Fortalecimento do OS: aplicação de correções, configuração de referência e referências CIS

O fortalecimento do OS é o processo de reduzir a superfície de ataque de um sistema operacional removendo recursos desnecessários, aplicando configurações de segurança e mantendo o sistema atualizado com patches. Um sistema operacional recém-instalado não é seguro por padrão — ele prioriza a usabilidade, habilitando serviços e recursos que muitos usuários podem querer, mas que a maioria dos servidores corporativos não precisa. Cada serviço habilitado, porta aberta e credencial padrão é um possível ponto de entrada para invasores. O fortalecimento fecha sistematicamente esses pontos de entrada antes que o sistema entre em produção.

A gestão de patches é o processo de identificar, testar e aplicar atualizações de software que corrigem vulnerabilidades de segurança. Um sistema sem patches é um dos alvos mais fáceis de explorar — muitas violações graves (Equifax em 2017, WannaCry em 2017) exploraram vulnerabilidades conhecidas e já corrigidas que as organizações simplesmente não haviam aplicado. Um processo maduro de gestão de patches define: identificação de patches (assinar avisos dos fornecedores e feeds de CVE), classificação de criticidade (Emergency/Critical/High/Medium), prazos de teste (patches críticos em até 48–72 horas em muitos referenciais) e verificação da implantação.

Cada serviço em execução é um possível vetor de ataque. O fortalecimento do OS começa com uma auditoria de serviços: liste todos os serviços em execução, identifique sua finalidade e desative aqueles que não forem necessários para a função do sistema. No Windows Server, funções como Spooler de impressão, Registro remoto e LLMNR são frequentemente desativadas em servidores que não precisam delas. No Linux, serviços como rpcbind, cups (impressão) e avahi (mDNS) são candidatos típicos. O princípio é: se não precisar, desative.

Software instalado que não é usado representa um risco desnecessário. Cada pacote introduz possíveis vulnerabilidades — até mesmo softwares bem mantidos têm CVEs. O fortalecimento do OS inclui: remover ambientes de execução de linguagens que não sejam exigidos pelos aplicativos (Python, Perl e Ruby em servidores Web), remover ferramentas de desenvolvimento (compiladores e depuradores em sistemas de produção) e remover pacotes de aplicativos padrão fornecidos com imagens de OS (servidores FTP, clientes telnet e agentes SNMP). As imagens de contêiner devem usar imagens base mínimas (Alpine, scratch, distroless) pelo mesmo motivo.

Accounts padrão com nomes de usuário e Passwords conhecidos estão entre as primeiras coisas que os atacantes tentam explorar. Etapas de proteção: desabilite o Account Administrator integrado (Windows) e renomeie-o se não for possível desabilitá-lo; renomeie o Account root ou restrinja o acesso SSH do root (Linux); altere todos os Passwords padrão em dispositivos, bancos de dados e aplicativos antes que cheguem ao ambiente de produção; remova os Accounts de convidado; e desabilite os Accounts de serviço que não exigem logon interativo. Uma ferramenta de scan como o Nessus sinalizará as credenciais padrão como descobertas críticas.

Permissões seguras do sistema de arquivos impõem o privilégio mínimo no OS. Processos de servidores Web não devem ter acesso de gravação aos diretórios que servem. Accounts de aplicativos não devem ter acesso de leitura a arquivos de configuração que contenham credenciais. No Linux, os binaries setuid e setgid devem ser auditados, pois são executados com privilégios elevados independentemente de quem os execute. No Windows, as permissões NTFS e a auditoria de DACL garantem que diretórios confidenciais (hive SAM, cópias shadow e armazenamentos de credenciais) sejam acessíveis somente a processos autorizados.

Os CIS Benchmarks são guias gratuitos de proteção, desenvolvidos pela comunidade, para sistemas operacionais, aplicativos e plataformas de nuvem específicos. Cada benchmark contém centenas de recomendações específicas de configuração, com justificativa, etapas de correção e comandos de auditoria. Os CIS Benchmarks usam dois níveis de perfil: Level 1 — configurações básicas e amplamente aplicáveis que não restringem a funcionalidade; Level 2 — configurações avançadas para ambientes de alta segurança que podem afetar a usabilidade. Existem benchmarks para Windows Server, Ubuntu/RHEL, macOS, Docker, Kubernetes, AWS, Azure, GCP, navegadores e bancos de dados.

Uma linha de base de segurança é um conjunto documentado de configurações que todo sistema de uma categoria de função deve atender. As linhas de base são aplicadas por meio de Group Policy Objects (GPOs) no Windows, playbooks do Ansible, cookbooks do Chef ou manifestos do Puppet no Linux. As ferramentas de gerenciamento de configuração permitem a detecção de desvios: se um sistema se desviar da linha de base aprovada (por exemplo, se um serviço for reativado), alertas automatizados e a correção automática poderão restaurá-lo à conformidade. O NIST SP 800-128 fornece orientações sobre o gerenciamento de configuração com foco em segurança para sistemas federais.

A proteção não se resume à prevenção — o registro e o monitoramento são igualmente importantes. Configure as políticas de auditoria para capturar: eventos de autenticação (sucesso e falha), elevação de privilégios, acesso a objetos (leituras de arquivos confidenciais), criação de processos (com argumentos de linha de comando) e eventos de conexão de rede. Os registros devem ser encaminhados para um SIEM centralizado quase em tempo real, para que invasores locais com direitos de administrador não possam encobrir seus rastros limpando os registros de eventos. Retenha os registros por pelo menos 12 meses, conforme a maioria das estruturas de conformidade.

A verificação manual dos benchmarks de proteção em todos os sistemas é impraticável em grande escala. As ferramentas de varredura de conformidade automatizam essa verificação. O OpenSCAP (código aberto) aplica conteúdo SCAP a sistemas Linux e gera relatórios HTML que mostram verificações aprovadas, reprovadas e não aplicáveis. O Nessus inclui políticas de benchmark CIS. O Microsoft Security Compliance Toolkit avalia sistemas Windows em relação às linhas de base da Microsoft. Essas ferramentas são executadas regularmente (semanal ou mensalmente), e os desvios acionam tickets de correção no sistema de gerenciamento de mudanças.

Em domínios Windows, os Group Policy Objects (GPOs) são o principal mecanismo para aplicar e impor linhas de base de segurança em grande escala. Os modelos de segurança (arquivos .inf predefinidos ou personalizados) podem ser importados para os GPOs para configurar centenas de definições simultaneamente: política de Account, política de auditoria, atribuição de direitos de User, Options de segurança e valores do registro. O snap-in Security Configuration and Analysis e a ferramenta de linha de comando secedit comparam as definições atuais com um modelo definido e geram relatórios de conformidade. Os GPOs são aplicados na inicialização e em intervalos regulares, garantindo que os desvios da linha de base sejam corrigidos automaticamente.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: o fortalecimento do OS reduz a superfície de ataque ao desabilitar serviços, remover software, proteger Accounts e aplicar permissões de privilégio mínimo; o gerenciamento de patches elimina vulnerabilidades conhecidas com SLAs baseados em criticidade; e os CIS Benchmarks fornecem orientações de configuração Level 1 (básica) e Level 2 (avançada), impostas por meio de ferramentas automatizadas de varredura de conformidade. A seguir, exploraremos o Mobile Device Management e as políticas de BYOD.