Fechar as portas que não usa e abrir a 22 só quando for preciso

Um servidor na internet recebe milhares de tentativas de entrada por dia. Não são hackers a olhar para si: são programas automáticos que percorrem todos os endereços da internet a experimentar portas. Se encontram uma aberta, experimentam palavras-passe; se encontram um programa antigo, experimentam falhas conhecidas. Cada porta aberta de que não precisa é mais uma entrada para esses programas, e fechá-la não custa nada.

A maioria das máquinas que o Simplio vê tem a porta 22 (a de administração) aberta a toda a gente desde o dia em que foram criadas, porque é assim que vem por defeito. É como deixar a porta da sala dos contadores aberta para a rua. Este guia ensina a ver que portas a sua máquina tem abertas, a fechar as que sobram e a abrir a de administração só a partir do seu escritório e só enquanto a usa.

Passo a passo

1. Decida que portas a sua máquina precisa realmente

   Para um site, a lista é curta: 80 (HTTP, para redirecionar para HTTPS) e 443 (HTTPS). Mais nada. Tudo o que não for isso é para administrar, e quem administra é você, não o mundo.

   Portas que não deviam estar nunca abertas a toda a internet:

   • 22 (SSH) e 3389 (ambiente de trabalho remoto do Windows): administração. Só ao seu IP, e de preferência só quando a usa.
   • 3306 (MySQL/MariaDB) e 5432 (PostgreSQL): a base de dados. Se o site está na mesma máquina, não precisa de ter a porta aberta para fora de todo. Se há outra máquina que se liga, abra-a só ao IP dessa máquina.
   • 21 (FTP): envia ficheiros sem cifrar. Se precisa de enviar coisas, use SFTP, que vai pela 22.
   • 10000 (Webmin), 8080 e 8443 (painéis e ambientes de teste), 9090, 5000: painéis de administração que muitas vezes têm palavras-passe fracas ou versões velhas.
   • 25 (correio de saída): a AWS limita-a por defeito e quase nenhum site precisa dela aberta para dentro.

   Se na sua firewall há uma porta que não sabe para que serve, a resposta certa é fechá-la e ver se alguma coisa deixa de funcionar. Normalmente, nada.

2. Reveja a firewall de uma máquina Lightsail

   Entre no Lightsail, clique no nome da máquina e abra o separador Rede. Em Firewall IPv4 está a lista de regras, cada uma com aplicação, protocolo, porta e a coluna Restrito a. Se essa coluna diz "Qualquer endereço IPv4", essa porta está aberta ao mundo.

   O que deve ficar:

   • HTTP, TCP, 80, qualquer endereço.
   • HTTPS, TCP, 443, qualquer endereço.
   • SSH, TCP, 22, restrito ao seu IP (passo 4), ou simplesmente sem regra quando não a usa.

   Para apagar uma regra, clique no ícone do caixote do lixo à direita. Para a editar, no lápis. As alterações aplicam-se no momento, sem reiniciar. Se tem o IPv6 ativado, repita no bloco Firewall IPv6: é uma lista à parte e esquece-se muitas vezes.

   Faça isto em cada máquina: a firewall do Lightsail é por instância e não se partilha.

3. Reveja os grupos de segurança de uma máquina EC2

   Entre no EC2, Instâncias, clique na máquina e abra o separador Segurança. Verá os grupos de segurança que tem atribuídos (pode haver vários; as regras somam-se) e, por baixo, as Regras de entrada combinadas. Repare na coluna Origem: 0.0.0.0/0 ou ::/0 significa aberto ao mundo.

   Para alterar algo, clique no nome do grupo, separador Regras de entrada, botão Editar regras de entrada. Apague as que sobram com Eliminar e clique em Guardar regras. As regras de saída deixe-as como estão: por defeito permitem tudo para fora e isso é o normal.

   Duas coisas que acontecem muito no EC2:

   • Um grupo chamado launch-wizard-3 ou parecido, criado à pressa ao lançar a máquina, com a 22 aberta a todos. É o que há que corrigir.
   • O mesmo grupo atribuído ao site e à base de dados. Então a base de dados tem a 80 aberta e o site a 3306. Faça um grupo por função: web com 80 e 443, bbdd com 3306 só a partir do grupo web (em Origem pode escrever o identificador de outro grupo em vez de um IP).

   Veja também Grupos de segurança no menu da esquerda: muitas vezes há grupos antigos sem nenhuma máquina atribuída. Apague-os para não se confundir.

4. Abra a 22 só ao seu IP, e só enquanto a usa

   Descubra o seu IP público procurando "qual é o meu IP" no navegador, a partir da rede em que vai trabalhar. No Lightsail, separador Rede, na regra SSH clique no lápis, marque Restringir a endereço IP e escreva o seu. No EC2, ao editar a regra da 22, em Origem escolha O meu IP e a AWS preenche-o sozinha.

   Se trabalha a partir de vários sítios (escritório e casa), adicione uma regra por sítio, não uma aberta a todos. E se a sua ligação muda de IP com frequência (é habitual na fibra doméstica e sempre com dados móveis), conte que terá de a atualizar de vez em quando: é um minuto.

   O hábito realmente bom: apague a regra da 22 quando terminar. Entra na máquina poucas vezes por mês; o resto do tempo essa porta pode não existir. Quando precisar dela, adiciona-a com o seu IP, trabalha e retira-a. Sem porta 22 não há ataques de palavra-passe por SSH, nem mais programas para vigiar.

5. Confirme a partir de fora que não fica nada aberto

   Confie, mas confirme. A partir de um terminal do seu computador (no Windows, PowerShell), execute contra o IP da sua máquina:

   Test-NetConnection 83.45.120.7 -Port 3306

   No Mac ou Linux, nc -zv 83.45.120.7 3306. Se responder que ligou, a porta está aberta para fora e há que rever o passo anterior. Faça o teste com 22, 3306, 3389, 10000 e 8080. Também há páginas que o verificam por si (procure "verificar portas abertas"); procure fazê-lo a partir de uma rede diferente da que tem a 22 permitida, por exemplo com o telemóvel.

   Mesmo que uma porta esteja aberta na firewall, o programa lá dentro pode não responder (o MySQL costuma escutar só em local). Não conte com isso: feche-a na firewall na mesma.

6. Alternativas para nunca ter a 22 aberta

   Se entrar na máquina é algo frequente para si, há formas de o fazer sem nenhuma porta aberta:

   • Terminal no navegador do Lightsail: botão Ligar através de SSH na página da máquina. O Lightsail liga-se por conta própria mesmo que tenha apagado a regra da 22 da firewall; fá-lo por uma via interna da AWS. Para tarefas pontuais, chega.
   • Session Manager no EC2: na máquina, botão Ligar, separador Session Manager. Exige que a máquina tenha o agente do SSM (vem nas imagens de Amazon Linux e Ubuntu da AWS) e uma função com a política AmazonSSMManagedInstanceCore. Em troca, zero portas abertas, e cada sessão fica registada no CloudTrail com quem entrou.
   • EC2 Instance Connect: o separador Cliente EC2 Instance Connect no mesmo botão Ligar. Continua a precisar da 22 aberta, mas só à gama de IPs da AWS que esta publica para a sua região, não a toda a internet.

   Com qualquer uma delas, a 22 aberta ao mundo deixa de ter desculpa.

O que pode correr mal