Hardening de servidores Windows e Linux pelas boas práticas públicas de configuração segura

O que é hardening de servidores?

Um servidor recém-instalado vem configurado para funcionar em qualquer cenário. Hardening é o trabalho de ajustar essa configuração ao uso real: desligar serviços e protocolos que não são usados, restringir contas e permissões, endurecer autenticação, ativar registro de eventos e fechar portas desnecessárias.

O NIST trata desse tema no Guide to General Server Security (SP 800-123), que cobre a seleção, a implementação e a manutenção dos controles de segurança de servidores. No mesmo sentido, a SP 800-70 Rev. 5 descreve as listas de configuração segura (checklists) e afirma que elas reduzem a superfície de ataque e ajudam a detectar mudanças que passariam despercebidas.

O que são benchmarks de configuração segura?

São recomendações de configuração segura para sistemas específicos (Windows Server, distribuições Linux, bancos de dados, navegadores, nuvem). Há várias fontes públicas: o National Checklist Program do NIST reúne checklists de vários autores em um só repositório, a DISA publica os guias STIG usados pelo governo americano, a Microsoft mantém as suas linhas de base de segurança e organizações independentes publicam benchmarks construídos por consenso entre profissionais de segurança.

Cada recomendação traz a justificativa, o impacto esperado, como verificar o estado atual e como corrigir. Isso transforma uma ideia vaga ("deixar o servidor seguro") em uma lista verificável, item por item.

Qual nível de exigência aplicar?

Muitos benchmarks separam as recomendações em perfis. O perfil de base reduz a superfície de ataque com pouco impacto no funcionamento e pode ser implantado com relativa rapidez. O perfil mais restritivo é defesa em profundidade, voltado a ambientes em que a segurança é prioridade, e suas regras podem afetar aplicações se forem aplicadas sem cuidado. Os guias STIG classificam cada achado por severidade, de CAT I (a mais alta) a CAT III.

Na prática, o caminho mais comum é aplicar o perfil de base em todo o parque e reservar o mais restritivo para servidores expostos ou que guardam dados críticos, sempre registrando as exceções.

Como testar o hardening antes de aplicar em produção?

Os próprios autores dos benchmarks recomendam aplicar as regras primeiro em ambiente de teste para avaliar o impacto, qualquer que seja o perfil escolhido. Uma sequência que funciona:

1. Escolha o benchmark exato da versão do sistema (por exemplo, o de Windows Server 2022 ou o da sua distribuição Linux) e o perfil desejado.
2. Rode uma avaliação inicial para saber o ponto de partida antes de mudar qualquer coisa.
3. Clone em homologação um servidor de cada função (controlador de domínio, servidor de arquivos, aplicação, banco) e aplique o perfil.
4. Teste as aplicações com os usuários-chave: login, impressão, integrações, backup, monitoramento e acesso remoto.
5. Documente cada recomendação que precisou ficar de fora, com o motivo e o controle compensatório.
6. Aplique em um grupo piloto de produção pequeno, acompanhe por alguns dias e só então expanda por ondas.
7. Mantenha um plano de reversão testado para cada onda.

Como aplicar o hardening no Windows e no Linux?

No Windows, a ferramenta natural é a política de grupo. O Microsoft Security Compliance Toolkit reúne as linhas de base de segurança da Microsoft para Windows Server 2016 a 2025 e ferramentas como o Policy Analyzer, que compara conjuntos de GPOs entre si e com a política local, e o LGPO, que aplica configurações em máquinas fora do domínio. Para o piloto, vincule a GPO a uma unidade organizacional que contenha só os servidores do grupo piloto.

No Linux, o projeto ComplianceAsCode (antigo SCAP Security Guide) gera, a partir dos mesmos perfis de segurança, conteúdo SCAP para avaliação, playbooks Ansible e scripts Bash para correção, com suporte a Red Hat Enterprise Linux, Ubuntu, Debian e SUSE, entre outros. Com Ansible, o piloto vira um grupo no inventário, e a expansão é só incluir novos hosts.

Como medir e provar o hardening na auditoria?

O auditor quer ver três coisas: o padrão adotado, a evidência de que ele está aplicado e o tratamento das exceções. As ferramentas abaixo geram essa evidência em formato de relatório.

• OpenSCAP: no Linux, o comando oscap xccdf eval avalia o servidor contra um perfil e, com a opção --report, gera um relatório HTML (OpenSCAP, Getting started).
• Policy Analyzer: no Windows, compara a GPO aplicada com a linha de base e exporta as diferenças para planilha.
• Registro de exceções: planilha ou ferramenta de GRC com cada recomendação não aplicada, justificativa, risco aceito, aprovador e data de revisão.
• Histórico: guarde os relatórios de cada ciclo para mostrar a evolução e a detecção de desvios ao longo do tempo.

Como o hardening se relaciona com a ISO 27001?

A ISO/IEC 27001:2022 é a norma de requisitos para sistemas de gestão de segurança da informação. Ela trata do sistema de gestão como um todo, e a versão de 2022 traz no Anexo A o controle 8.9, gestão de configuração. Os benchmarks públicos entram como o conteúdo técnico que mostra, servidor por servidor, como a configuração segura foi definida e verificada.

Na Declaração de Aplicabilidade, registre qual benchmark e qual perfil a empresa adotou para cada sistema e guarde os relatórios de conformidade como evidência desse controle.

Por onde começar o hardening dos servidores?

Comece pelo inventário: quais servidores existem, com que sistema e função. Depois rode a avaliação inicial em uma amostra, escolha o perfil de base como meta, monte a homologação e defina o calendário de ondas. O primeiro relatório já serve como linha de base para medir a evolução.

A CyberArmor executa esse trabalho de avaliação, aplicação e evidência para auditoria na frente de segurança de infraestrutura.

Perguntas frequentes