awesome-security-hardening

Uma coleção de guias incríveis de hardening de segurança, melhores práticas, listas de verificação, benchmarks, ferramentas e outros recursos. Este é um trabalho em andamento: por favor, contribua enviando suas sugestões. Você pode fazer isso criando tickets de issue ou fazendo fork, editando e enviando pull requests. Você também pode enviar sugestões no Twitter para @decalage2, ou usar https://www.decalage.info/contact

---

Sumário

• Guias de Hardening de Segurança e Melhores Práticas
  • Coleções de Guias de Hardening
  • GNU/Linux
    • Red Hat Enterprise Linux - RHEL
    • CentOS
    • SUSE
    • Ubuntu
  • Windows
  • macOS
  • Dispositivos de Rede
    • Switches
    • Roteadores
    • IPv6
    • Firewalls
  • Virtualização - VMware
  • Contêineres - Docker - Kubernetes
  • Serviços
    • SSH
    • TLS/SSL
    • Servidores Web
      • Apache HTTP Server
      • Apache Tomcat
      • Eclipse Jetty
      • Microsoft IIS
    • Servidores de E-mail
    • Servidores FTP
    • Servidores de Banco de Dados
    • Active Directory
    • ADFS
    • Kerberos
    • LDAP
    • DNS
    • NTP
    • NFS
    • CUPS
  • Autenticação - Senhas
  • Hardware - CPU - BIOS - UEFI
  • Cloud
• Ferramentas
  • Ferramentas para verificar hardening de segurança
    • GNU/Linux
    • Windows
    • Dispositivos de Rede
    • TLS/SSL
    • SSH
    • Hardware - CPU - BIOS - UEFI
    • Docker
    • Cloud
    • DNS
  • Ferramentas para aplicar hardening de segurança
    • GNU/Linux
    • Windows
    • TLS/SSL
    • Cloud
  • Geradores de Senhas
• Livros
• Outras Listas Awesome
  • Outras Listas de Segurança Awesome

---

Guias de Hardening de Segurança e Melhores Práticas

Coleções de Guias de Hardening

• CIS Benchmarks (registro necessário)
• ANSSI Guides
• Recomendações e Orientações de Segurança Cibernética da NSA
• Recursos de Segurança Cibernética da NSA para Profissionais de Segurança Cibernética e publicações de Segurança Cibernética da NSA
• Guias de Implementação Técnica de Segurança (STIGs) e Guias de Requisitos de Segurança (SRGs) do US DoD DISA
• Políticas de Segurança OpenSCAP
• Publicações do Australian Cyber Security Center
• Harden the World - uma coleção de diretrizes de hardening para dispositivos, aplicativos e SOs (principalmente Apple por enquanto).

GNU/Linux

• ANSSI - Recomendações de configuração de um sistema GNU/Linux - versão 2.0, 2022
• CIS Benchmark para Linux Independente de Distribuição - 2019, arquivado
• trimstray - The Practical Linux Hardening Guide - instruções práticas passo a passo para construir seus próprios sistemas e serviços endurecidos. Testado no CentOS 7 e RHEL 7.
• trimstray - Linux Hardening Checklist - as regras de hardening mais importantes para sistemas GNU/Linux (versão resumida do The Practical Linux Hardening Guide)
• How To Secure A Linux Server - para um único servidor Linux em casa
• nixCraft - 40 dicas de segurança para hardening de servidores Linux (edição 2019)
• nixCraft - Dicas para proteger o acesso ao console físico de servidores Linux
• TecMint - 4 maneiras de desabilitar a conta root no Linux
• ERNW - Guia de Hardening IPv6 para Servidores Linux
• trimstray - Iptables Essentials: Common Firewall Rules and Commands
• Neo23x0/auditd - Configuração de Melhores Práticas do Auditd
• CIRCL TR-83 - Linux Boot Hardening HOWTO - Como proteger a sequência de inicialização da sua distribuição baseada em Linux (2024)

Red Hat Enterprise Linux - RHEL

• Red Hat - Um Guia para Proteger o Red Hat Enterprise Linux 7
• DISA STIGs - Red Hat Enterprise Linux 7 (2019)
• CIS Benchmark para Red Hat Linux
• nixCraft - Como configurar um firewall usando FirewallD no RHEL 8

