Programação e reforço de sistemas: um guia completo para fortalecer servidores

Informatec Digital » Recursos » Programação e reforço de sistemas: um guia completo para fortalecer servidores

Reforçar a segurança de um sistema deixou de ser opcional: qualquer servidor exposto à internet, seja em um data center tradicional ou na nuvem , torna-se um alvo em questão de minutos. Reforçar a segurança e automatizar processos caminham juntos : sem automação, é praticamente impossível manter os mesmos níveis de segurança em todos os sistemas ao longo do tempo.

Quando falamos em "scripts de reforço de segurança do sistema", estamos nos referindo à combinação de scripts (bash, PowerShell, ferramentas de automação, etc.) com boas práticas de reforço de segurança para minimizar a superfície de ataque. Não se trata de aplicar patches indiscriminadamente, mas de seguir uma metodologia clara, baseada em padrões (CIS, DISA STIG, ISO 27002, etc.) e transformar essas decisões em scripts repetíveis que podemos aplicar, testar e monitorar.

O que é o fortalecimento do sistema e por que ele é tão importante?

No mundo da cibersegurança, os termos endurecimento, proteção e fortalecimento referem-se a todas as ações destinadas a minimizar vetores de ataque em sistemas operacionais, aplicativos, redes, bancos de dados ou dispositivos. Os fabricantes costumam enviar seus produtos "abertos" para que tudo funcione imediatamente, mas isso significa serviços desnecessários em execução, configurações fracas e opções que priorizam a conveniência em detrimento da segurança.

O objetivo do fortalecimento da segurança é levar cada sistema a um estado em que apenas as funções estritamente necessárias estejam habilitadas , com controles de acesso apropriados, serviços limitados, criptografia quando aplicável e monitoramento para detectar alterações não autorizadas. Cada componente (servidor, banco de dados, dispositivo IoT, dispositivo móvel, etc.) requer sua própria abordagem e políticas específicas com base em sua função, ambiente (produção, pré-produção, laboratório), versão e criticidade.

Nos últimos anos, o fortalecimento da segurança tornou-se um requisito formal em regulamentações e estruturas de conformidade de todos os tipos. Normas e guias como CIS Benchmarks ou DISA STIG oferecem recomendações detalhadas para sistemas específicos. Organizações que desejam estar em conformidade com ISO 27001, ENS, PCI-DSS ou outros esquemas similares precisam documentar e implementar políticas de fortalecimento de segurança consistentes, revisá-las e demonstrar sua eficácia contínua ao longo do tempo.

Além da teoria, um bom sistema de segurança tem um impacto direto em incidentes reais: reduz o número de vulnerabilidades , dificulta a movimentação lateral de atacantes, limita a escalada de privilégios e, acima de tudo, torna muito mais difícil que uma falha isolada se transforme em uma violação grave.

Princípios fundamentais por trás do fortalecimento de sistemas

Todo projeto sério de segurança cibernética se baseia em alguns princípios bem conhecidos, que são então traduzidos em políticas, scripts e controles técnicos. Os quatro pilares mais comuns são: exposição mínima, defesa em profundidade, privilégio mínimo e uma abordagem de confiança zero.

O princípio da exposição mínima consiste em deixar visíveis apenas os componentes, serviços e portas essenciais. Qualquer funcionalidade que não seja utilizada ou que não seja essencial deve ser desativada ou, pelo menos, limitada a redes internas bem controladas. Cada serviço ativo representa um vetor de intrusão potencial, portanto, o primeiro passo no fortalecimento da segurança geralmente é fazer um inventário e desativar o que for desnecessário.

A defesa em profundidade propõe uma abordagem de segurança em camadas: firewalls de rede, controles de acesso do sistema operacional, criptografia em trânsito e em repouso, monitoramento de integridade, auditoria de alterações, etc. A ideia é que, mesmo que uma camada falhe ou seja comprometida, outras camadas existam para retardar ou impedir o avanço de um invasor e reduzir o impacto.

O princípio do menor privilégio determina que usuários, processos e serviços devem ter apenas as permissões estritamente necessárias para executar suas funções. Isso se aplica a contas de usuários, bem como a contas de serviço, daemons do sistema, aplicativos web e scripts automatizados. A redução de privilégios torna ineficazes muitas técnicas de escalonamento que dependem de permissões excessivas ou configurações permissivas.

