Segurança do Linux

Proteja servidores Linux seguindo os benchmarks do CIS e as melhores práticas de segurança.

Quando Usar Esta Habilidade

Use esta habilidade quando:

• Estiver protegendo servidores de produção
• Precisar atender a requisitos de conformidade
• Estiver implementando linhas de base de segurança
• Estiver configurando acesso SSH seguro

Alvo e Recuperação

Confirme a distribuição/versão, o perfil CIS selecionado, a configuração atual do serviço e as alterações autorizadas pelo usuário. Mantenha uma sessão de acesso que funcione e recuperação fora de banda, faça backup dos arquivos afetados privadamente, visualize as alterações e valide antes de recarregar. Estes exemplos são fragmentos, não um script universal de conformidade CIS. Não aplique regras de firewall/negação padrão antes de verificar o acesso de gerenciamento e os requisitos de IPv4/IPv6.

Segurança do SSH

# Example sshd configuration; merge with existing policy
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers <confirmed-management-users>

Segurança do Usuário

# Password policy
sudo apt install libpam-pwquality
# /etc/security/pwquality.conf
minlen = 14
dcredit = -1
ucredit = -1
ocredit = -1
lcredit = -1

# Set the default for FUTURE accounts: inactivity after password expiry,
# not 30 days since last login; review service-account consequences first.
useradd -D -f 30

# Audit sudo usage
# Edit a reviewed /etc/sudoers.d/ fragment with visudo and validate with visudo -c.
# Do not append blindly to /etc/sudoers.

Configuração do Firewall

# UFW setup
ufw default deny incoming
ufw default allow outgoing
ufw allow ssh
ufw allow 443/tcp
ufw enable

# Alternative iptables changes require an isolated validated ruleset,
# management allow rules, conntrack, DNS/IPv6 decisions and timed rollback.
# Do not set INPUT DROP first on a live remote host.

Segurança do Kernel

# /etc/sysctl.d/99-security.conf
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1
kernel.randomize_va_space = 2
fs.suid_dumpable = 0

# After reviewing a supported value set, apply the exact file separately:
# sudo sysctl -p /etc/sysctl.d/99-security.conf

Permissões de Arquivo

# Inspect distro-prescribed owner/group/mode before any authorized repair.
# /etc/shadow group readability may be required; do not blanket chmod it.
# Find world-writable files
find / -xdev -type f -perm -0002 -ls

# Find SUID files
find / -xdev -perm -4000 -type f -ls

Configuração de Auditoria

A instalação de pacotes e as regras de auditoria são etapas separadas. Valide e carregue o arquivo de regras real através das ferramentas de auditoria instaladas; a auditoria execve pode capturar argumentos de comando secretos e grandes volumes, portanto, escopo o acesso e a retenção.

# Install auditd
apt install auditd

# /etc/audit/rules.d/audit.rules
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /etc/sudoers -p wa -k actions
-a always,exit -F arch=b64 -S execve -k exec

Melhores Práticas

• Desative serviços não utilizados
• Mantenha o sistema atualizado
• Use fail2ban para prevenção de intrusão
• Habilite SELinux/AppArmor
• Auditorias de segurança regulares
• Monitore arquivos de log
• Implemente o privilégio mínimo

Habilidades Relacionadas

• cis-benchmarks (cis-benchmarks) - Verificação de conformidade
• firewall-config (firewall-config) - Regras de firewall

Limitações

• Aplique as orientações apenas dentro do escopo autorizado; teste etapas destrutivas em ambiente de não produção primeiro.
• Importação apenas de documentação: scripts e modelos upstream não incluídos.

Exemplo

# Read-only first: inventory before any active step.
which <tool> && <tool> --help | head -n 20

Adaptado de BagelHole/DevOps-Security-Agent-Skills (MIT); frontmatter, Quando Usar/Limitações e limites de segurança adicionados para conformidade upstream. Importação apenas de documentação: scripts auxiliares e modelos não incluídos.