Guia Avançado de Segurança Ofensiva e Defensiva (Red & Blue Team) para Servidores VPS e VDS: Como Detectar, Auditar e Blindar sua Infraestrutura contra Ataques Multicamadas
No cenário cibernético atual, a segurança de servidores de hospedagem e produção não é mais uma questão de apenas configurar um firewall simples e alterar a porta padrão do SSH. Com o aumento exponencial de ataques automatizados, exploits de dia zero (zero-day), varreduras persistentes baseadas em Inteligência Artificial e ataques de força bruta extremamente sofisticados, administradores de sistemas, DevOps e empresas de tecnologia precisam adotar uma postura de Zero Trust (Confiança Zero).
Para proteger de forma eficaz seus sistemas hospedados em servidores virtuais ou dedicados, é fundamental compreender as duas maiores vertentes da segurança da informação: o Red Teaming (Segurança Ofensiva), focado em pensar como o atacante, descobrir vulnerabilidades e simular invasões; e o Blue Teaming (Segurança Defensiva), focado em monitoramento, auditoria, contenção de danos e blindagem (hardening) de sistemas. Neste guia completo, exploraremos de forma profundamente técnica como aplicar esses dois conceitos diretamente na sua infraestrutura na CoelhoVPS, utilizando planos de alta performance como a VPS Performance, VPS Storage e servidores dedicados virtuais (VDS).
Parte 1: Red Teaming — Como os Atacantes Descobrem e Exploram sua VPS/VDS
Antes de implementar qualquer barreira defensiva, você precisa compreender como um agente malicioso analisa seu servidor. O ciclo de vida de um ataque típico a um servidor Linux geralmente segue quatro etapas cruciais: Reconhecimento, Varredura/Enumeração, Exploração e Pós-Exploração (Escalada de Privilégios e Persistência).
1.1 Reconhecimento e Varredura Ativa (Scanning)
O ataque raramente começa de forma aleatória. Os cibercriminosos utilizam ferramentas automatizadas como o Nmap, Masscan e scripts personalizados de varredura para identificar portas abertas e descobrir serviços vulneráveis expostos na internet.
Uma varredura padrão do Nmap pode revelar não apenas as portas abertas, mas também as versões exatas dos serviços em execução (detecção de banner):
nmap -sS -sV -O -p- 203.0.113.42
Neste comando, o atacante realiza uma varredura do tipo SYN Stealth (-sS), detecta as versões dos serviços (-sV), tenta identificar o sistema operacional (-O) e varre todas as 65.535 portas TCP (-p-). Se o seu servidor estiver executando um serviço desatualizado, como uma versão vulnerável do OpenSSH, do servidor web Nginx ou do banco de dados PostgreSQL, o atacante cruzará essas informações com bancos de dados públicos de vulnerabilidades (CVEs).
1.2 Ataques de Força Bruta e Engenharia Social de Protocolo
Se nenhuma vulnerabilidade óbvia for encontrada nos serviços expostos, o vetor de ataque mais comum se torna a força bruta direcionada ao protocolo SSH (porta 22) ou a painéis administrativos (como WordPress, phpMyAdmin ou Docker). Utilizando ferramentas como o Hydra ou Medusa combinadas com wordlists imensas (como a famosa rockyou.txt) e redes de proxies rotativos, atacantes tentam adivinhar credenciais de usuários comuns (como root, admin, ubuntu, debian ou test) em questão de minutos:
hydra -l root -P /usr/share/wordlists/rockyou.txt ssh://203.0.113.42
1.3 Exploração de Aplicações Web e Escalada de Privilégios
Se o atacante encontrar uma falha em nível de aplicação (por exemplo, uma injeção de SQL ou uma vulnerabilidade de upload de arquivos), ele obterá acesso inicial ao servidor sob o usuário que executa o servidor web (frequentemente www-data ou nginx). A partir desse ponto, o objetivo principal do Red Team (ou do invasor real) é a escalada de privilégios para obter acesso como root.
Eles buscarão por:
  
Arquivos de configuração contendo senhas expostas em texto puro.
  
Binários com permissões SUID incorretas (que permitem execução com privilégios de root).
  
Versões desatualizadas do kernel Linux suscetíveis a exploits locais (como Dirty COW ou exploits de PwnKit).
  