Por fim, a abordagem de confiança zero abandona a ideia de que algo é confiável simplesmente por estar "dentro da rede" ou "atrás do firewall". Cada usuário, dispositivo e serviço deve ser autenticado, autorizado e ter sua atividade registrada, restringindo o acesso por contexto (origem, horário, tipo de operação) e rastreando quem faz o quê a qualquer momento.

Reforço prático da segurança em sistemas Linux com scripts bash

O Linux é onipresente em servidores, contêineres e muitas plataformas de IoT (veja as melhores distribuições Linux para servidores ), portanto, é lógico que grande parte dos projetos de reforço de segurança se concentre nesse ambiente. Automatizar o reforço de segurança com scripts bash é uma prática comum quando o uso de ferramentas como Ansible, Puppet ou similares não é permitido, ou quando se deseja uma primeira camada rápida de reforço de segurança.

Em um cenário típico, você começa com um servidor recém-instalado (na nuvem ou localmente) e cria um conjunto de scripts que configuram tudo, desde o firewall e as políticas de senha até a desativação de serviços e a instalação de pacotes de segurança. Uma lista de verificação comum inclui tarefas como usar SSH seguro, criar um usuário com sudo, habilitar um firewall básico, implantar o fail2ban, ativar o SELinux ou o AppArmor, reforçar a segurança do kernel e manter tudo atualizado.

Entre as medidas clássicas de segurança do Linux, uma das primeiras é proteger o processo de inicialização do sistema . Nas configurações da BIOS ou UEFI, geralmente é recomendado desabilitar a inicialização a partir de dispositivos externos (pen drives, discos rígidos externos, etc.) e bloquear a alteração do dispositivo de inicialização sem credenciais. No lado do sistema operacional, proteger o gerenciador de inicialização (como o GRUB) com uma senha, habilitar a Inicialização Segura (Secure Boot ) e impedir o login direto como root são medidas quase obrigatórias.

Outro elemento fundamental é o gerenciamento de usuários e grupos . É crucial definir permissões consistentes para arquivos e diretórios, especialmente arquivos de sistema, configurações do kernel e binários sensíveis. Normalmente, esses arquivos têm permissões muito restritas para outros usuários, permitindo apenas o estritamente necessário para o funcionamento do sistema. O acesso a arquivos pessoais do usuário também deve ser limitado por terceiros, ajustando o umask padrão em arquivos como "/etc/bash.bashrc" ou "/etc/profile" para impedir a criação de novos arquivos com permissões excessivamente amplas.

Nesse contexto, ferramentas como SELinux ou AppArmor são recomendadas para estabelecer políticas de controle de acesso obrigatórias que vão além das permissões tradicionais do Unix. Essas tecnologias permitem definir quais ações cada processo pode executar, mesmo que tenha sido comprometido, reduzindo significativamente o potencial de danos causados ​​por exploits ou malware.

A configuração de acesso é outro elemento fundamental. No Linux, é prática comum impor alterações periódicas de senha, tanto para usuários individuais quanto para todo o sistema, usando comandos como "passwd" ou "change". É possível definir requisitos para senhas fortes , expiração de senhas e reutilização de senhas antigas, além de forçar os usuários a alterá-las no próximo login. Para ações globais, utilitários como "awk" e "xargs" são combinados para percorrer o arquivo "/etc/shadow" e aplicar políticas de expiração a todas as contas.

Em relação aos serviços, a regra básica é desativar tudo o que não tiver um propósito claro em produção . Cada organização deve analisar quais daemons e serviços são essenciais para a função do servidor. Protocolos antigos e inseguros, como telnet, rsh, rlogin ou certos servidores FTP, devem ser removidos ou substituídos por alternativas criptografadas, como SSH ou SFTP. Se um serviço tiver vulnerabilidades conhecidas sem uma correção disponível, geralmente é melhor desativá-lo até que uma atualização seja lançada.

Os sistemas de arquivos também desempenham um papel importante no reforço da segurança. No Linux, as variantes do Ext (Ext2, Ext3, Ext4) são comumente usadas, sendo o Ext4 a opção preferida devido às suas melhorias de desempenho e segurança . Entre outras vantagens, ele incorpora verificações de integridade, melhor tratamento de erros e recursos que ajudam a minimizar danos causados ​​por corrupção ou manipulação indevida. Em ambientes exigentes, esses recursos são combinados com partições separadas para /home, /var, /tmp, etc., aplicando opções de montagem restritivas.