CentOS

• Lisenet - Guia de Hardening para Servidores CentOS 7 (2017)
• HighOn.Coffee - Hardening de Segurança do CentOS 7 (2015)

SUSE

• Guia de Segurança do SUSE Linux Enterprise Server 12 SP4
• Guia de Segurança e Hardening do SUSE Linux Enterprise Server 12

Ubuntu

• Documentação do Ubuntu - Segurança
• Wiki do Ubuntu - Recursos de Hardening de Segurança

Windows

• Microsoft - Linhas de base de segurança do Windows
• Microsoft - Segurança do Windows Server | Assurance
• Microsoft - Segurança do Windows 10 Enterprise
• BSI/ERNW - Recomendações de Configuração para Hardening do Windows 10 Usando Funcionalidades Integradas (2021) - focado no Windows 10 LTSC 2019
• ACSC - Hardening de Estações de Trabalho Microsoft Windows 10, versão 21H1
• ACSC - Protegendo o PowerShell na Empresa
• Awesome Windows Domain Hardening
• Microsoft - Como detectar, habilitar e desabilitar SMBv1, SMBv2 e SMBv3 no Windows e no Windows Server
• Regras de bloqueio recomendadas pela Microsoft - Lista de aplicativos ou arquivos que podem ser usados por um invasor para contornar políticas de lista de permissões de aplicativos
• ERNW - Guia de Hardening IPv6 para Servidores Windows
• NSA - Orientações sobre AppLocker - Orientações de configuração para implementar lista de permissões de aplicativos com o AppLocker
• NSA - Orientações sobre Pass the Hash - Orientações de configuração para implementar mitigações de Pass-the-Hash (Arquivado)
• NSA - Orientações sobre BitLocker - Orientações de configuração para implementar criptografia de disco com o BitLocker

Consulte também Active Directory e ADFS abaixo.

macOS

• ERNW - Guia de Hardening IPv6 para OS-X

Dispositivos de Rede

• NSA - Hardening de Dispositivos de Rede (PDF) - resumo muito curto, porém bom

Switches

• DISA - SRG para Switch de Camada 2 v2r1

Roteadores

• NSA - Um Guia para Melhores Práticas do Border Gateway Protocol (BGP)

IPv6

• NSA - Orientações de Segurança IPv6 (janeiro de 2023)
• ERNW - Desenvolvendo uma Estratégia de Segurança IPv6 Empresarial Parte 1, Parte 2, Parte 3, Parte 4 - Isolamento de Rede na Camada de Roteamento, Filtragem de Tráfego em Redes IPv6
• veja também links sobre IPv6 nas seções GNU/Linux, Windows e macOS

Firewalls

• NIST SP 800-41 Rev 1 - Diretrizes sobre Firewalls e Política de Firewall (2009)
• trimstray - Iptables Essentials: Common Firewall Rules and Commands

Virtualização - VMware

• Guias de Hardening de Segurança da VMware - cobre a maioria dos produtos e versões da VMware
• CIS Benchmark VMware ESXi 6.5 (2018)
• DISA STIGs - Virtualização - VMware vSphere 6.0 e 5
• ENISA - Aspectos de segurança da virtualização - melhores práticas genéricas e de alto nível para virtualização e contêineres (fev. 2017)
• NIST SP 800-125 - Guia de Segurança para Tecnologias de Virtualização Completa - (2011)
• NIST SP 800-125A Revisão 1 - Recomendações de Segurança para Plataformas de Hypervisor Baseadas em Servidor (2018)
• NIST SP 800-125B Configuração Segura de Rede Virtual para Proteção de Máquinas Virtuais (VM) (2016)
• ANSSI - Recommandations de sécurité pour les architectures basées sur VMware vSphere ESXi - para VMware 5.5 (2016), em francês
• ANSSI - Protegendo uma infraestrutura VMware (2026)
• VMware - Protegendo o vSphere contra Malware Especializado (2022) - veja também Mandiant - Bad VIB(E)s Parte Dois: Detecção e Hardening em Hypervisors ESXi

