Como fazer hardening: passo a passo para provedores

O que é hardening e por que começar pela borda?

Hardening é o processo de endurecer um equipamento: desligar o que não é usado e limitar quem alcança o que fica ligado. No provedor, a borda vem primeiro porque é o único roteador que toda a internet enxerga.

A palavra vem do inglês e quer dizer endurecimento. O termo nasceu na administração de servidores e hoje vale para qualquer coisa que tenha sistema operacional, inclusive roteador, switch, OLT e servidor de autenticação. A ideia é a mesma em todos: cada serviço ligado é uma porta, e cada porta aberta precisa de motivo para existir.

Um roteador novo vem pensado para funcionar no primeiro minuto, não para resistir a ataque. Por isso o trabalho de hardening de roteadores não é instalar nada novo, e sim revisar o que já está ali e decidir, item por item, o que fica, o que sai e o que passa a aceitar só a rede certa.

O que o roteador de provedor deixa exposto

Antes de mexer, vale saber o que um atacante enxerga. A tabela mostra os pontos mais comuns e quem consegue alcançar cada um quando nada foi feito.

Repare que quase nenhum desses pontos exige falha de software para ser explorado. A maioria é configuração de fábrica que ninguém revisou, e é justamente isso que o hardening corrige.

O que hardening não é

Hardening não substitui a proteção contra DDoS, porque não impede que um ataque lote o link. Ele impede que o roteador seja invadido, derrubado por tráfego dirigido a ele ou usado como arma contra outras redes.

Também não é um projeto feito uma vez e esquecido. Cada atualização de software, cada operadora nova e cada técnico que entra ou sai muda a configuração, e o endurecimento precisa acompanhar.

O que preparar antes de mudar a primeira linha

A preparação decide se o hardening termina em uma janela tranquila ou numa viagem ao POP. Quatro coisas precisam existir antes do primeiro comando: inventário, cópia da configuração, retrato de fora e acesso de emergência.

Como fazer hardening exige, antes de qualquer regra, saber voltar atrás. Por isso a cópia da configuração e o acesso de emergência vêm antes do inventário de portas, e não depois.

O retrato de fora é a parte que mais se pula. É uma varredura das portas do roteador feita de uma rede externa, antes de qualquer mudança, e serve de comparação no fim; sem ele, ninguém consegue provar o que mudou.

De onde a equipe vai administrar depois

Restringir a gerência pede uma resposta prévia: de quais endereços a equipe entra. Sem uma rede de gerência isolada ou uma VPN, o filtro acaba aceitando uma lista de IPs de casa e de celular que muda toda semana.

Quando essa rede ainda não existe, o caminho usual é criar a VPN de administração primeiro, testar o acesso por ela e só depois fechar a gerência para o resto do mundo.

Como fazer hardening passo a passo no roteador

O passo a passo segue do que tem menos risco para o que tem mais risco, com conferência entre um passo e outro. Os filtros que podem derrubar sessão ficam para o fim, quando todo o resto já está estável.

1. Contas: crie um usuário por pessoa, apague ou desative a conta padrão e troque toda senha que circulou em grupo de mensagem.
2. Serviços: desligue Telnet, FTP, HTTP sem cifra e qualquer API que ninguém usa; mantenha só SSH e o que tem dono.
3. Gerência: limite SSH, web e ferramentas do fabricante à rede de gerência ou à VPN, em IPv4 e em IPv6.
4. Serviços de rede: feche DNS recursivo, NTP e SNMP para a internet e troque a comunidade SNMP padrão.
5. Registro: aponte os logs para um servidor central, acerte o relógio por NTP e ligue o registro de comandos.
6. Plano de controle: aplique o filtro de entrada da CPU com a lista de vizinhos BGP já conferida e limite de taxa por protocolo.
7. Antispoofing: descarte na borda pacotes que saem com origem fora dos seus blocos.
8. Conferência: repita a varredura externa e compare com o retrato de antes, porta por porta.

Cada fabricante oferece uma forma de desfazer sozinho uma mudança que cortou o acesso. No Junos é o commit confirmed; no Cisco IOS, o agendamento de reinício; no RouterOS, o Safe Mode, que desfaz tudo se a sessão cair. Use sempre, mesmo em mudança que parece inofensiva. Para RouterOS, o guia de como proteger MikroTik traz os comandos de cada passo.

# Junos: aplica e desfaz sozinho em 10 minutos se não houver novo commit
configure
commit confirmed 10
commit

# Cisco IOS: agenda reinício (volta à configuração salva) e cancela se tudo ficou bem
reload in 10
reload cancel

# Conferência de fora, a partir de uma rede externa ao provedor
nmap -Pn -sS -p 21,22,23,80,443,8291,8728 203.0.113.1
nmap -Pn -sU -p 53,123,161,1900 203.0.113.1
nmap -6 -Pn -sS -p 22,23,80,443,8291 2001:db8::1

Por que o filtro da CPU fica por último

O filtro do plano de controle é a mudança com maior chance de derrubar algo, porque descarta tudo o que não estiver na lista. Se um vizinho BGP, o servidor de monitoramento ou o NTP faltar, aquela função para na hora.

