Hardening Linux

This page preserves the same technical scope as the Portuguese edition and follows a validate-before-change workflow. Test sensitive procedures in a lab and keep rollback evidence.

Hardening é redução sistemática de superfície e privilégio, não uma lista de comandos copiada. Comece por inventário, função do host e ameaça.

Chaves, MFA quando aplicável, root login restrito, algoritmos atuais, AllowUsers/Groups e rede de gerência. Mantenha acesso de recuperação antes de alterar sshd.

Use sudo e contas nominativas, remova contas obsoletas e audite grupos privilegiados. Segredos não devem ficar em shell history.

Desabilite serviços desnecessários, automatize atualizações de segurança conforme janela e acompanhe reboot/kernel pendente.

sysctl deve ter justificativa e teste; não aplique “hardening packs” cegamente. Firewall local continua útil mesmo atrás de firewall perimetral.

Centralize logs, use auditd quando necessário e verifique baseline com ferramentas como Lynis/OpenSCAP. Hardening sem medição degrada com o tempo.

• https://www.cisecurity.org/cis-benchmarks
• https://www.open-scap.org/