Contêineres - Docker - Kubernetes

• Como Endurecer Seus Contêineres Docker
• CIS Docker Benchmarks - registro necessário
• NIST SP 800-190 - Guia de Segurança para Contêineres de Aplicações
• Uma Introdução Prática à Segurança de Contêineres
• ANSSI - Recommandations de sécurité relatives au déploiement de conteneurs Docker (2020), em francês
• Lista de Verificação de Segurança do Kubernetes
• Boas Práticas de Controle de Acesso Baseado em Funções do Kubernetes
• Multilocação do Kubernetes
• Blog do Kubernetes - Uma Análise Detalhada das Orientações de Hardening do Kubernetes da NSA/CISA
• ReynardSec - Segurança do Docker – Hardening Passo a Passo (Docker Hardening) (2023)

Serviços

SSH

• NIST IR 7966 - Segurança do Gerenciamento de Acesso Interativo e Automatizado usando Secure Shell (SSH)
• ANSSI - Recomendações para uso seguro do (Open)SSH
• Linux Audit - Segurança e hardening do OpenSSH
• Guias de Hardening SSH da Positron Security (2017-2018) - focados em algoritmos de criptografia
• stribika - Secure Secure Shell (2015) - algumas recomendações de algoritmos podem estar levemente desatualizadas
• Applied Crypto Hardening: bettercrypto.org - referência útil sobre como configurar as configurações de criptografia dos serviços mais comuns (TLS/SSL, PGP, SSH e outras ferramentas criptográficas)
• IETF - Atualizações e Recomendações para Métodos de Troca de Chaves (KEX) no Secure Shell (SSH) draft-ietf-curdle-ssh-kex-sha2-10 - atualização do conjunto recomendado de métodos de troca de chaves para uso no protocolo Secure Shell (SSH) para atender às necessidades crescentes de segurança mais forte. Este documento atualiza a RFC 4250.
• Gravitational - How to SSH Properly - como configurar o SSH para usar certificados e autenticação de dois fatores

TLS/SSL

• NIST SP800-52 Rev 2 (2º rascunho) - Diretrizes para a Seleção, Configuração e Uso de Implementações de Transport Layer Security (TLS) - 2018, recomenda TLS 1.3
• Netherlands NCSC - Diretrizes de Segurança de TI para Transport Layer Security (TLS) - 2021
• ANSSI - Recomendações de Segurança para TLS - 2017, não cobre TLS 1.3
• Qualys SSL Labs - Melhores Práticas de Implantação de SSL e TLS - 2017, não cobre TLS 1.3
• RFC 7540 Apêndice A Lista Negra de Cipher Suites TLS 1.2
• Applied Crypto Hardening: bettercrypto.org - referência útil sobre como configurar as configurações de criptografia dos serviços mais comuns (TLS/SSL, PGP, SSH e outras ferramentas criptográficas)

Servidores Web

• Cipherlist.eu - Cifras Fortes para Apache, nginx e Lighttpd

Apache HTTP Server

• Documentação do Apache HTTP Server - Dicas de Segurança
• GeekFlare - Guia de Hardening e Segurança do Apache Web Server
• Apache Config - Guia de Hardening de Segurança do Apache

Apache Tomcat

• Considerações de Segurança do Apache Tomcat 9 / v8 / v7
• OWASP Protegendo o Tomcat
• Como fazer o Tomcat 9 funcionar com authbind para vincular à porta 80

Eclipse Jetty

• Eclipse Jetty - Configurando Segurança
• Hardening do Jetty (2015)

Microsoft IIS

• CIS Benchmarks Microsoft IIS

Servidores de E-mail

• MDaemon - 15 Melhores Práticas para Proteger seu E-mail - Recomendações genéricas, mas baseadas no MDaemon Security Gateway para Servidores de E-mail

Servidores FTP

• JSCAPE - Guia para proteger FTP - Recomendações genéricas, mas baseadas no JSCAPE MFT Server

