Hardening de Ativos e Redução de Superfície

Nota final da pasta de CI Defensiva (Deter e Detectar) do Capítulo 13, que trata o hardening como prática de
contra-inteligência: reduzir a superfície que o reconhecimento adversário explora, com benchmarks e baselines
verificáveis. Liga-se ao EASM (04/06) e aos grupos INS e PRT (15) e entrega um baseline de endpoint.

1. Contexto e Posicionamento na Biblioteca

As notas anteriores da pasta trataram do risco e das pessoas e do terreno físico; esta fecha o ciclo com a dimensão
técnica da CI defensiva: os ativos. O argumento central é que o hardening, muitas vezes tratado como tarefa de
infraestrutura, é uma salvaguarda de contra-inteligência na medida em que reduz a superfície observável e
explorável pelo adversário durante o reconhecimento. Todo serviço desabilitado é um serviço que o adversário não
mapeia; toda porta fechada é uma pergunta que ele não consegue fazer; toda permissão removida é um elo de cadeia
que ele precisa reinventar.

O posicionamento na biblioteca é de fechamento e de conexão. A nota consome o modelo de TTPs da nota 01 da pasta,
que diz quais técnicas o adversário provável usa, e traduz isso em configuração verificável de ativos. Conecta-se
ao EASM da seção 04, que mapeia a superfície externa tal como o adversário a vê, e aos grupos INS e PRT da seção
15, que fornecem inventário e proteção em profundidade. O exemplo prático de baseline de endpoint dá ao leitor um
ponto de partida concreto para operacionalizar.

2. Hardening como Prática de Contra-Inteligência

Hardening é o processo contínuo de configurar ativos para operar com o mínimo de funcionalidade, permissão e
exposição necessárias ao negócio. A ligação com a CI passa pelo reconhecimento: antes de explorar, o adversário
mapeia, e a qualidade do mapa que ele constrói depende do que o ativo revela. Um sistema com serviços
desnecessários, banners informativos, versões expostas e respostas verbosas entrega ao reconhecimento o roteiro da
exploração; um sistema endurecido devolve silêncio, erro genérico e custo de tentativa. Em termos da cadeia de
ataque, o hardening degrada o elo de reconhecimento e encarece todos os elos seguintes.

Há ainda um efeito de CI menos óbvio: o hardening altera o que o adversário conclui sobre a vítima. Organizações
com superfície limpa, banners neutros e configurações homogêneas transmitem maturidade, e adversários de coleta
ponderam custo antes de escolher alvo, conforme a lógica de deter tratada na nota de modo ativo do capítulo. O
efeito complementar é a detecção: com baseline endurecido e homogêneo, qualquer desvio, um serviço novo, um config
que muda, um binário fora do lugar, torna-se sinal de baixa entropia e alta fidelidade, alimentando os sensores do
grupo DAT e o hunting da seção 15. O hardening, portanto, simultaneamente deter, reduzir e detectar, e é por isso que
ocupa posição de destaque na CI defensiva.

3. Benchmarks e Baselines: CIS Benchmarks e Além

Hardening sem referência é opinativo, e a correção é adotar benchmarks públicos como base técnica. O padrão de
mercado é a família CIS Benchmarks, que publica configurações recomendadas por plataforma, de Windows e Linux a
cloud, containers e dispositivos de rede, organizadas em dois níveis: o nível 1 prioriza medidas de segurança com
impacto mínimo de operação, e o nível 2 agrava as medidas para ambientes de risco elevado, com custo operacional
maior. A disciplina recomendada é partir do nível 1 como linha de base geral e aplicar o nível 2 por classe de
risco de ativo, e não por conveniência de equipe.

O benchmark, porém, é só a referência; o programa vive do baseline. Baseline é a configuração específica da
organização, derivada do benchmark, ajustada ao negócio, homologada, automatizada em imagens e templates e
verificada continuamente por conformidade. O ciclo de vida do baseline é o que distingue programas maduros:
derivação do benchmark, adaptação com negócio, homologação com teste de impacto, distribuição por automação de
configuração, verificação contínua com ferramenta de conformidade e revisão semestral alinhada à nova versão do
benchmark e às lições da matriz de TTPs. O CIS Controls v8, citado na biblioteca desde a seção 15, fornece o
guarda-chuva de controles no qual o hardening se insere, e a conexão com os TTPs do adversário prioritário é o que
decide onde o esforço concentra.

4. Superfície Externa e Superfície Interna

A redução de superfície acontece em duas geografias com dinâmicas diferentes, e a organização precisa medir as
duas. A superfície externa é o que o adversário vê da internet: domínios, endereços, serviços, portas,
certificados, cabeçalhos, buckets, painéis e credenciais expostas em vazamentos. É o domínio do EASM, tratado na
nota 06 da seção 04 da biblioteca, e do controle INS.3 da seção 15, e a disciplina central é a correspondência: o
que existe lá fora deve ser exatamente o que a organização sabe que existe, e cada item não reconhecido é incidente
em potencial, porque o adversário não diferencia ativo ignorado de ativo aceito.

A superfície interna é o que o adversário vê depois de entrar, ou por meio de insider: serviços de rede interna,
compartilhamentos, permissões, contas, estações com privilégio, interfaces de administração. Ela costuma ser mais
rica que a externa, porque redes internas crescem por acumulação, e é o campo preferencial do movimento lateral
descrito nos TTPs da nota 01 da pasta. A redução interna combina segmentação, com redes de menor confiança por
função; eliminação, com serviços legados desligados de fato; e invisibilidade deliberada, com itens de
administração não anunciados em DNS e acessíveis por caminhos controlados. A tabela abaixo compara as duas
geografias sob a lente de CI.

