Monitoramento de Invasão em Tempo Real: Hardening de VPS Linux

Introdução ao Monitoramento de Invasão e Hardening de VPS

A segurança de um servidor Linux não é um produto que se compra, mas um processo contínuo de monitoramento, detecção e resposta. Para administradores de sistemas (sysadmins), desenvolvedores e profissionais de TI que gerenciam infraestrutura em nuvem ou VPS, a capacidade de identificar atividades maliciosas em tempo real é crítica. O monitoramento de invasão vai além da simples instalação de um firewall; envolve a criação de camadas defensivas que detectam tentativas de login, escaneamento de portas e exploração de vulnerabilidades antes que se tornem comprometimentos totais do sistema.

Neste tutorial técnico, vamos construir uma arquitetura de defesa em profundidade. Utilizaremos ferramentas padrão da indústria, como UFW (Uncomplicated Firewall), Fail2ban, CrowdSec e auditd, combinadas com práticas robustas de acesso via SSH. O objetivo é reduzir drasticamente a superfície de ataque e garantir que qualquer anomalia seja registrada, analisada e mitigada automaticamente ou através de alertas.

Etapa 1: Restrição de Acesso SSH com Chaves Criptográficas

O protocolo SSH é frequentemente o primeiro vetor de ataque explorado por bots automatizados. A prática mais fundamental para blindar seu servidor contra ataques de força bruta (brute-force) é desativar a autenticação por senha e utilizar exclusivamente chaves SSH (SSH keys). Chaves públicas/privadas são matematicamente muito mais difíceis de quebrar do que senhas complexas.

Gere um par de chaves na sua máquina local se ainda não o fez, usando Ed25519 para melhor desempenho e segurança:

ssh-keygen -t ed25519 -C "[email protected]"

Copie a chave pública para o servidor remoto:

ssh-copy-id usuario@seu-servidor-ip

Após confirmar que você consegue acessar o servidor com sucesso usando a nova chave, edite o arquivo de configuração do SSH para desabilitar senhas e o login como root:

sudo nano /etc/ssh/sshd_config

Altere as seguintes linhas para garantir a segurança:

• PermitRootLogin no: Impede que qualquer pessoa tente logar diretamente como root.
• PasswordAuthentication no: Desabilita senhas, exigindo chaves.
• PubkeyAuthentication yes: Garante que a autenticação por chave pública esteja habilitada.

Reinicie o serviço para aplicar as mudanças:

sudo systemctl restart sshd

Etapa 2: Configuração do Firewall com UFW

O UFW é uma interface amigável para o iptables, amplamente utilizada em distribuições Debian e Ubuntu. A configuração correta do firewall é a primeira linha de defesa, definindo quais portas são visíveis para a internet.

Primeiro, instale e habilite o UFW:

sudo apt install ufw
sudo ufw enable

Por padrão, o UFW bloqueia todas as conexões de entrada. Você deve liberar apenas o necessário. Para permitir SSH (importante fazer antes de ativar o firewall se estiver conectado remotamente via SSH para não ser bloqueado), HTTP e HTTPS:

sudo ufw allow OpenSSH
sudo ufw allow http
sudo ufw allow https

Se você utiliza serviços personalizados em portas específicas, adicione-as agora. Por fim, verifique o status:

sudo ufw status verbose

O output deve mostrar Status: active e listar apenas as regras permitidas. Isso já reduz significativamente a exposição do servidor.

Etapa 3: Detecção de Intrusão com Fail2ban

Mesmo com chaves SSH, scanners de rede podem tentar portas abertas ou explorar vulnerabilidades em serviços como Nginx, Apache ou Dovecot. O Fail2ban monitora os logs do sistema e bloqueia automaticamente endereços IP que exibem comportamentos maliciosos.

Instale o pacote:

sudo apt install fail2ban

Copie o arquivo de configuração padrão para criar uma personalização segura, pois arquivos .conf originais podem ser sobrescritos durante atualizações:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Edite o arquivo jail.local para ajustar os parâmetros de detecção:

sudo nano /etc/fail2ban/jail.local

Configure as seções relevantes. Um exemplo robusto para SSH e serviços web:

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600

[nginx-http-auth]
enabled = true
port = http,https
filter = nginx-http-auth
logpath = /var/log/nginx/error.log
maxretry = 5

Neste exemplo, se um IP tentar acessar o SSH mais de 3 vezes com falha, ele será banido por 1 hora (3600 segundos). O Fail2ban cria regras temporárias no iptables/UFW para bloquear o tráfego.

Etapa 4: Inteligência Coletiva com CrowdSec

Enquanto o Fail2ban protege seu servidor localmente, o CrowdSec adiciona uma camada de inteligência coletiva global. Ele analisa logs e compartilha listas de IPs maliciosos (bans) com a comunidade. Se um atacante for banido no Brasil, ele também será bloqueado automaticamente em servidores na Europa ou EUA que utilizam o mesmo cenário.

