Protegendo o Servidor SSH

Um servidor SSH exposto à internet é um alvo constante de ataques automatizados. As configurações padrão deixam várias portas abertas que os bots sondam sem parar.

Reforçar a segurança significa ajustar a configuração do servidor para que, mesmo que os invasores encontrem seu servidor, não consigam entrar por força bruta.

O comportamento do SSH no servidor é controlado por /etc/ssh/sshd_config. Esse arquivo é diferente da configuração do cliente que você configurou anteriormente (~/.ssh/config).

Sempre edite-o como root e mantenha um backup antes de fazer alterações.

A conta root é a primeira coisa que os invasores tentam acessar. Desativar o login direto do root obriga-os também a descobrir um nome de usuário válido.

Defina PermitRootLogin como no. Os administradores devem fazer login como um usuário normal e usar o sudo.

Depois que a autenticação por chave estiver funcionando, desative completamente as senhas. Isso elimina totalmente os ataques de força bruta — não há senha para adivinhar.

Atenção: confirme que o login por chave funciona antes de aplicar essa alteração, caso contrário você poderá perder o acesso.

Você pode criar uma lista de permissões especificando exatamente quais contas podem usar SSH com AllowUsers ou AllowGroups. Qualquer pessoa que não esteja listada terá o acesso recusado, mesmo com chaves válidas.

Esse é um controle simples e eficaz em servidores com vários usuários.

Mudar o SSH da porta 22 não acrescenta segurança real, mas reduz drasticamente o ruído causado por analisadores automatizados nos seus registros.

Escolha uma porta não padrão e lembre-se de liberá-la no firewall e informar os clientes sobre ela.

Várias diretivas reduzem o intervalo de oportunidade dos invasores:

• MaxAuthTries — tentativas malsucedidas antes da desconexão
• LoginGraceTime — segundos permitidos para autenticação
• MaxSessions — sessões simultâneas por conexão

Depois de editar, valide a sintaxe com sshd -t antes de reiniciar — um erro de digitação pode impedir o serviço de iniciar e bloquear seu acesso.

Em seguida, recarregue o serviço. Mantenha a sessão atual aberta e teste uma nova conexão antes de encerrá-la.

Fail2ban monitora seus registros de autenticação e bane temporariamente os IPs que falham vezes demais. Ele adiciona uma camada de firewall dinâmica sobre as configurações do sshd.

Instale-o e ative a prisão do SSH; os padrões são adequados para a maioria dos servidores.

Confirme que o servidor agora rejeita aquilo que foi desativado. Tente se conectar com uma saída detalhada para ver quais métodos de autenticação o servidor oferece.

Um servidor protegido deve anunciar apenas publickey e recusar logins por senha e como root.

Mantenha seu servidor SSH seguro ao longo do tempo:

• Nunca aplique PasswordAuthentication no antes de testar o login por chave
• Mantenha uma sessão aberta enquanto altera a configuração
• Use sshd -t a cada edição
• Combine o reforço de segurança do sshd com um firewall e o Fail2ban

Teste seus conhecimentos sobre o reforço de segurança do SSH.

Você reforçou a segurança do seu servidor SSH por meio de /etc/ssh/sshd_config:

• Desativou logins como root e por senha
• Incluiu usuários em uma lista permitida com AllowUsers
• Ajustou MaxAuthTries e LoginGraceTime
• Adicionou o Fail2ban para proteção dinâmica contra força bruta

Valide com sshd -t e sempre teste antes de fechar sua sessão.