Hardening

Por que hardening pesa mais depois da nuvem

Configurações padrão de serviços de nuvem são desenhadas para facilitar a adoção, não para maximizar segurança. Um bucket, um banco gerenciado ou um cluster recém-criado nasce permissivo por conveniência, e a responsabilidade de fechar é do cliente - é isso que o modelo de responsabilidade compartilhada quer dizer na prática. Ao mesmo tempo, a velocidade de provisionamento multiplicou a quantidade de ambientes que precisam estar em conformidade com um baseline. Fazer isso por inspeção manual não escala; a saída é hardening declarado como código, aplicado na imagem e no pipeline, e verificado de forma contínua nos ambientes em execução.

O que hardening muda na prática

Em sistema operacional: desabilitar serviços e portas sem uso, remover contas padrão e compartilhadas, restringir escalonamento de privilégio, exigir segundo fator no acesso administrativo, tratar log como fonte para o SIEM. Em rede: desabilitar protocolos legados, trocar credenciais e comunidades SNMP padrão, segmentar o plano de gerência, restringir de onde se administra o equipamento. Em aplicação e nuvem: encerrar suporte a versões antigas de TLS, remover chaves e tokens de longa duração, aplicar princípio de menor privilégio em papéis de acesso, fechar exposição pública de painéis administrativos e de endpoints de diagnóstico. Em container: partir de imagem mínima, não rodar como root, fixar versões, remover ferramentas de build da imagem final.

Onde entra num programa de segurança

Hardening é controle exigido pelos principais frameworks: aparece na função Proteger do NIST CSF, nos controles de configuração segura do Anexo A da ISO 27001 e nos requisitos de configuração do PCI DSS. Em auditoria, o que se pede não é a afirmação de que o ambiente está endurecido, é a evidência do baseline adotado, do resultado da última verificação e do tratamento dos desvios. Operacionalmente, hardening e gestão de vulnerabilidades andam juntos e não se substituem. A gestão de vulnerabilidades descobre e prioriza o que está exposto e tem falha conhecida; o hardening elimina exposição que não tem CVE nenhum. Programas que só olham CVE deixam de fora justamente a parte que o atacante encontra primeiro.

Atualizado em 01 de setembro de 2026