Um olhar atento às ferramentas que já correm no seu servidor: o que mostram, como ler a sua saída e onde costuma haver enganos.
Porque um asterisco numa regra do sudo alcança mais do que parece, como um literal no meio do comando deixa de restringir o que seja e por que se substituem essas regras. Explicado sobre um vetor real através do fail2ban.
LerContador local contra reputação partilhada, porque depois de instalar o CrowdSec nada é bloqueado e o que sai do seu servidor pelo caminho.
LerO que ativar para além do sshd, que valores de bantime e maxretry fazem sentido e porque no Debian 12 a jail sshd muitas vezes não apanha absolutamente nada.
LerChaves em vez de palavras-passe em dez minutos: como testar-se antes de cortar, porque um ficheiro chamado 90-hardening.conf perde para o da nuvem e o que fazer com o ssh.socket no Ubuntu 24.04.
LerRegras prontas em vez do bloqueio de um país: uma prisão para os scanners que procuram painéis de administração alheios, um limite de ritmo, proteção contra o autobloqueio e um bloqueio de sub-rede bem ajustado. Com os comandos de verificação e com aquilo que não se pode cortar para não perder os pagamentos nem a indexação.
LerPorque a configuração padrão do Suricata devora o disco em dois dias, o que deixar no eve.json e como ler os alertas sem uma pilha de três serviços.
LerPorque o CRS bloqueia os seus próprios formulários, como encontrar a regra culpada no registo e três formas de criar uma exceção sem desligar a proteção.
LerUm varrimento de portas não deixa rasto nos registos das aplicações, por isso o Fail2ban não o vê. Como configurar o PSAD e porque não mostra nada sem o registo ativado no UFW.
LerComo ler a saída do ss, o que distingue 0.0.0.0 de 127.0.0.1 e porque o Redis sem palavra-passe num endereço público significa uma intrusão dentro de uma hora.
LerA ordem das regras, o IPv6 a contornar o filtro, o Docker a publicar portas por cima do UFW e porque «status active» ainda não significa que uma porta esteja fechada.
LerUm servidor desvia-se sozinho: os pacotes acumulam-se, um certificado aproxima-se do prazo, uma jail deixa de vigiar o SSH sem dizer nada. Eis o que vale a pena olhar com regularidade, com os comandos — e onde vai dar a lista quando fazê-la à mão começa a cansar.
LerOs perfis limitam um programa ao que lhe compete e transformam um sítio comprometido num incómodo menor. O que está ativo por omissão e como acrescentar um perfil sem partir o serviço.
LerComo ler um relatório do Lynis, que recomendações dão ganho real, quais não se aplicam a um VPS e porque não existe o 100 em 100.
LerComo configurar o unattended-upgrades para que as correções cheguem sozinhas sem partir nada de noite, e porque o indicador reboot-required não se pode ignorar.
LerOs sinais de que há um estranho no servidor e a ordem das verificações: acessos, ficheiros alterados, ligações de saída. Sem pânico e sem reinstalar de raiz.
LerOito sítios de onde o código malicioso volta a arrancar depois de um reinício e depois de ser apagado, e os comandos que verificam a lista toda em cinco minutos.
LerO Falco sabe vigiar o comportamento dos processos num servidor simples: um interpretador iniciado a partir do PHP, alguém a ler as suas chaves, um minerador em /tmp. O que desligar para não se afogar em ruído.
LerDe fábrica o auditd quase não regista nada de útil. Um conjunto de regras que responde às perguntas de depois de um incidente, e como ler o resultado sem saber o ausearch de cor.
LerUma referência de integridade já vem dentro de cada pacote Debian e Ubuntu. Como usá-la, porque alguns achados são legítimos e porque a cobertura é incompleta.
LerConfigurar o controlo de integridade para que o relatório seja lido: o que excluir, onde guardar a base e porque o aide --update nunca se corre às cegas.
LerPara que serve o ClamAV num servidor sem Windows, porque não protege de uma intrusão, quanta memória pede o clamd e como analisar os carregamentos em vez do disco inteiro.
LerPorque um load average de 8 pode ser saudável e um de 2 uma emergência, o que distingue um processador ocupado de um disco pelo qual o sistema espera e o que significa um swap que sobe uma vez e nunca mais desce.
LerA ordem de verificação da base de dados quando tudo abranda: ligações, consultas lentas, tamanho do buffer. Mais duas coisas que devoram o disco em silêncio.
LerCinco razões pelas quais o certbot deixa de renovar um certificado em silêncio, e porque se deve verificar o que o servidor entrega mesmo e não o ficheiro no disco.
LerPorque o df mostra gigabytes livres junto com um erro de «sem espaço», para onde vão os ficheiros apagados mas não libertados e que atributos SMART anunciam mesmo uma avaria.
LerEm que as verificações do Monit diferem do Restart=always no systemd, como evitar um ciclo interminável de reinícios e porque a interface web na porta 2812 não deve estar exposta.
LerComo afinar o nível de detalhe para a mensagem caber num ecrã, que secções ler primeiro e porque no Debian 12 a secção do SSH sai vazia.
LerNada encontrado