Cópias de segurança

Não adianta. A primeira recomendação para a manutenção da segurança em seus sistemas é ter cópias atualizadas e em vários estados anteriores de seus arquivos e bases de dados. E também não adianta manter as tarefas agendadas bonitinhas, fazendo seus backups diários, e nunca testar a restauração dessas cópias. Em certos ataques, pode não ser possível a sua detecção imediata: ele pode ter ocorrido há alguns dias e, para solucionar o problema, você deverá restaurar alguma cópia mais antiga.

Eu gosto de separar o processo do backup em duas fases. Na primeira, é feita uma cópia de segurança no próprio ambiente do servidor. Na segunda, essas cópias são transmitidas para um ambiente externo e seguro. Como eu sou meio neurótico e essa é uma atividade que não tira mais do que cinco minutos do meu dia, a segunda fase NÃO É AUTOMÁTICA. Tenho um comando scp pronto que transfere, para o ambiente de meu escritório, os backups feitos em máquinas remotas. A gente vai criando um certo "olho" para anomalias. Ao ver, por exemplo, que uma determinada base que, tipicamente, cresce a cada dia e, de repente, ela "parece" ser pequena demais, a gente já desconfia.

O problema de automações extremas é que a gente começa a ficar confiante demais nelas e, quando algo não funciona a gente descobre que "perdeu o jeito". O hábito faz o monge, dizem.

Tenha, também, um ambiente de testes já configurado exatamente como seu servidor de produção. É muito fácil, hoje, de ter uma máquina virtual que fica ali, dormindo, sem atrapalhar seu ambiente local, até que você precise dela. De tempos em tempos, acorde-a e faça a restauração de um ou mais de seus backups e veja se está tudo bem. Se você nunca montou um ambiente de testes em uma máquina virtual, o artigo nesse link o ajudará a fazer isso.

Troque as portas

Ataques comuns, feitos através de scripts de força bruta, percorrem vulnerabilidades em serviços em suas configurações padrão. Antes de mais nada, se você não precisa usar (ou fornecer a seus clientes) um determinado serviço, desabilite-o. Felizmente, a maioria das distribuições sérias para servidores não vem com nenhum serviço de conexão externa habilitado por padrão, cabendo a você fazê-lo. Pense bem se você precisa, por exemplo, oferecer ftp em seu servidor, ou se o scp, padrão para a transferência segura de arquivos do ssh é suficiente. O ssh não tem jeito. Esse você irá precisar. Por padrão, ele roda na porta 22, que é a primeira que os scripts tentarão atacar. Troque-a por outra. Estes artigos, aqui no Dicas-L, mostram como fazer isso.

Tranque as portas para os inimigos conhecidos

Um ataque automatizado típico não acerta de primeira. Se você começa a receber múltiplas tentativas de invasão de uma determinada máquina, feche a porta para ela. Para isso, use o denyhosts. Instruções e mais dicas sobre esse excelente, pequeno e prático programa estão nessa série de artigos do Dicas-L.

Não convide o inimigo

O recente ataque ao Wordpress, em grande parte, deu-se ao fato dos mantenedores de portais, com essa ferramenta, não terem lido as dicas de segurança oferecidas pela própria comunidade de usuários. Muita dor e vergonha teria sido evitada se o usuário admin tivesse sido apagado e se o plugin básico de segurança para o ambiente tivesse sido instalado. Mais boas dicas sobre o assunto nesse link. Quem não fez isso amarga, agora, o leite derramado.

Coloque cimento nas portas não utilizadas

Se você não oferece serviço através de uma determinada porta, não a exiba para o mundo externo. Se alguém tentar chegar até ela, vai bater com o nariz na parede. Use um serviço de firewall para isso. Na maior parte dos meus servidores web, as únicas portas abertas são as relativas aos serviços http e ssh. Siga esse link para entender e configurar o UFW, um firewall descomplicado e eficiente.

Mantenha seu sistema atualizado

A não ser que você use o Windows 7, o melhor é manter o seu sistema sempre atualizado. Infelizmente, há pessoas que não utilizam a sua inteligência apenas para fazer o bem, que ficam procurando por vulnerabilidades em servidores e, quando as descobrem, iniciam seus ataques. Felizmente, a comunidade de código aberto é muito unida e, ao primeiro sinal de uma vulnerabilidade, trabalha em conjunto para resolvê-la. Quando você instala uma distribuição como o Ubuntu Server, você tem a opção de, durante o processo de instalação, permitir as atualizações automáticas de segurança. Pode confiar e escolher essa opção.

Quem mexeu nos meus arquivos?

Um servidor é dinâmico, com arquivos e bases de dados mudando a todo o momento. Mas tem coisas que não devem mudar. Tudo o que está nas pastas de sistema e configuração (ou seja, praticamente tudo o que não está nas pastas /home, /var e /tmp) deve permanecer intocado, a não ser por você mesmo. Instale um dedo-duro que gera um alerta caso algum desses arquivos fixos comecem a variar. Conheça o Samhain, ele faz isso para você.