Erros de configuração no arquivo /etc/sudoers que permitam que o usuário do servidor web execute determinados comandos sem senha.
Parte 2: Blue Teaming — Hardening Extremo do Sistema Operacional
Agora que você entende o processo de ataque, entra em cena o Blue Team. Nossa primeira linha de defesa é o endurecimento (hardening) do sistema operacional. Vamos configurar o Linux da sua VPS Performance ou VDS da CoelhoVPS para resistir a tentativas de invasão e minimizar a superfície de ataque.
2.1 Blindagem do Serviço SSH (Secure Shell)
O SSH é a principal porta de entrada para a administração do seu servidor, o que também o torna o alvo favorito dos atacantes. Modificar suas configurações padrão é obrigatório.
Edite o arquivo de configuração do SSH:
sudo nano /etc/ssh/sshd_config
Aplique as seguintes modificações de segurança:
# Altere a porta padrão para evitar varreduras automatizadas simples
Port 22022

# Desative o login direto do usuário root
PermitRootLogin no

# Force o uso exclusivo de chaves criptográficas (desative senhas)
PasswordAuthentication no
PubkeyAuthentication yes

# Limite o número máximo de tentativas de autenticação antes de desconectar
MaxAuthTries 3

# Desative o encaminhamento de portas gráficas X11 (redução de superfície)
X11Forwarding no

# Desative o login com senhas vazias
PermitEmptyPasswords no

# Defina algoritmos de criptografia modernos e seguros (KEX e Ciphers)
KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com
MACs hmac-sha2-512-etm@openssh.com
Após salvar as alterações, certifique-se de testar as configurações antes de encerrar sua sessão atual para evitar bloqueios acidentais:
sudo sshd -t
sudo systemctl restart sshd
2.2 Hardening do Kernel Linux via sysctl
O arquivo /etc/sysctl.conf gerencia parâmetros de rede e de memória diretamente no nível do kernel Linux. Podemos ajustá-lo para mitigar ataques de negação de serviço (DDoS), como SYN Floods, e impedir redirecionamentos de tráfego maliciosos.
Adicione ou modifique os seguintes parâmetros no arquivo /etc/sysctl.d/99-security.conf:
# Proteção contra SYN Floods (ativa os cookies SYN do TCP)
net.ipv4.tcp_syncookies = 1

# Aumenta a fila de conexões pendentes do TCP
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 5

# Ignora redirecionamentos ICMP (prevenção contra ataques Man-in-the-Middle)
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0

# Não aceita pacotes de roteamento de origem (Source Routed Packets)
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0

# Habilita a proteção contra falsificação de IP (IP Spoofing)
net.ipv4.conf.all.rp_filter = 1
et.ipv4.conf.default.rp_filter = 1

# Desativa o encaminhamento de IP (se o servidor não for um roteador/VPN)
net.ipv4.ip_forward = 0

# Habilita a randomização do espaço de endereçamento de memória (ASLR) contra estouro de buffer
kernel.randomize_va_space = 2
Para aplicar instantaneamente essas configurações sem precisar reiniciar o servidor, execute:
sudo sysctl --system
Parte 3: Implementando uma Defesa Ativa com nftables e Fail2ban
A segurança estática não é suficiente. Precisamos de mecanismos que reajam em tempo real quando um ataque está acontecendo. Nesta seção, configuraremos o substituto moderno do iptables, o nftables, e integraremos o Fail2ban para banimento automatizado de IPs maliciosos.
3.1 Substituindo o iptables pelo nftables
O nftables oferece maior eficiência de CPU e uma sintaxe muito mais amigável do que o legado iptables. Vamos criar uma política de firewall restritiva (Default Drop) que só permite o tráfego estritamente necessário.
Instale o nftables:
sudo apt update && sudo apt install nftables -y
Crie uma configuração segura no arquivo /etc/nftables.conf:
#!/usr/sbin/nft -f

flush ruleset

table inet filter {
    chain input {
        type filter hook input priority 0; policy drop;

        # Permite tráfego de loopback (interno)
        iif "lo" accept

        # Permite conexões já estabelecidas e relacionadas (essencial para conexões de saída funcionarem)
        ct state established,related accept

        # Descarta pacotes inválidos
        ct state invalid drop

        # Permite tráfego ICMP limitado (ping) para monitoramento de latência saudável
        ip protocol icmp icmp type echo-request limit rate 5/second accept

        # Permite SSH seguro na porta customizada (mude 22022 para a porta que você configurou)
        tcp dport 22022 accept

        # Permite tráfego web padrão (HTTP e HTTPS)
        tcp dport { 80, 443 } accept
    }

    chain forward {
        type filter hook forward priority 0; policy drop;
    }

    chain output {
        type filter hook output priority 0; policy accept;
    }
}
Habilite e inicialize o serviço do nftables:
sudo systemctl enable nftables
sudo systemctl restart nftables
3.2 Configurando Fail2ban para Banimento Dinâmico
O Fail2ban lê os arquivos de log do sistema (como /var/log/auth.log) e, se detectar padrões repetidos de falhas de autenticação, adiciona temporariamente o IP do atacante às regras de bloqueio do seu firewall nftables.
Instale o Fail2ban:
sudo apt install fail2ban -y
Crie uma configuração local personalizada (evitando editar diretamente o arquivo padrão jail.conf, que pode ser sobrescrito em atualizações):
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local
Adicione e configure o bloco abaixo, garantindo a integração correta com o nftables:
[DEFAULT]
# Usa o nftables para banimento
banaction = nftables-multiport
banaction_allports = nftables-allports

