Este guia foca nas práticas essenciais para a administração e o uso diário de servidores. A palestra "Controles de Segurança Cibernética", apresentada por Renato Braga do Tribunal de Contas da União (TCU), revelou um dado alarmante: em uma fiscalização massiva, apenas 2% das organizações públicas implementavam todos os controles de segurança essenciais. As práticas listadas abaixo são exemplos diretos desses controles técnicos e administrativos que, embora fundamentais, são frequentemente negligenciados.
A segurança não deve ser vista como um obstáculo. Conforme a discussão na palestra, a falta desses controles básicos é o que leva a prejuízos massivos. Para quantificar esse risco, um estudo da Sophos de 2025 ("The State of Ransomware") revelou que o custo médio de recuperação de um ataque de ransomware é de 1,19 milhões de dólares, sendo no Brasil a mediana de $400 mil dólares.
1. Gestão de Acessos: O Princípio do Menor Privilégio
O palestrante do TCU cita que a segurança se baseia em eixos de medidas técnicas, administrativas e de conscientização. A gestão de acessos é uma das medidas administrativas mais críticas. A regra é simples: cada usuário deve ter apenas as permissões estritamente necessárias para realizar seu trabalho.
Permissões Mínimas: Em um ambiente seguro, o uso de privilégios máximos (como root ou administrador) é uma exceção, não a regra. A criação de usuários com permissões limitadas para tarefas específicas é um controle esperado por qualquer auditoria de segurança.
Restrinja as Responsabilidades: O acesso administrativo ao servidor deve ser concedido ao menor número de pessoas possível. Isso reflete diretamente a preocupação do TCU com a falta de controles, pois reduzir o número de administradores diminui drasticamente o risco de comprometimento.
2. Autenticação Robusta: Sua Principal Linha de Defesa
Esta é uma das medidas técnicas mais eficazes e um ponto básico de verificação de segurança.
Ative o Duplo Fator de Autenticação (MFA/2FA) em Tudo: O MFA é uma barreira fundamental contra o uso de senhas roubadas. Em um cenário onde as senhas são constantemente vazadas, confiar apenas nelas é uma falha de segurança primária, exatamente o tipo de vulnerabilidade que a fiscalização do TCU buscou identificar.
Não Salve Senhas em Locais Inseguros: A prática de salvar senhas em navegadores ou planilhas é um convite ao desastre. O uso de um cofre de senhas é a prática recomendada e alinhada com uma cultura de segurança robusta.
3. Segurança de Rede: Feche as Portas para o Mundo
A auditoria mencionada no vídeo validou a segurança de servidores de e-mail e web, e a lógica se aplica a qualquer serviço. Manter portas de gerenciamento abertas para a internet é um erro elementar.
Use VPN em Vez de Portas Abertas: Como ressaltado na palestra, é preciso testar se as configurações são adequadas. Expor portas como SSH ou RDP para o mundo é, por definição, uma configuração inadequada. A prática correta, a VPN (Virtual Private Network), esconde o servidor da internet pública, tornando-o imune a varreduras e ataques de força bruta automatizados.
Firewall: Ter um firewall ativo e bem configurado (bloqueando tudo, exceto o necessário) é o mínimo esperado. É um dos primeiros itens que uma ferramenta de verificação, como a Top.nic.br recomendada no vídeo, iria analisar.
4. Higiene Digital e de Sessão
Esta prática combina medidas administrativas com a conscientização do usuário, outro eixo citado na apresentação.
Não Deixe Ambientes Logados: Terminou o trabalho? Faça logout. Deixar uma sessão administrativa ativa é uma falha de processo. A segurança depende tanto da tecnologia quanto da disciplina de quem a opera.
5. O poder da prevenção
A auditoria do TCU, mencionada no vídeo, expõe uma falha de mentalidade muito comum na abordagem à cibersegurança: muitas organizações operam em um modelo puramente reativo.
Acredita-se que segurança se resume a ter as melhores ferramentas de detecção, como antivírus de ponta e sistemas de escaneamento de vulnerabilidades. Embora essenciais, essas são ferramentas de reação. Elas são projetadas para agir sobre uma ameaça que já está batendo à porta ou, em muitos casos, que já conseguiu entrar.
A segurança eficaz, no entanto, é proativa. Ela começa muito antes, no planejamento, na arquitetura do ambiente e na implementação de controles que impedem a ameaça de chegar perto.
Fazendo uma analogia direta:
Não adianta ter a fechadura mais cara e tecnológica do mercado se você tem o hábito de deixar a chave na porta. Da mesma forma, não adianta se preocupar com o ladrão quando ele já está dentro da sua casa.