A segurança de uma infraestrutura de virtualização moderna não é um luxo, mas uma necessidade crítica. O hypervisor atua como a camada fundamental que abstrai o hardware físico e gerencia as máquinas virtuais (VMs). Qualquer brecha nesse nível pode comprometer não apenas uma única aplicação, mas todo o ambiente corporativo. Neste tutorial, abordaremos o hardening do Sangfor AHV (Application Hypervisor), a solução de virtualização baseada em KVM oferecida pelo ecossistema Sangfor HCI (Hyper-Converged Infrastructure). O objetivo é reduzir a superfície de ataque e garantir que sua infraestrutura esteja alinhada às melhores práticas de segurança, como as definidas pelo CIS Benchmarks.
1. Preparação do Ambiente e Acesso Inicial
Antes de aplicar qualquer configuração de segurança, é essencial garantir que você possui acesso administrativo adequado e um plano de contingência. O hardening envolve a restrição de privilégios e a desativação de serviços desnecessários, o que pode impedir o acesso remoto se uma configuração for aplicada incorretamente.
Certifique-se de ter acesso físico ou console serial ao cluster AHV em caso de falha na rede. Verifique também se há backups recentes das configurações do cluster e das VMs críticas. A primeira ação consiste em atualizar o software para a versão mais estável disponível, pois as releases posteriores geralmente incluem correções de segurança (patches) para vulnerabilidades conhecidas.
Conecte-se ao hypervisor Sangfor AHV através do console local ou via SSH utilizando uma conta com privilégios de root. Evite utilizar contas padrão como admin se houver possibilidade de personalização, preferindo contas específicas com Least Privilege (menor privilégio possível) para tarefas administrativas.
2. Fortalecimento do Acesso SSH e Autenticação
O serviço SSH é frequentemente o vetor inicial de ataques de força bruta. O AHV, sendo baseado em Linux, herda a configuração padrão do OpenSSH, que muitas vezes permite login por senha ou como root. Vamos restringir isso.
Desabilitar Login Direto como Root
O login direto como usuário root via SSH é uma prática de segurança crítica para auditoria e rastreamento. Modifique o arquivo de configuração do SSH:
vi /etc/ssh/sshd_configLocalize a linha PermitRootLogin e altere seu valor para no:
PermitRootLogin noForçar Uso de Chaves SSH
Desative a autenticação por senha, exigindo o uso de chaves criptográficas (RSA ou Ed25519). Isso protege contra ataques de dicionário e força bruta:
PasswordAuthentication no
ChallengeResponseAuthentication noApós as alterações, reinicie o serviço SSH para aplicar as mudanças:
systemctl restart sshdVerifique a conectividade com sua chave pública antes de fechar a sessão atual.
3. Gerenciamento de Usuários e Grupos de Segurança
O AHV utiliza grupos Linux para gerenciar permissões. É fundamental garantir que apenas usuários autorizados pertençam aos grupos administrativos, como sangfor ou wheel, dependendo da versão do software.
Liste os usuários ativos no sistema:
cat /etc/passwd | grep -v nologinRemova contas de usuário obsoletas ou de ex-funcionários. Para cada usuário ativo, assegure-se de que eles utilizem senhas fortes. Você pode forçar políticas de senha alterando o arquivo /etc/login.defs:
PASS_MIN_LEN 12
PASS_MAX_DAYS 90Além disso, configure o bloqueio automático de contas após múltiplas tentativas falhas de login. Utilize o módulo PAM (Pluggable Authentication Modules) para limitar tentativas:
auth required pam_tally2.so deny=5 unlock_time=900Isso bloqueia o usuário por 15 minutos após cinco tentativas falhas, mitigando ataques automatizados.
4. Proteção do Hypervisor contra Acesso Não Autorizado
O AHV possui um firewall integrado e regras de controle de acesso que devem ser ajustadas para permitir apenas o tráfego necessário.
Configuração do Firewall (iptables/nftables)
Verifique as regras atuais de firewall. Em ambientes Sangfor, é comum que o sistema gerencie suas próprias regras, mas é vital auditar o tráfego de entrada:
iptables -L -n -vGaranta que a porta SSH (22) esteja aberta apenas para os IPs das estações de administração (Jump Hosts). Se possível, mova o serviço SSH para uma porta não padrão (por exemplo, 2222) para reduzir ruído nos logs:
Port 2222Reinicie o serviço SSH após alterar a porta.
