Como bloquear ataques de força bruta no SSH com UFW

Por que seu servidor SSH é um alvo constante na internet

Assim que um servidor conectado à internet ganha um endereço IP público, robôs automatizados espalhados pelo mundo começam a testar conexões na porta padrão de acesso remoto. Essa porta, normalmente a 22, recebe centenas ou até milhares de tentativas de login por minuto baseadas em combinações comuns de nomes de usuário e senhas. Na prática, isso significa que deixar o acesso aberto sem proteções adicionais é o equivalente digital a deixar a porta da frente de uma casa destrancada em uma rua movimentada. Para mitigar esse risco sem recorrer imediatamente a soluções complexas, podemos aplicar uma estratégia combinada de filtragem de pacotes e monitoramento de rede.

Antes de implementar qualquer bloqueio, vale a pena entender como o tráfego de rede chega até o seu sistema operacional. O tráfego de rede nada mais é do que um fluxo contínuo de pacotes de dados que precisam ser aceitos, rejeitados ou ignorados pelas regras do núcleo do sistema. Como vimos em artigos anteriores sobre como configurar regras de firewall UFW no Ubuntu Linux, o controle rígido dessas portas de entrada é a primeira linha de defesa contra acessos não autorizados. No entanto, ataques modernos de força bruta vão além de simples varreduras e exigem um refinamento nas políticas de segurança aplicadas pelo administrador.

Como preparar o UFW para barrar acessos repetidos

O UFW, abreviação de Uncomplicated Firewall, funciona como uma camada simplificada sobre o iptables, que é a ferramenta nativa de controle de pacotes do Linux. Em vez de escrever regras crípticas e cheias de parâmetros complexos, o UFW permite que o operador defina políticas claras usando comandos diretos e fáceis de auditar. Antes de criarmos restrições avançadas para o serviço de acesso remoto, precisamos garantir que o firewall esteja ativo e configurado com uma política padrão restritiva, bloqueando tudo o que não for explicitamente permitido.

Para impor limites inteligentes de conexão sem prejudicar o acesso legítimo de administradores, podemos utilizar o módulo de limite de taxa do UFW. Esse mecanismo restringe o número de tentativas de conexão vindas de um mesmo endereço IP dentro de uma janela de tempo específica. Na prática, se um endereço tentar abrir uma conexão SSH mais de seis vezes em um intervalo de trinta segundos, o firewall automaticamente rejeitará novos pacotes daquele IP. Essa abordagem simples é extremamente eficaz contra os scripts automatizados mais comuns da internet, pois eles desistem rapidamente ao perceberem que o serviço parou de responder.

Configurando a regra de limitação de taxa passo a passo

A aplicação prática dessa defesa exige apenas alguns comandos executados diretamente no terminal do servidor com privilégios administrativos. É fundamental lembrar que, antes de aplicar qualquer restrição severa na porta remota, você deve garantir que possui acesso alternativo ou que sua regra atual não vai trancar você para fora da máquina. Siga os passos abaixo para implementar a proteção por limitação de taxa no seu ambiente:

1. Verifique se o firewall está ativo no sistema executando o comando de status detalhado:

   sudo ufw status verbose

2. Adicione a regra de limite para a porta do SSH, garantindo que tentativas excessivas sejam bloqueadas:

   sudo ufw limit OpenSSH

3. Recarregue as configurações do firewall para aplicar as alterações imediatamente:

   sudo ufw reload

Após executar esses comandos, qualquer tentativa excessiva de conexão será tratada de forma rigorosa pelo sistema de filtragem. Caso você precise monitorar o comportamento dessas conexões em tempo real para fins de auditoria ou para converter logs e analisar eventos, o sistema operacional mantém registros detalhados de cada pacote rejeitado. O cruzamento dessas informações com o comportamento do firewall garante uma visibilidade completa sobre quem está tentando invadir o seu ambiente remoto.

Monitorando os logs do sistema para auditoria de segurança

Manter o firewall ativado é apenas metade do trabalho de proteção; a outra metade consiste em monitorar ativamente o que está acontecendo nos bastidores da infraestrutura. O sistema operacional registra eventos de autenticação e bloqueios de rede em arquivos dedicados no diretório de logs, permitindo que o administrador identifique padrões de ataque recorrentes. Quando combinamos a inspeção desses registros com uma política de alertas ou bloqueios dinâmicos, transformamos uma defesa estática em um mecanismo resiliente de segurança.

Em servidores de produção, é recomendável revisar periodicamente esses arquivos de registro para verificar se há endereços IP persistentes tentando burlar as barreiras configuradas. Caso identifique um ator malicioso contínuo que consiga contornar os limites básicos, você pode bloqueá-lo manualmente de forma permanente com um comando direto no firewall. Essa rotina de monitoramento garante que o servidor permaneça protegido contra novas táticas de invasão, mantendo a integridade dos dados e a estabilidade dos serviços hospedados.

Considerações finais sobre a proteção de servidores remotos

Proteger o acesso remoto de um servidor Linux exige uma combinação equilibrada de boas práticas, ferramentas nativas eficientes e monitoramento contínuo do comportamento da rede. O uso do UFW aliado à limitação de taxa oferece uma barreira robusta e de baixo custo operacional contra a grande maioria dos ataques automatizados que rondam a internet diariamente. Ao entender como os pacotes de dados interagem com o núcleo do sistema e como auditar esses eventos, você eleva significativamente o nível de maturidade de segurança da sua infraestrutura.

Lembre-se de que a segurança da informação é um processo contínuo e nunca um estado definitivo. Manter os pacotes do sistema atualizados, utilizar chaves criptográficas em vez de senhas tradicionais e revisar regularmente as regras de rede são hábitos indispensáveis para qualquer operador de tecnologia. Com essas diretrizes implementadas, seu servidor estará muito mais preparado para enfrentar ameaças e garantir a disponibilidade contínua dos serviços essenciais.