Deixando esse filtro para o fim, a equipe já tem logs centralizados e relógio certo para enxergar o que foi descartado. O guia sobre roteador de borda com CPU em 100% mostra por que essa proteção faz falta quando o tráfego mira o próprio roteador.

Senha individual ou autenticação central?

Usuário por pessoa já resolve o rastro, mas obriga a criar e apagar contas em cada roteador. Com muitos equipamentos, a autenticação central por TACACS+ faz isso num ponto só e ainda registra cada comando.

O guia de implantação de TACACS+ mostra como montar esse servidor sem trancar a equipe fora se ele cair, mantendo uma conta local de emergência.

Na prática: hardening de uma borda com dois trânsitos

Um caso típico mostra como a ordem evita sustos. O provedor tem um roteador de borda, duas operadoras de trânsito e gerência feita por IP público.

1. Retrato: a varredura externa encontra SSH, web e a porta da ferramenta do fabricante abertos, mais DNS e NTP respondendo a qualquer IP.
2. Acesso: antes de tudo, a equipe sobe uma VPN de administração e confirma que entra no roteador por ela e pelo console.
3. Primeira janela: contas individuais, serviços desligados, gerência limitada à VPN, DNS e NTP fechados para fora e logs centrais.
4. Segunda janela: filtro de CPU com os dois vizinhos BGP, o NTP e o monitoramento na lista, aplicado com desfazer automático.
5. Fechamento: nova varredura mostra só o BGP aceito dos vizinhos e nenhuma porta de gerência visível de fora.

Dividir em duas janelas foi o que deixou o caso sem susto. Se o filtro de CPU derrubasse uma sessão, a equipe saberia que a causa era ele, e não uma das dez mudanças da primeira noite.

O detalhe que quase passou

Na segunda varredura, a porta de gerência ainda respondia pelo endereço IPv6 do roteador. O filtro tinha sido escrito só para IPv4, e a borda recebia IPv6 das duas operadoras.

O ajuste levou poucos minutos, mas só apareceu porque a conferência foi feita de fora e nos dois protocolos. Sem ela, o relatório diria que tudo estava fechado.

Erros comuns que fazem o hardening derrubar a rede

Quase todo hardening que deu errado caiu num destes erros. Nenhum é falta de conhecimento técnico; são falhas de ordem e de conferência.

O erro do checklist copiado merece atenção. Guias públicos são um ponto de partida, mas um comando que existe numa versão pode ter outro nome ou outro comportamento na seguinte, e um roteador de provedor tem funções que nenhum guia genérico conhece.

Quando já houve invasão

Se a configuração mudou sozinha ou apareceu usuário estranho, o hardening vem depois da investigação, não antes. Fechar portas sem descobrir como o invasor entrou pode deixar uma porta dos fundos ativa.

O guia sobre o que fazer com o provedor invadido mostra a ordem certa: guardar as provas, conter e só então endurecer a rede.

Como saber se o hardening continua valendo?

O hardening se desfaz aos poucos, a cada mudança feita com pressa durante uma queda. Uma conferência periódica, comparando a configuração e a varredura com o estado aprovado, mostra o que voltou a abrir.

A forma mais simples é guardar a configuração aprovada e comparar com a atual em cada cópia automática. O backup de configurações de rede já faz essa comparação quando bem montado, e qualquer serviço religado aparece como diferença.

• Varredura externa: repetida em intervalo fixo e depois de cada mudança grande na borda.
• Avisos de abuso: mensagens de outras redes sobre DNS ou NTP aberto indicam que algo voltou a responder.
• Versão do sistema: conferida contra os boletins do fabricante, para atualizar quando sair falha explorada.
• Contas: revisadas quando alguém entra ou sai da equipe, sem exceção.

Quando vale chamar um Especialista?

Vale quando a rede tem várias marcas, quando a borda não tem redundância e só pode ser mexida de madrugada, ou quando ninguém da equipe tem segurança para escrever o filtro de CPU. Também vale depois de qualquer suspeita de acesso indevido.

A Táquion Tech faz o hardening de forma remota, um roteador por vez, com acesso de emergência testado antes de cada bloqueio e checklist preenchido no fim. Para quem quer fazer em casa, este passo a passo é o roteiro de conferência.

Perguntas frequentes

Thiago Manoel

Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]

Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.

A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.

Conheça a equipe da Táquion Tech