Desabilitar Serviços Desnecessários
Enumere todos os serviços ativos no sistema:
systemctl list-units --type=service --state=runningDesative serviços que não são essenciais para o funcionamento do hypervisor, como bluetooth.service, cups.service (impressão), ou servidores web locais (httpd/nginx), a menos que haja uma justificativa técnica clara. A regra de ouro é: se você não usa, desative.
systemctl disable bluetooth
systemctl stop bluetooth5. Hardening do Kernel e Sysctl
O kernel Linux possui parâmetros que podem ser ajustados para aumentar a segurança do sistema operacional subjacente ao hypervisor. Crie ou edite o arquivo /etc/sysctl.d/99-hardening.conf.
Adicione as seguintes diretrizes para proteger contra ataques de spoofing IP, redirecionamento de roteamento e execução de código:
# Desabilitar encaminhamento de pacotes (se o host não for roteador)
net.ipv4.ip_forward = 0
# Ativar verificação de origem dos pacotes (Anti-Spoofing)
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
# Ignorar pacotes ICMP de redirecionamento
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
# Ignorar pacotes ICMP de source quench
net.ipv4.icmp_echo_ignore_broadcasts = 1
# Proteger contra ataques SYN Flood
net.ipv4.tcp_syncookies = 1
# Desabilitar execução de binários no /tmp e /var/tmp
fs.protected_regular = 2
fs.suid_dumpable = 0Carregue as novas configurações executando:
sysctl -p /etc/sysctl.d/99-hardening.confEssas configurações dificultam significativamente a exploração de vulnerabilidades de rede e a escalada de privilégios via arquivos temporários.
6. Auditoria de Logs e Monitoramento Centralizado
A detecção de intrusão depende da análise de logs. O AHV gera logs em /var/log/messages e /var/log/secure. Para uma infraestrutura robusta, esses logs devem ser enviados para um servidor SIEM (Security Information and Event Management) centralizado.
Configuração do Rsyslog
Edite o arquivo /etc/rsyslog.conf ou crie um arquivo de configuração em /etc/rsyslog.d/remote.conf:
*.* @@IP_DO_SEU_SIEM:514O símbolo @@ indica envio via TCP, garantindo a entrega dos logs mesmo sob alta carga. Reinicie o serviço rsyslog:
systemctl restart rsyslogAuditoria de Integridade de Arquivos (AIDE)
Instale e configure o AIDE (Advanced Intrusion Detection Environment) para detectar alterações não autorizadas em arquivos críticos do sistema:
yum install aide
aide --initMova o banco de dados inicializado para a localização correta e agende uma verificação diária via cron. Isso alertará administradores sobre modificações em binários do sistema ou arquivos de configuração essenciais.
7. Segurança Específica da Interface de Gestão (Portal)
A interface web de gerenciamento do Sangfor HCI (SFCloud ou console local) é o ponto principal de interação administrativa. Além das práticas gerais de segurança:
- Uso de HTTPS Exclusivo: Certifique-se de que o acesso via HTTP não redireciona para HTTPS sem verificações de certificado, ou melhor, bloqueie HTTP completamente se possível.
- Troca de Certificado SSL/TLS: Substitua os certificados auto-assinados padrão por certificados emitidos por uma Autoridade Certificadora (CA) interna ou pública confiável. Isso evita avisos de segurança nos navegadores dos administradores e garante a autenticidade do servidor.
- Autenticação Multifator (MFA): Se a versão do software suportar, integre o sistema de login com diretórios ativos (LDAP/AD) e ative a MFA. Isso adiciona uma camada extra de proteção contra roubo de credenciais.
- Timeout de Sessão: Configure o portal para encerrar sessões inativas após um período curto (ex: 15 minutos), forçando o relogin.
8. Manutenção Contínua e Backup de Configuração
O hardening não é um evento único, mas um processo contínuo. Após aplicar todas as configurações acima, realize um backup completo da configuração do hypervisor.
# Comando genérico de backup (verifique a documentação específica da versão)
sf-backup --fullArmazene esse backup em um repositório seguro e offline. Estabeleça um calendário mensal para:
- Verificar atualizações de segurança do Sangfor AHV.
- Auditar logs de acesso root e sudo.
- Testar a restauração do backup em ambiente isolado.
- Revisar as regras de firewall e permissões de usuário.
Conclusão
A implementação destas etapas de hardening no Sangfor AHV transforma sua infraestrutura de virtualização de um alvo passivo em um ambiente resiliente. Ao combinar o controle rigoroso de acesso, a configuração segura do kernel e o monitoramento proativo de logs, você protege não apenas os dados das máquinas virtuais, mas também a integridade da camada física que as sustenta.
Lembre-se: cada organização tem requisitos específicos de compliance. Utilize este guia como base técnica, mas adapte as políticas de senha, retenção de logs e controle de acesso às normas internas da sua empresa e aos regulamentos aplicáveis (como LGPD no Brasil). A segurança é uma responsabilidade compartilhada entre a ferramenta e o administrador que a opera.