# Tempo em segundos que o IP ficará banido (1 dia)
bantime = 86400

# Janela de tempo para contar as tentativas falhas (10 minutos)
findtime = 600

# Número máximo de tentativas antes de banir
maxretry = 5

[sshd]
enabled = true
port = 22022
logpath = %(sshd_log)s
backend = %(sshd_backend)s
Reinicie o serviço do Fail2ban para carregar as novas regras:
sudo systemctl restart fail2ban
Você pode monitorar o status dos banimentos e ver se o Fail2ban está bloqueando os ataques ativos com o comando:
sudo fail2ban-client status sshd
Parte 4: Auditoria de Segurança e Monitoramento Ativo (Log Analysis)
Uma infraestrutura verdadeiramente segura requer visibilidade absoluta. Se um invasor conseguir burlar as defesas perimetrais, você deve ser capaz de identificar instantaneamente qual arquivo ele modificou, quais comandos executou e como ele obteve acesso.
4.1 Rastreamento de Alterações com auditd
O auditd (Linux Audit Daemon) monitora chamadas de sistema (syscalls), acessos a arquivos confidenciais e privilégios executados no servidor. É uma ferramenta indispensável para forense digital e conformidade de segurança.
Instale o auditd:
sudo apt install auditd audispd-plugins -y
Vamos criar regras para monitorar modificações em arquivos críticos como /etc/passwd, /etc/shadow e rastrear sempre que um usuário usar privilégios de administrador via sudo.
Edite o arquivo de regras:
sudo nano /etc/audit/rules.d/audit.rules
Adicione as seguintes linhas no final do arquivo:
# Monitorar mudanças nas contas de usuários
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /etc/group -p wa -k identity
-w /etc/gshadow -p wa -k identity

# Monitorar alterações nas configurações de rede
-w /etc/issue -p wa -k system-locale
-w /etc/issue.net -p wa -k system-locale
-w /etc/hosts -p wa -k system-locale
-w /etc/sysctl.conf -p wa -k system-locale
-w /etc/sysctl.d/ -p wa -k system-locale

# Monitorar execuções de comandos sudo por usuários comuns
-w /usr/bin/sudo -p x -k privileged-actions

# Monitorar remoção de logs do sistema (comportamento clássico de invasor limpando pegadas)
-w /var/log/audit/ -p wa -k auditlog
-w /var/log/wtmp -p wa -k sessionlog
-w /var/log/utmp -p wa -k sessionlog
Reinicie o daemon de auditoria para aplicar as regras:
sudo systemctl restart auditd
Para pesquisar no log de auditoria por eventos específicos, como modificações de usuários, use o utilitário ausearch:
ausearch -k identity
4.2 Varredura de Vulnerabilidades Locais com Lynis
O Lynis é uma das melhores ferramentas de auditoria de segurança de código aberto para sistemas baseados em Unix. Ele realiza um exame minucioso de todo o sistema operacional, avaliando permissões, configurações de kernel, serviços expostos e muito mais.
Instale o Lynis:
sudo apt install lynis -y
Execute uma auditoria completa no sistema:
sudo lynis audit system
Ao final do teste, o Lynis gerará um relatório detalhado com sugestões práticas de melhorias e um "Índice de Hardening" do seu servidor. Este relatório é uma excelente métrica de progresso para a equipe de Blue Team.
Parte 5: Proteção de Containers Docker (Container Hardening)
Muitas aplicações modernas rodam sob containers Docker. No entanto, se o Docker não for configurado corretamente, ele pode se tornar uma vulnerabilidade grave. Por padrão, os containers compartilham o kernel do hospedeiro, o que significa que um container comprometido pode, em alguns cenários, comprometer toda a sua VPS ou VDS.
5.1 Evite Executar Containers como Root
Por padrão, os processos dentro do container Docker são executados como o usuário root do sistema de arquivos interno do container. Se um invasor conseguir escapar do container (container escape exploit), ele obterá privilégios de root na máquina hospedeira.
Sempre defina um usuário não-privilegiado nos seus Dockerfiles:
FROM node:18-alpine
# Cria um usuário sem privilégios
RUN addgroup -S appgroup && adduser -S appuser -G appgroup
USER appuser
WORKDIR /app
COPY . .
CMD ["node", "index.js"]
5.2 Limitando Recursos de Hardware com Docker Compose
Atacantes que assumem o controle de um container podem tentar executar scripts de mineração de criptomoedas ou iniciar ataques DDoS de saída, consumindo toda a CPU e memória da sua VPS, gerando instabilidade. Sempre defina limites rígidos de recursos no seu arquivo docker-compose.yml:
version: '3.8'
services:
  api-service:
    image: minha-api:latest
    deploy:
      resources:
        limits:
          cpus: '0.50'
          memory: 512M
        reservations:
          memory: 256M
    read_only: true # Torna o sistema de arquivos do container somente leitura
    security_opt:
      - no-new-privileges:true # Impede que processos ganhem mais privilégios via SUID
Parte 6: Escolhendo a Infraestrutura de Servidores Ideal na CoelhoVPS
A eficácia das ferramentas de segurança depende muito da robustez do hardware subjacente e do nível de isolamento oferecido pelo seu provedor de hospedagem. A CoelhoVPS oferece três categorias de serviços sob medida para as necessidades de equipes de Red & Blue Teaming:
  