Instale o CrowdSec seguindo as instruções oficiais da distribuição:

curl -s https://app.crowdsec.net/CSInstall | bash

Após a instalação, instale os parsers para ler seus logs e os cenários para identificar ataques. Para um servidor web típico:

sudo cscli parsers install crowdsecurity/nginx-logs
sudo cscli scenarios install crowdsecurity/ssh-bf

O CrowdSec funciona em conjunto com o firewall do sistema. Certifique-se de instalar o "bouncer" para integrar ao UFW ou FirewallD:

sudo apt install crowdsec-firewall-bouncer-ufw

Isso garante que as decisões tomadas pela inteligência coletiva sejam aplicadas instantaneamente no seu firewall local.

Etapa 5: Auditoria Avançada com auditd

Firewalls e IPS (Intrusion Prevention Systems) protegem contra acessos externos, mas não detectam ações internas ou privilégios elevados. O auditd (Linux Audit Daemon) é um subsistema do kernel que registra atividades específicas no sistema de arquivos e chamadas de sistema.

Instale o serviço:

sudo apt install auditd audispd-plugins

Configure regras para monitorar alterações críticas em arquivos sensíveis. Por exemplo, monitore o arquivo de senhas e configurações do sudo:

sudo auditctl -w /etc/passwd -p wa -k identity
sudo auditctl -w /etc/shadow -p wa -k identity
sudo auditctl -w /etc/sudoers -p wa -k sudo_changes

Para tornar essas regras persistentes após a reinicialização, edite o arquivo /etc/audit/rules.d/audit.rules e adicione as linhas acima no formato padrão do auditd. O log resultante ficará em /var/log/audit/audit.log.

Você pode consultar logs recentes usando a ferramenta aureport:

sudo aureport --summary -k identity

Isso permite detectar se alguém (ou um malware com privilégios de root) tentou modificar contas de usuário ou permissões de sudo.

Etapa 6: Port Knocking para Ocultação de Serviços

O port knocking é uma técnica de segurança ofensiva que torna seus serviços invisíveis na rede até que o cliente realize uma sequência específica de tentativas de conexão (knocks) em portas fechadas. Isso elimina a necessidade de expor portas ao escaneamento público.

Embora complexo para configurar manualmente com iptables, ferramentas como Knock podem ser integradas. No entanto, para VPS modernas, o uso combinado de UFW com regras restritas e CrowdSec já oferece uma proteção similar em termos de "segurança por obscuridade" eficaz contra bots genéricos.

Se você decidir implementar port knocking via iptables diretamente (sem ferramentas externas), a lógica seria:

1. O firewall bloqueia todas as entradas na porta do serviço (ex: 22).
2. O cliente envia um SYN para a porta 7000.
3. Em seguida, um ACK para a porta 8000.
4. Por fim, um SYN-ACK para a porta 9000.
5. O iptables detecta essa sequência e abre temporariamente a porta 22 para o IP do cliente.

Devido à complexidade de manutenção e riscos de bloqueio acidental do próprio administrador, recomenda-se fortemente o uso de Fail2ban e CrowdSec como alternativas mais gerenciáveis para a maioria dos ambientes corporativos.

Etapa 7: Mitigação DDoS na Camada de Aplicação e Rede

A mitigacao DDoS (Distributed Denial of Service) requer uma abordagem em duas frentes: na borda da rede (ISP/Cloud Provider) e na aplicação. Nenhuma ferramenta local, como Fail2ban, consegue mitigar um ataque volumétrico de Gigabits que satura sua largura de banda.

Na camada de infraestrutura:

• Utilize serviços de proteção DDoS oferecidos pelo seu provedor de nuvem (ex: AWS Shield, Cloudflare, Azure DDoS Protection).
• Configure limites de taxa (rate limiting) no seu balanceador de carga ou CDN.

Na camada do servidor:

• Configure o UFW para limitar conexões novas por segundo. Edite /etc/ufw/before.rules para adicionar regras de limitação:

</pre>

<p>Esta regra limita o SSH a 4 novas conexões por minuto por IP. Para serviços web, utilize módulos do Nginx ou Apache para limitar requisições por segundo.</p>

<h2>Conclusão e Boas Práticas Contínuas</h2>

<p>A implementação destas camadas cria um ambiente resiliente. O <strong>monitoramento de invasão</strong> eficaz não é estático; ele exige revisão periódica dos logs gerados pelo <code>auditd, análise das listas de banimento do Fail2ban e CrowdSec, e atualização constante dos pacotes do sistema.

Mantenha o hábito de:

• Revisar regras de firewall trimestralmente.
• Rotacionar chaves SSH anualmente ou após saídas de funcionários.
• Monitorar alertas em tempo real, integrando os logs do /var/log/audit/audit.log e /var/log/fail2ban.log a um sistema SIEM centralizado se o volume for alto.

A segurança é um ciclo. Ao hardening sua VPS com essas ferramentas, você transforma seu servidor de um alvo fácil em uma infraestrutura robusta, pronta para resistir às ameaças modernas da internet.