Servidores de Banco de Dados

• Netwrix - Melhores Práticas de Hardening do MS SQL Server

Active Directory- Microsoft - Melhores práticas para proteger o Active Directory

• ANSSI CERT-FR - Lista de verificação de avaliação de segurança do Active Directory - outra versão com changelog - 2022 (versões em inglês e francês)
• "Admin Free" Active Directory e Windows, Parte 1 – Compreendendo grupos privilegiados no AD
• "Admin Free" Active Directory e Windows, Parte 2 – Contas e grupos protegidos no Active Directory
• ASD - Detectando e mitigando comprometimentos do Active Directory - 2024

ADFS

• adsecurity.org - Protegendo o Microsoft Active Directory Federation Server (ADFS)
• Microsoft - Melhores práticas para proteger os Serviços de Federação do Active Directory

Kerberos

• CIS MIT Kerberos 1.10 Benchmark - 2012

LDAP

• Guia do Administrador do OpenLDAP Software 2.4 - Considerações de segurança do OpenLDAP
• Melhores práticas em segurança LDAP (2011)
• LDAP: Fortalecendo a segurança do servidor (para que administradores possam dormir à noite)
• Melhores práticas de autenticação LDAP - recuperado de web.archive.org
• Fortalecendo o OpenLDAP no Linux com AppArmor e systemd - slides
• zytrax LDAP para Rocket Scientists - Segurança LDAP
• Como criptografar conexões OpenLDAP usando STARTTLS

DNS

• CIS - Benchmark do Servidor DNS BIND 9.9 (2017)
• DISA STIGs - BIND 9.x (2019)
• NIST SP 800-81-2 - Guia de implantação do Sistema de Nomes de Domínio (DNS) seguro (2013)
• CMU SEI - Seis melhores práticas para proteger uma infraestrutura robusta de Sistema de Nomes de Domínio (DNS)
• NSA BIND 9 DNS Security (2011)

NTP

• IETF - Melhores práticas atuais do Network Time Protocol draft-ietf-ntp-bcp (último rascunho #13 em março de 2019)
• CMU SEI - Melhores práticas para serviços NTP
• Linux.com - Chegue na hora com NTP -- Parte 2: Opções de segurança
• Linux.com - Chegue na hora com NTP -- Parte 3: Configuração segura

NFS

• Linux NFS-HOWTO - Segurança e NFS - uma boa visão geral dos problemas de segurança do NFS e algumas mitigações
• Red Hat - Um guia para proteger o Red Hat Enterprise Linux 7 - Protegendo o NFS
• Red Hat - Guia de administração de armazenamento do RHEL7 - Protegendo o NFS
• NFSv4 sem Kerberos e permissões - por que o NFSv4 sem Kerberos não oferece segurança
• CertDepot - RHEL7: Use Kerberos para controlar o acesso a compartilhamentos de rede NFS

CUPS

• Segurança do servidor CUPS

Autenticação - Senhas

• UK NCSC - Administração de senhas para proprietários de sistemas
• NIST SP 800-63 Diretrizes de Identidade Digital
• Folha de dicas de armazenamento de senhas da OWASP
• ANSSI - Recomendações sobre autenticação multifator e senhas (2021, francês)

Hardware - CPU - BIOS - UEFI

• ANSSI - Requisitos de segurança de hardware para plataformas x86 - recomendações para recursos de segurança e opções de configuração aplicáveis a dispositivos de hardware (CPU, BIOS, UEFI, etc.) (novembro de 2019)
• NSA - Orientação de segurança de hardware e firmware - Orientação para as vulnerabilidades Spectre, Meltdown, Speculative Store Bypass, Rogue System Register Read, Lazy FP State Restore, Bounds Check Bypass Store, TLBleed e L1TF/Foreshadow, bem como orientação geral de segurança de hardware e firmware.
• Ficha informativa da NSA: Orientação rápida para bloqueio de UEFI (março de 2018)
• Relatório técnico da NSA: Orientação de práticas defensivas de UEFI (julho de 2017)

Cloud

• Ficha informativa da NSA: Fundamentos de segurança em nuvem (agosto de 2018)
• DISA DoD - Segurança de computação em nuvem
• asecure.cloud - Construa uma nuvem segura - Um repositório gratuito de configurações de segurança da AWS personalizáveis e melhores práticas

Ferramentas

Ferramentas para verificar o hardening de segurança

• Chef InSpec - framework de testes de código aberto da Chef que permite especificar requisitos de conformidade, segurança e outras políticas. Pode ser executado no Windows e em muitas distribuições Linux.