Segurança de rede, firewall e atualizações no Linux

Um aspecto crucial do fortalecimento de qualquer sistema envolve tudo relacionado à rede. Em um ambiente Linux bem protegido, atenção especial é dada à configuração de SSH, ao uso de VPN, à implementação de sistemas de detecção de intrusão e à proteção por firewall, tanto no nível do host quanto no nível da rede.

No caso do SSH , recomenda-se priorizar o uso de chaves públicas em vez de senhas, desabilitar o login direto como root, limitar o número de usuários autorizados e, quando possível, alterar a porta padrão para reduzir o ruído de varreduras automatizadas. Além disso, listas de controle de acesso (ACLs), autenticação de dois fatores e ferramentas como o fail2ban podem ser usadas para bloquear IPs que apresentem padrões de força bruta.

As VPNs permitem que o tráfego sensível seja encapsulado em túneis criptografados. Tecnologias como OpenVPN ou L2TP/IPSec são comuns em ambientes Linux, enquanto o PPTP, embora compatível, é geralmente considerado menos seguro. O gerenciamento dessas conexões pode ser simplificado com ferramentas gráficas como o Network Manager, mas o princípio fundamental é que os serviços de administração remota ou aplicativos críticos não devem ser expostos diretamente à internet se puderem ser protegidos por uma VPN.

Os sistemas de detecção e prevenção de intrusões (IDS/IPS) complementam o firewall. Opções como OSSEC, Tripwire e AIDE permitem monitorar a integridade dos arquivos, detectar alterações suspeitas e alertar sobre padrões de ataque. Ferramentas como o Wireshark são usadas para análise de tráfego . Esses sistemas são combinados com políticas de registro de logs para fornecer uma visão consistente do que está acontecendo no servidor.

Em relação a firewalls , as ferramentas clássicas no Linux têm sido o iptables e, mais recentemente, o nftables ou interfaces como o UFW. A filosofia é sempre a mesma: um modelo de negação padrão ("tudo fechado") e abertura explícita apenas das portas necessárias (por exemplo, 80/443 para HTTP/HTTPS e a porta de gerenciamento sob condições rigorosas). Cada regra deve ter uma justificativa clara e, em ambientes mais avançados, firewalls em nível de host são combinados com controles em dispositivos de perímetro ou na própria nuvem.

Outro componente essencial são as atualizações de software . Manter o kernel e os pacotes atualizados, usando gerenciadores de pacotes como apt, yum ou dnf, reduz significativamente a exposição a vulnerabilidades conhecidas e à exploração generalizada. Isso não se limita ao sistema operacional: componentes como drivers, módulos externos e middleware também exigem patches regulares. Em alguns casos, é recomendável exigir drivers assinados e sempre verificar a origem dos pacotes para evitar a introdução de rootkits ou binários maliciosos.

A configuração de logs e auditorias completa o ciclo de segurança. Ajustar o syslog ou o journald para reter eventos relevantes, enviar logs para um servidor central e definir quais ações serão auditadas (alterações de permissão, tentativas de acesso falhas, modificações em arquivos críticos, etc.) é fundamental para detectar incidentes e reconstruir o que aconteceu. Serviços como o "auditd" ou pacotes de auditoria específicos em diferentes distribuições ajudam a registrar operações sensíveis do sistema.

Etapas de um projeto de endurecimento profissional

A proteção de sistemas não se resume a executar um script e esquecê-lo. Projetos sérios seguem diversas fases bem definidas: planejamento, testes, implementação, verificação e monitoramento contínuo. Ignorar qualquer uma dessas fases geralmente resulta em interrupções de serviço ou configurações que ninguém se atreve a alterar posteriormente.

A primeira fase é o planejamento da intervenção . Isso envolve definir o escopo (quais sistemas, quais ambientes), identificar os responsáveis ​​e as partes interessadas, estimar as janelas de manutenção e projetar uma configuração básica para cada tipo de componente (servidores web, aplicativos, bancos de dados, sistemas embarcados etc.). Também determina quais padrões ou parâmetros de referência serão seguidos.

Em seguida, é necessário identificar os componentes e serviços críticos . É essencial entender quais funcionalidades do sistema são indispensáveis ​​para o negócio e quais podem ser desativadas ou limitadas. Sem essa clareza, é fácil interromper os serviços de produção aplicando medidas de segurança excessivamente agressivas que, embora aparentemente "seguras", impedem as operações diárias.

