Protegendo um VPS novo: o checklist que de fato importa

Os primeiros dez minutos numa máquina nova silenciosamente decidem muita coisa. Um IP público novo começa a ser sondado por bots automatizados quase imediatamente — eles não estão mirando você, só escaneiam tudo. Não faça nada e você está contando com a sorte. Faça quatro ou cinco coisinhas e você fechou as portas que de fato são arrombadas. Eis a lista, em ordem de prioridade, com os comandos.

1. Chaves SSH, e mate o login por senha

Esta é a que mais importa. Se você pode entrar com uma senha, um bot que a adivinha também pode — e eles tentam milhares por minuto.

Do seu notebook, se você ainda não tem uma chave:

ssh-keygen -t ed25519 -C "you@laptop"
ssh-copy-id root@seu-ip-servidor

Depois no servidor, desligue as senhas:

# /etc/ssh/sshd_config.d/99-hardening.conf
PasswordAuthentication no
PermitRootLogin prohibit-password

sudo systemctl reload ssh

⚠️ Teste uma segunda sessão SSH antes de fechar a primeira — se o login por chave funciona, ótimo; se não, você ainda tem a sessão aberta para consertar. Se trancar para fora é o gol contra clássico aqui.

2. Um firewall — negar por padrão

Só exponha o que você pretende. No Ubuntu/Debian:

sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH        # ou sua porta SSH
sudo ufw enable

Agora um serviço perdido não pode ser alcançado de fora a menos que você o abra. Isso pega a coisa que você inevitavelmente vai esquecer.

Uma nota para planos no estilo NAT: seu SSH cai numa porta encaminhada, não na 22, e você não pode abrir portas de entrada arbitrárias — o isolamento faz parte desse trabalho por você. Num plano com IP dedicado você é dono de todas as portas, então o firewall faz mais trabalho.

3. Atualizações de segurança automáticas

A maioria dos servidores que são invadidos não eram alvos espertos — estavam rodando um bug conhecido que um patch já tinha corrigido, numa máquina que ninguém atualizou. Torne o patching automático:

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

Definir-e-esquecer. Este é o hábito de maior valor depois das chaves SSH.

4. fail2ban (opcional, mas barato)

Com o login por senha já desligado, a força bruta não pode vencer — então isto é sobre reduzir ruído e banir IPs abusivos cedo, e não proteção central:

sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban

Vale pelos logs mais quietos; pule sem culpa se você está mantendo as coisas mínimas.

O que você pode pular

• Mudar a porta do SSH — corta o ruído de bots, não detém nenhum atacante de verdade. Cosmético. Não confunda com segurança.
• Ajustes elaborados de IDS/SELinux — exagero para uma máquina de propósito único rodando um bot ou um agente. Retornos decrescentes.

O resumo honesto

Se você só faz uma coisa, faça chaves SSH + sem login por senha. Adicione o firewall e as atualizações automáticas e você cuidou da esmagadora maioria do risco do mundo real em bem menos de dez minutos. Tudo além disso é polimento.

Rodando um agente ou bot sempre ligado na máquina? Combine isto com mantê-lo vivo sob systemd para que ele sobreviva a reboots e quedas, não só a atacantes.