GNU/Linux

• Lynis - script para verificar a configuração de hosts Linux
• OpenSCAP Base - ferramenta de linha de comando oscap
• SCAP Workbench - interface gráfica (GUI) para oscap
• Tiger - A ferramenta de auditoria de segurança e detecção de intrusão do Unix (pode estar desatualizada)
• otseca - Ferramenta de auditoria de segurança de código aberto para pesquisar e despejar a configuração do sistema. Permite gerar relatórios em formatos HTML ou RAW-HTML.
• SUDO_KILLER - Ferramenta para identificar configurações incorretas de regras do sudo e vulnerabilidades no sudo
• CIS Benchmarks Audit - script bash que executa testes no seu sistema CentOS para indicar se o servidor em execução está em conformidade com os Benchmarks CIS v2.2.0 para CentOS (apenas CentOS 7 por enquanto)
• CIS Debian Hardening - Scripts modulares de hardening de segurança para Debian 11/12/13 baseados nas recomendações do CIS Benchmarks.
• VPS Security Audit Script - Um script Bash abrangente para auditar a segurança e o desempenho do seu VPS (Servidor Virtual Privado)

Windows

• Microsoft Security Compliance Toolkit 1.0 - conjunto de ferramentas que permite aos administradores de segurança empresarial baixar, analisar, testar, editar e armazenar as linhas de base de configuração de segurança recomendadas pela Microsoft para Windows e outros produtos Microsoft
• Microsoft DSC Environment Analyzer (DSCEA) - implementação simples do PowerShell Desired State Configuration que usa a natureza declarativa do DSC para verificar sistemas baseados no Windows em um ambiente em relação a um arquivo MOF de referência definido e gerar relatórios de conformidade sobre se os sistemas correspondem à configuração desejada
• HardeningAuditor - Scripts para comparar a conformidade do Microsoft Windows com os guias de hardening australianos ASD 1709 e Office 2016
• PingCastle - Ferramenta para verificar a segurança do Active Directory
• MDE-AuditCheck - Ferramenta para verificar se as configurações de auditoria do Windows estão configuradas corretamente no GPO para o Microsoft Defender for Endpoint

Dispositivos de Rede

• Nipper-ng - para verificar a configuração de dispositivos de rede (parece não estar atualizado)

TLS/SSL

• Qualys SSL Labs - Lista de ferramentas para avaliar servidores e clientes TLS/SSL
• CryptoLyzer - Analisador rápido, flexível e abrangente de protocolos criptográficos de servidor (TLS, SSL, SSH, DNSSEC) e configurações relacionadas (cabeçalhos HTTP, registros DNS) e gerador de impressões digitais (JA3, tag HASSH) com API Python e CLI.
• SSLyze - Biblioteca de varredura SSL/TLS rápida e poderosa.
• testssl.sh - Testa a criptografia TLS/SSL em qualquer lugar e em qualquer porta

SSH

• CryptoLyzer - Analisador rápido, flexível e abrangente de protocolos criptográficos de servidor (TLS, SSL, SSH, DNSSEC) e configurações relacionadas (cabeçalhos HTTP, registros DNS) e gerador de impressões digitais (JA3, tag HASSH) com API Python e CLI.
• ssh-audit - Auditoria de servidores SSH (banner, troca de chaves, criptografia, mac, compactação, compatibilidade, segurança, etc.)

Hardware - CPU - BIOS - UEFI

• CHIPSEC: Estrutura de avaliação de segurança de plataformas - estrutura para analisar a segurança de plataformas de PC, incluindo hardware, firmware do sistema (BIOS/UEFI) e componentes da plataforma
• chipsec-check - Ferramentas para gerar uma distribuição Debian Linux com chipsec para testar requisitos de hardware

Docker

• Docker Bench for Security - script que verifica dezenas de boas práticas comuns em relação à implantação de contêineres Docker em produção, inspirado no CIS Docker Community Edition Benchmark v1.1.0.

Cloud

• toniblyx/my-arsenal-of-aws-security-tools - Lista de ferramentas de código aberto para segurança na AWS: defensivas, ofensivas, auditoria, DFIR, etc.

