Segurança de servidores Linux
Hardening de SSH por chaves
O SSH é a porta de entrada de todo servidor Linux e o serviço mais atacado por força bruta na internet. Autenticação só por chave, login root desativado, regras fail2ban e porta fora do padrão eliminam juntos quase todas as invasões SSH automatizadas, mantendo o acesso legítimo de administração rápido.
Pontos principais
- Migre todas as contas para autenticação por chave ed25519 ou RSA-4096; desative totalmente a autenticação por senha.
- Defina PermitRootLogin como prohibit-password ou no, e administre via usuários sudo.
- Mude o SSH para uma porta alta fora do padrão para eliminar 99% das varreduras automatizadas.
- Proteja o sshd com fail2ban: 3 a 5 falhas disparam bloqueios progressivos.
- Restrinja o SSH com AllowUsers/AllowGroups mais listas de liberação por origem no firewall, quando possível.
- Imponha tempos de inatividade (ClientAliveInterval) e desative encaminhamentos não usados.
- Audite os arquivos authorized_keys a cada trimestre e remova imediatamente as chaves de quem saiu da equipe.
- Considere port-knocking ou SSH só via VPN para servidores de alto valor.
Nota de campo
A lição que mais marca costuma ser o próprio bloqueio: mantenha uma sessão ativa aberta enquanto migra para autenticação só por chave, e abra um login novo num segundo terminal antes de fechar qualquer coisa.
Perguntas frequentes
Vou ficar bloqueado ao migrar para SSH só com chave?
Não, se for feito por etapas: adicione as chaves, confirme que o login por chave funciona e só então desative as senhas, mantendo sempre uma sessão ativa aberta durante a mudança.
Trocar a porta SSH é segurança por obscuridade?
Em parte, mas elimina quase todo o ruído de bots, o que deixa as tentativas reais visíveis nos logs em vez de enterradas.
O login root deve ser permitido alguma vez?
Só via console/KVM em emergências. Root diário por SSH é risco desnecessário.
E a autenticação em dois fatores para SSH?
É excelente sobre as chaves para bastions e servidores de backup; implantamos onde o fluxo de trabalho permite.
Como a Kinetikatech ajuda com segurança de servidores linux
Você não deveria precisar virar especialista em segurança de servidores linux: Hardening, monitoramento e defesa de servidores CloudLinux, Rocky Linux e cPanel contra malware, força bruta e invasões — 24/7. É exatamente para isso que existe Segurança de servidores Linux e Gestão de servidores: configuração, blindagem, monitoramento e um engenheiro de plantão dia e noite.