Uma etapa obrigatória antes de implementar mudanças significativas é realizar backups completos e, se possível, snapshots de configuração. Isso permite reverter para versões anteriores caso alguma modificação cause erros graves ou incompatibilidades. Muitas organizações ignoram essa etapa por pressa e depois descobrem que reverter manualmente uma implementação inadequada de segurança é praticamente impossível.

A fase de testes em ambientes controlados costuma ser a mais complexa e demorada. Envolve a replicação da rede de produção em um laboratório ou ambiente de pré-produção, a aplicação de políticas de segurança reforçadas e a avaliação do impacto: o que deixa de funcionar, quais regras causam incompatibilidades e quais serviços param de responder. Essa iteração ajuda a refinar as políticas antes de implantá-las em sistemas de produção.

Após o refinamento das políticas, inicia-se a fase de implementação e conformidade . É aqui que entram em cena scripts, ferramentas de configuração e soluções de automação para implantar as mudanças de forma controlada e consistente. Essa etapa é propensa a erros humanos se realizada manualmente, daí a importância de plataformas de scripts e gerenciamento de configuração.

Após a implementação, é obrigatório avaliar os resultados do reforço da segurança por meio de testes funcionais (para verificar se o sistema continua a funcionar conforme o esperado) e testes de segurança (varreduras de vulnerabilidades, verificações de portas, verificação de políticas, etc.). Quaisquer desvios significativos são documentados e as políticas são ajustadas com base nas observações em produção.

A peça final é o monitoramento contínuo . As redes mudam, servidores são adicionados e removidos, novos aplicativos são instalados e as pessoas modificam as configurações. Sem um sistema para monitorar o desvio da linha de base (o que foi alterado, quem alterou e quando), a postura de segurança retorna gradualmente ao seu estado inicial. O monitoramento também deve incluir alertas para alterações suspeitas ou não autorizadas.

Tipos de reforço de segurança: sistema, aplicações, rede e muito mais.

Ao discutir o fortalecimento de um ambiente, é útil distinguir entre várias camadas ou áreas diferentes , pois cada uma requer controles específicos. Entre as mais comuns estão o fortalecimento do sistema operacional, o fortalecimento de aplicativos, o fortalecimento da rede, o fortalecimento do banco de dados, o fortalecimento do servidor web, o fortalecimento de dispositivos de rede e IoT, o fortalecimento de sistemas embarcados e o fortalecimento de dispositivos móveis.

O reforço da segurança do sistema operacional aborda a base sobre a qual todos os outros serviços são executados. Isso inclui desativar recursos desnecessários, regras de firewall, gerenciamento de contas e grupos, permissões de arquivos e diretórios, aplicação de patches, políticas de senhas e auditoria. É o primeiro nível de reforço de segurança que deve ser abordado no Linux, Windows e outros sistemas operacionais.

O fortalecimento de aplicações concentra-se em como os programas específicos executados nesses sistemas são configurados e atualizados: servidores de banco de dados, ERPs, CRMs, aplicativos web, ferramentas de escritório, etc. Envolve a revisão de parâmetros de segurança internos, controles de acesso, criptografia, exposição de interfaces e testes de segurança específicos (por exemplo, análise estática de código ou testes de penetração de aplicativos).

O fortalecimento da rede abrange tudo relacionado à infraestrutura de comunicações: firewalls, segmentação de rede, controles de acesso em nível de VLAN ou SDN, sistemas de detecção e prevenção de intrusões, políticas de roteamento e proteção de perímetro. Isso inclui definir, por exemplo, quais sub-redes podem se comunicar entre si, como os sistemas sensíveis são acessados ​​e como as conexões externas são gerenciadas.

O fortalecimento da segurança de bancos de dados visa preservar a confidencialidade e a integridade dos dados. Práticas comuns incluem a redução de privilégios em contas de banco de dados, criptografia em repouso e em trânsito, separação de ambientes, revisão de parâmetros de segurança padrão, proteção contra injeção de SQL e ativação de logs de auditoria para consultas e alterações críticas.

O fortalecimento de servidores web é especializado na proteção de HTTP/HTTPS e aplicações web associadas. Isso envolve a configuração do servidor (Apache, Nginx, IIS, etc.), o gerenciamento adequado de cabeçalhos de segurança, a proteção contra ataques como XSS ou CSRF, o gerenciamento seguro de cookies e sessões, a limitação de informações em mensagens de erro e a desativação de módulos ou extensões desnecessários.