5. Privilégios Mínimos como Redução de Superfície

Privilégio mínimo é a forma de hardening aplicada a identidades, e merece seção própria porque é o elo que mais
cadeias adversárias exploram, conforme o modelo de TTPs da pasta mostrou com a técnica de valid accounts. O
princípio é que cada identidade, humana ou técnica, opera com o menor conjunto de permissões que sua função exige,
por tempo mínimo necessário. Na prática de CI, isso significa separar contas de administração de contas de uso
diário, eliminar a permanência de privilégio com acesso just-in-time, proteger as contas que sobem com MFA
resistente a phishing e revisar periodicamente o que ninguém usou.

O efeito de redução de superfície é direto: credencial roubada de conta comum não abre administração; sessão de
administrador não fica viva para ser capturada; grupo de acesso global não oferece um só caminho lateral para todo
o ambiente. A técnica de tiering de administração, com camadas separadas para identidade, sistema e estação, é a
materialização madura do princípio em ambientes Windows e híbridos, e a revisão de permissões mortas é a manutenção
contínua que impede a superfície de voltar a crescer. A conexão com need-to-know da nota 02 da pasta é explícita: o
mesmo princípio, aplicado a informação, chama-se need-to-know, aplicado a sistemas, chama-se privilégio mínimo.

6. Exemplo de Baseline Técnico de Hardening de Endpoint

O extrato abaixo ilustra, em formato declarativo, um baseline de hardening de endpoint Windows para organização com
EDR corporativo, inspirado no CIS Benchmark de nível 1 e ajustado à realidade de uma empresa que opera com SOC
interno. O formato serve de modelo para documentação por política de configuração e verificação automatizada.

baseline_endpoint_windows_l1:
  versao: 2.3 (derivado do CIS Benchmark L1, revisão semestral)
  aplicacao: estações de usuário padrão; exceções via comitê de CI
  conta_e_autenticacao:
    - conta local administrativa renomeada e desabilitada por política
    - bloqueio de contas locais após 5 falhas com desbloqueio por suporte
    - MFA obrigatório para acesso a e-mail, VPN e ferramentas corporativas
  rede:
    - firewall local habilitado em todos os perfis com log de descarte
    - SMBv1 desabilitado e bloqueio de NetBIOS sobre TCP/IP
    - bloqueio de dispositivos de armazenamento USB não sancionados
  sistema:
    - serviços sem função documentada desabilitados por exceção aprovada
    - LAPS aplicado a senha local com rotação automática por máquina
    - BitLocker habilitado com recuperação em cofre auditado
  aplicacoes:
    - execução permitida apenas de instaladores assinados corporativamente
    - macros Office bloqueadas por padrão com exceção por unidade de negócio
    - navegadores com extensões de lista aprovada e proxy forçado
  telemetria:
    - EDR em modo preventivo com telemetria integral ao SIEM
    - Sysmon com configuração padrão da organização e log centralizado
    - auditoria de logon (4624, 4625), processo (4688) e serviço (7045)
  verificacao:
    - conformidade verificada diariamente; desvio gera tarefa automática
    - desvio recorrente em ativo de risco alto escala ao comitê de CI

O baseline ilustra a lógica de CI em cada bloco: a camada de conta fecha o elo de valid accounts, a camada de rede
elimina protocolos de lateral movement conhecidos, a camada de aplicação reduz o vetor de entrega, e a camada de
telemetria garante que a tentativa que passar produza sinal. A verificação contínua transforma o documento em
controle vivo, e o desvio recorrente vira insumo da matriz de risco em vez de vira exceção eterna.

7. Erros Comuns e Pontos de Atenção

• Hardening por benchmark sem adaptação: aplicar o benchmark ao pé da letra quebra processos de negócio e gera
  reversão silenciosa; a correção é baseline adaptado, homologado e automatizado.
• Proteger só a borda: superfície interna rica mantém o adversário confortável após o acesso; a correção é medir e
  reduzir as duas geografias, com segmentação e limpeza de legados.
• Deixar exceção virar regra: cada exceção aprovada no comitê e esquecida é superfície permanente; a correção é
  exceção com prazo, dono e revisão obrigatória.
• Verificação pontual: conformidade checada uma vez por ano é foto, e superfície cresce entre as fotos; a correção
  é verificação contínua com desvio gerando tarefa.
• Ignorar contas técnicas: contas de serviço com senha eterna e privilégio amplo são a superfície favorita de valid
  accounts; a correção é cofre de credenciais, rotação e acesso just-in-time.
• Endurecer sem telemetria: ativo endurecido e mudo esconde a tentativa; a correção é parear cada regra de
  hardening com o sinal que a quebra da regra produz.

8. Integração com o Restante da Biblioteca

Na pasta de CI Defensiva, esta nota fecha o conjunto: a matriz da nota 01 aponta as técnicas que o baseline precisa
quebrar, o need-to-know da nota 02 e o controle físico da nota 03 reduzem as superfícies humana e física, e o
hardening reduz a superfície técnica. Com a seção 04, o EASM fornece a visão contínua da superfície externa que
esta nota governa do lado interno. Com a seção 15, o grupo INS fornece inventário e baselines de normalidade, o PRT
recebe as salvaguardas de proteção calibradas pela matriz de CI, e o DAT consome a telemetria que o baseline
garante. No hunting da seção 10, o baseline endurecido é o que torna as hipóteses de desvio viáveis, porque hunting
bom precisa de um normal contra o qual o anômalo se destaque.