DNS

• IntoDNS.ai - Scanner gratuito de segurança de DNS e e-mail. Verifica a configuração de SPF, DKIM, DMARC, DNSSEC, BIMI, MTA-STS e fornece sugestões de correção com inteligência artificial.

Ferramentas para aplicar hardening de segurança

• DevSec Hardening Framework - estrutura para automatizar o hardening de sistemas operacionais e aplicativos, usando Chef, Ansible e Puppet

GNU/Linux

• Linux Server Hardener - para Debian/Ubuntu (2019)
• Bastille Linux - desatualizado

Windows

• Microsoft Security Compliance Toolkit 1.0 - conjunto de ferramentas que permite aos administradores de segurança empresarial baixar, analisar, testar, editar e armazenar as linhas de base de configuração de segurança recomendadas pela Microsoft para Windows e outros produtos Microsoft
• Hardentools - para usuários individuais do Windows (não ambientes corporativos) em risco, que possam querer um nível extra de segurança ao custo de alguma usabilidade.
• Windows 10 Hardening - Um recurso coletivo de modificações de configurações (principalmente opt-outs) que tentam tornar o Windows 10 o mais privado e seguro possível.
• Disassembler0 Windows 10 Initial Setup Script - Script PowerShell para automação de tarefas rotineiras realizadas após instalações limpas do Windows 10 / Server 2016 / Server 2019
• Automated-AD-Setup - Um script PowerShell que visa construir um domínio totalmente configurado em menos de 10 minutos, mas também aplicar configuração de segurança e hardening
• mackwage/windows_hardening.cmd - Script para realizar algum hardening do Windows 10
• Script de hardening para Windows 10/11 por ZephrFish - Script PowerShell para fortalecer o Windows 10/11

TLS/SSL

• Gerador de configuração SSL da Mozilla

Cloud

• toniblyx/my-arsenal-of-aws-security-tools - Lista de ferramentas de código aberto para segurança na AWS: defensivas, ofensivas, auditoria, DFIR, etc.

Geradores de senhas

• How-To Geek - 10 maneiras de gerar uma senha aleatória na linha de comando do Linux
• Vitux - 8 maneiras de gerar uma senha aleatória no shell Linux
• SS64 - Segurança de senhas e uma comparação de geradores de senhas

Livros

Outras listas Awesome

• Awesome Cybersecurity Blue Team - Uma coleção selecionada de recursos, ferramentas e outras coisas brilhantes para blue teams de cibersegurança.

Outras listas Awesome de segurança

(emprestado de Awesome Security)

• Awesome Security - Uma coleção de softwares, bibliotecas, documentos, livros, recursos e coisas legais sobre segurança.
• Android Security Awesome - Uma coleção de recursos relacionados à segurança Android.
• Awesome CTF - Uma lista selecionada de frameworks, bibliotecas, recursos e softwares de CTF.
• Awesome Cyber Skills - Uma lista selecionada de ambientes de hacking onde você pode treinar suas habilidades cibernéticas de forma legal e segura.
• Awesome Hacking - Uma lista selecionada de incríveis tutoriais, ferramentas e recursos de hacking.
• Awesome Honeypots - Uma lista incrível de recursos de honeypots.
• Awesome Malware Analysis - Uma lista selecionada de incríveis ferramentas e recursos de análise de malware.
• Awesome PCAP Tools - Uma coleção de ferramentas desenvolvidas por outros pesquisadores da área de Ciência da Computação para processar rastros de rede.
• Awesome Pentest - Uma coleção de incríveis recursos, ferramentas e outras coisas brilhantes de teste de penetração.
• Awesome Linux Containers - Uma lista selecionada de incríveis frameworks, bibliotecas e softwares de contêineres Linux.
• Awesome Incident Response - Uma lista selecionada de recursos para resposta a incidentes.
• Awesome Web Hacking - Esta lista é para qualquer pessoa que deseje aprender sobre segurança de aplicações web, mas não tenha um ponto de partida.
• Awesome Threat Intelligence - Uma lista selecionada de recursos de inteligência de ameaças.
• Awesome Pentest Cheat Sheets - Coleção de folhas de dicas úteis para pentest