Dispositivos de rede e IoT exigem abordagens específicas, começando pela alteração das credenciais padrão, desativação de serviços e portas não utilizados, restrição de acesso administrativo, manutenção do firmware atualizado e, no caso da IoT, controle rigoroso das ações de cada dispositivo na rede. Muitos incidentes recentes tiveram origem em equipamentos aparentemente "menores", porém vulneráveis, com configurações instáveis.

Em relação a sistemas embarcados , a abordagem é semelhante, porém mais abrangente, englobando dispositivos integrados em veículos, eletrodomésticos ou máquinas industriais que nem sempre estão conectados à internet. Nesses casos, o fortalecimento da segurança concentra-se no controle do firmware, na proteção das interfaces físicas e lógicas e no gerenciamento cuidadoso das atualizações para evitar a introdução de novas vulnerabilidades.

Por fim, o fortalecimento da segurança de sistemas móveis (smartphones, tablets) envolve a definição de políticas de segurança, a ativação da criptografia de armazenamento, o gerenciamento de aplicativos e permissões, a ativação de mecanismos de limpeza remota e a proteção do acesso físico por meio de PINs, biometria ou outros métodos. Essas medidas são frequentemente combinadas com plataformas MDM/EMM que permitem a configuração centralizada.

PowerShell, testes de intrusão e reforço de segurança em ambientes Windows

No ecossistema Windows, o PowerShell tornou-se uma ferramenta essencial tanto para administradores quanto para atacantes. Essa linguagem, integrada desde versões tão antigas quanto o Windows XP, permite a automação de tarefas administrativas com enorme flexibilidade : atribuição de permissões, gerenciamento de serviços, abertura de portas, escalonamento de privilégios, agendamento de tarefas, extração de hashes de senhas e muito mais.

Os cibercriminosos têm explorado esse poder e o fato de o PowerShell ser uma ferramenta nativa para desenvolver malware baseado em scripts que são executados na memória e deixam poucos rastros no disco, dificultando a detecção por softwares antivírus tradicionais. Nos últimos anos, houve um crescimento exponencial de ameaças que utilizam o PowerShell, com aumentos de várias centenas por cento em curtos períodos, de acordo com estudos de laboratórios de segurança.

Para entender as técnicas de ataque que dependem do PowerShell, as equipes de defesa usam ferramentas e frameworks de teste de penetração, como PowerShell Empire, PowerSploit e Nishang. Esses módulos facilitam tarefas como burlar softwares antivírus, escalar privilégios, acessar outras máquinas, buscar credenciais, estabelecer conexões persistentes, injetar scripts em documentos do Office, carregar código na memória e contornar políticas de execução.

Compreender essas técnicas ofensivas é fundamental para definir medidas de mitigação eficazes. Entre as contramedidas de segurança específicas para o PowerShell, estão o uso do Modo de Linguagem Restrita (CLM) , a configuração do AppLocker ou de Políticas de Restrição de Software (SRPs) para limitar quais scripts podem ser executados, a assinatura de scripts, o uso do Just Enough Administration/Just In Time (JEA/JIT) para restringir tarefas administrativas, a criptografia de comunicação, o modo estrito e a implementação de controles que validam o código antes da execução.

Algumas dessas técnicas exigem conhecimento avançado, o que levou à criação de aplicativos com interfaces mais amigáveis ​​que integram módulos de ataque e defesa. Esses projetos, muitas vezes originados em contextos acadêmicos como trabalhos de conclusão de curso, visam tornar os conceitos de teste de penetração e fortalecimento de segurança mais acessíveis a usuários menos especializados, oferecendo menus intuitivos que os guiam pelos testes e contramedidas em ambientes Windows.

Ferramentas para automatizar o reforço de segurança, a configuração e a conformidade.

O volume e a complexidade dos sistemas modernos tornam o reforço manual de segurança praticamente impossível. Isso levou ao surgimento de diversas categorias de ferramentas projetadas para automatizar os testes, a implementação e a verificação de políticas de segurança: soluções de automação de reforço de segurança, software de cibersegurança , plataformas de gerenciamento de configuração, scanners de conformidade e projetos especializados de código aberto.

As ferramentas de automação para reforço de segurança de servidores abrangem todo o ciclo de vida: testes, implementação e monitoramento. Elas analisam o impacto das alterações de configuração nos serviços de produção, ajudam a ajustar políticas para evitar interrupções, implantam regras centralmente e monitoram a rede para detectar desvios em relação à linha de base. Exemplos de soluções comerciais nessa área incluem o CalCom Server Hardening Solution (CHS) e o CalCom Security Solution for IIS, que são voltados tanto para servidores quanto para middleware específico.