    
      
Tipo de Servidor
      
Uso Recomendado em Segurança
      
Vantagem Principal
    
  
  
    
      
VPS Performance
      
Hospedagem de aplicações web críticas, firewalls perimetrais, proxies reversos e serviços API de alta carga.
      
Processamento ultra-rápido com CPUs de alta frequência e discos NVMe, permitindo criptografia e inspeção de pacotes sem perda de desempenho.
    
    
      
VPS Storage
      
Centralização de logs de auditoria (auditd, syslog), servidores de backup criptografados, repositórios de relatórios de vulnerabilidade.
      
Excelente relação custo-benefício por gigabyte, permitindo armazenar logs de segurança extensos por meses ou anos sem comprometer o orçamento.
    
    
      
VDS (Servidor Dedicado Virtual)
      
Ambientes de produção corporativos, dashboards SIEM (Wazuh, ELK Stack), e infraestruturas com requisitos rígidos de isolamento regulatório.
      
Recursos de hardware 100% dedicados (sem vizinhos barulhentos ou compartilhamento de CPU), blindagem natural contra ataques que exploram canais laterais de CPU (como Spectre e Meltdown).
    
  
Parte 7: Checklist Definitivo de Hardening para Implementação Imediata
Para ajudá-lo a colocar em prática todas as técnicas discutidas neste guia avançado, compilamos este checklist prático. Execute cada um desses passos em sua nova instância de VPS Performance ou VDS na CoelhoVPS:
  
[ ] Atualização do Sistema: Mantenha o sistema sempre atualizado contra exploits públicos de kernel (sudo apt update && sudo apt upgrade -y).
  
[ ] Chaves SSH: Crie chaves criptográficas SSH baseadas em curvas elípticas (Ed25519) e desative a autenticação tradicional por senhas.
  
[ ] Porta Alternativa: Mova a porta do SSH para um valor alto acima de 1024 (exemplo: 22022) para mitigar 99% dos bots automatizados de varredura de internet.
  
[ ] Firewall Ativo: Desative o iptables legado e instale o nftables com política padrão de rejeição (Default Drop) para conexões de entrada.
  
[ ] Detecção de Intrusões: Instale e configure o Fail2ban para trabalhar em conjunto com o nftables, banindo temporariamente IPs suspeitos de força bruta.
  
[ ] Otimização de Kernel: Ajuste as diretivas do sysctl para bloquear SYN Floods, IP Spoofing e ignorar redirecionamentos maliciosos de ICMP.
  
[ ] Logs de Auditoria: Instale o daemon auditd para rastrear quaisquer acessos a arquivos confidenciais do sistema ou execuções de comandos privilegiados.
  
[ ] Containers Seguros: Verifique se seus serviços Docker não estão rodando como root nativo e limite o uso de recursos de hardware para evitar negação de serviço interna.
  
[ ] Varreduras Periódicas: Programe varreduras automáticas de vulnerabilidade semanais utilizando o Lynis para medir a postura de segurança contínua do seu ambiente.
Conclusão
A segurança de servidores não é um projeto de etapa única, mas sim um ciclo contínuo de avaliação, mitigação e monitoramento. Compreender as táticas e técnicas de segurança ofensiva (Red Team) fornece o conhecimento necessário para estruturar defesas realmente robustas e proativas (Blue Team). Ao aplicar este manual detalhado de hardening, você transforma sua infraestrutura em um ambiente resiliente, capaz de repelir ataques coordenados com facilidade.
A escolha de um parceiro de infraestrutura confiável é o alicerce de toda essa estratégia. Com os servidores da CoelhoVPS, você conta com hardware de ponta, estabilidade de rede excepcional e a flexibilidade necessária para rodar desde pequenas aplicações seguras até grandes clusters distribuídos em servidores VDS altamente isolados. Coloque em prática estas configurações de segurança hoje mesmo e blinde seus sistemas contra as ameaças de amanhã!