuração da firewall deve: - **adotar uma política de bloqueio por defeito:** a maioria dos sistemas operativos permite tudo por defeito. Inverte isto e bloqueia tudo, exceto o tráfego que esperas e de que precisas. - **verificar a entrada e a saída:** filtra o tráfego de rede que entra e que sai. Assim fica muito mais difícil para os hackers entrarem (e saírem, no caso infeliz de um ataque bem-sucedido). - **filtrar as portas abertas:** protege as portas de rede abertas filtrando o tráfego pela origem (endereço IP) e/ou pelo estado, e só permite tráfego vindo de onde esperas que venha. ## 3) Esconde toda a informação de versão O software que o teu servidor executa tem versões, muitas vezes um número que indica a data exata em que foi compilado. Os hackers podem usar esta informação de versão para procurar problemas de segurança, vulnerabilidades e fraquezas conhecidos. ### Deixa de ajudar os hackers e remove a informação de versão de: - **servidores web:** Apache, NGINX, Microsoft Internet Information Services, etc. Verifica o teu servidor analisando os cabeçalhos HTTP. - **servidores de e-mail:** Postfix, Exim, Dovecot, Sendmail, etc. Estes servidores comunicam muitas vezes a versão num “banner de boas-vindas”, mostrado logo após estabelecer a ligação por SMTP, IMAP ou POP3. - **linguagens web:** PHP, .NET, Java, etc. Por vezes estas frameworks e linguagens de scripting acrescentam o seu próprio cabeçalho HTTP (“x-powered-by”) com a informação de versão. - **WordPress:** plugins, temas, formulários, galerias, lojas online, etc. A informação de versão aparece muitas vezes no HTML gerado ou nos nomes de ficheiros de CSS, JavaScript e imagens. - **servidores de ficheiros:** FTP, SFTP, WebDAV, etc. Estes servidores comunicam a informação de versão na saudação, mostrada logo ao ligar, muitas vezes antes da autenticação - **SSH:** sabias que o OpenSSH comunica por defeito a informação da versão do sistema operativo? ## 4) Usa autenticação por certificado/chave em vez de palavras-passe Se os inícios de sessão com palavra-passe forem permitidos, os hackers podem tentar aceder ao servidor repetidamente. Com a capacidade de cálculo moderna é fácil automatizar esta adivinhação, experimentando combinação atrás de combinação até acertar na palavra-passe (força bruta). ### Protege a autenticação: - **usa autenticação por chave SSH:** uma chave SSH é muito mais longa do que uma palavra-passe normal e contém caracteres diferentes das letras e dos números legíveis comuns. Isto dá mais combinações possíveis, tornando exponencialmente mais difícil para os hackers encontrarem a chave certa. - **limita a taxa de autenticação**: torna artificialmente mais lenta a verificação da palavra-passe / chave, reduzindo a velocidade da adivinhação automática - **bloqueia a adivinhação automática:** exclui os endereços IP que falharam o início de sessão. ## 5) Verifica e atualiza com regularidade Hoje em dia a maioria dos ataques é automatizada, os bots andam constantemente a analisar todos os servidores e sites à procura de oportunidades de exploração. A questão não é *SE* te vão encontrar, mas *QUANDO*. ### Cuida do teu servidor: - **consultando os registos: ** os problemas potenciais tornam-se muitas vezes visíveis antes de acontecer algo realmente grave. Verifica nos registos do servidor se há erros e anomalias; muitas vezes são sinais precoces de problemas. - **procurando atualizações: ** quer pelo próprio software do servidor, quer no site do fabricante / do software. - **atualizando com regularidade: ** não esperes até ser tarde demais, instala as atualizações o mais depressa possível (mas *depois* de as testares!) ![Verifica o teu servidor com regularidade, ou arranja alguém que o faça por ti.](https://willem.com/global/images/82d99c9ffa6b.webp) ## Conclusão Se puseres estas medidas em prática, podes melhorar muito a cibersegurança do teu servidor. Proteger o servidor significa mais segurança para o teu negócio, para a tua organização e para os dados dos teus clientes. Nenhum consultor de segurança (com juízo) te vai oferecer garantias: com recursos e determinação suficientes, os ataques serão sempre possíveis. Prepara-te: faz cópias de segurança e cifra os teus dados. Espero que estas dicas te ajudem. Se precisares de mais ajuda, podes encontrar aqui os meus contactos (https://willem.com) ou conhecer os meus serviços_de_cibersegurança (http://digidef.nl).