As ferramentas de gerenciamento de configuração de segurança (SCM, na sigla em inglês) , conforme definidas pelo NIST, permitem controlar o estado desejado dos sistemas de informação, aplicar alterações repetidamente, versionar configurações, rastrear quem modificou o quê e gerar relatórios sobre o estado atual. Plataformas como Ansible, Chef, Puppet e Microsoft System Center Configuration Manager não se limitam ao fortalecimento da segurança; elas são ideais para implementar SCM como código, integrando-o a fluxos de trabalho DevOps ou DevSecOps.

Os scanners de conformidade se concentram em avaliar se um sistema atende a uma estrutura específica (CIS, DISA STIG, diretrizes internas, etc.). Eles geram relatórios que indicam quais controles estão implementados corretamente e onde existem lacunas. Ferramentas como Tripwire Configuration Manager, Qualys, NNT SecureOps e CIS-CAT Pro permitem que os usuários visualizem o nível de segurança de múltiplos ativos e priorizem as soluções com base no impacto.

Por fim, existe um ecossistema muito rico de projetos de código aberto focados em reforço de segurança , incluindo plataformas de automação como o Salt, kits de conformidade para ambientes Windows (Microsoft Security Compliance Toolkit), scripts de auditoria específicos (Hardening Auditor) e utilitários como o Windows Exploit Suggester NG para identificar vulnerabilidades em sistemas Windows a partir de informações do sistema.

Fortalecimento como sistema: linhas de base, automação e auditoria

Além de ferramentas específicas, as organizações que levam a sério o fortalecimento da segurança de servidores o tratam como um sistema vivo, e não como uma lista de verificação pontual . Isso envolve definir padrões de referência para cada função do servidor, automatizar sua aplicação, verificar a conformidade e gerenciar conscientemente quaisquer desvios necessários por razões operacionais.

Na prática, é comum começar criando linhas de base específicas para cada tipo de ativo: servidores web Linux, nós de aplicação, bancos de dados, controladores de domínio Windows, computadores de usuários, dispositivos de rede, etc. Cada linha de base inclui parâmetros de sistema, regras de firewall, configurações de serviço, políticas de conta, configurações de registro e outras medidas adaptadas a essa função.

A partir daí, ferramentas de infraestrutura como código (IaC) e ferramentas de gerenciamento de configuração (como Ansible ou PowerShell DSC) são usadas para traduzir essas linhas de base em código versionável em repositórios Git. As alterações são revisadas por meio de processos de controle de versão, submetidas a linting e testes automatizados e implantadas usando pipelines que deixam evidências de qual versão de configuração foi aplicada em cada ambiente.

Após cada implantação, ferramentas de auditoria como Lynis ou OpenSCAP no Linux, ou scanners de conformidade específicos para Windows, são executadas, e os relatórios são carregados na própria plataforma de CI/CD como artefatos. Isso documenta a adesão às políticas definidas e facilita auditorias externas ou revisões de segurança internas.

Para concluir o processo, muitas empresas incorporam plataformas de monitoramento e detecção como o Wazuh, que combinam análise de logs, verificação de integridade de arquivos, correlação de eventos e alertas em tempo real. Isso permite que elas saibam quando novos serviços começam a usar portas inesperadas, quando permissões de arquivos confidenciais são alteradas ou quando padrões de acesso anômalos ocorrem.

Ao longo de todo esse processo, o fortalecimento da segurança está alinhado com normas como a ISO/IEC 27002 , que incluem gerenciamento de configuração, remoção de funcionalidades desnecessárias, gerenciamento de vulnerabilidades técnicas e autenticação de usuários. O objetivo não é apenas ser "mais seguro", mas também poder demonstrar objetivamente que a organização gerencia seus sistemas de acordo com as melhores práticas reconhecidas.

O fortalecimento do sistema, apoiado por scripts e automação, é uma disciplina contínua que combina princípios de segurança, conhecimento de ameaças reais, ferramentas apropriadas e uma boa dose de bom senso. Reduzir a superfície de ataque, controlar cuidadosamente o que é executado e como é acessado, testar o impacto de cada alteração e monitorar a configuração ao longo do tempo é a maneira mais eficaz de evitar que uma configuração conveniente, porém negligente, se torne a porta de entrada para um incidente grave.