Jump Server: O Guia para Amplificar sua Segurança — Como Construir, Proteger e Não Transformar Seu Bastion na Porta dos Fundos Como um servidor pequeno e dedicado pode ser a diferença entre suporte organizado e a próxima manchete sobre ransomware. E como, se mal configurado, pode ser também a porta exata por onde o atacante entra.
Jump Server: O Guia para Amplificar sua Segurança — Como Construir, Proteger e Não Transformar Seu Bastion na Porta dos Fundos Como um servidor pequeno e dedicado pode ser a diferença entre suporte organizado e a próxima manchete sobre ransomware. E como, se mal configurado, pode ser também a porta exata por onde o atacante entra. Introdução Se você leu o post anterior sobre acesso remoto seguro, já sabe a regra de ouro: nunca exponha RDP, SSH ou qualquer serviço administrativo diretamente na internet . Mas então surge a pergunta prática: como o time de suporte, os DBAs, os sysadmins e os fornecedores acessam os servidores quando precisam? A resposta tradicional é o jump server — também chamado de bastion host , stepping stone server , jump box . É um conceito que tem mais de 30 anos e continua relevante porque resolve um problema fundamental: centralizar e controlar todo o acesso administrativo a uma infraestrutura. Mas aqui está o paradoxo: um jump server mal configurado é pior que não ter jump server nenhum . Por quê? Porque ele cria uma falsa sensação de segurança. Você acha que está protegido porque tem "aquele bastion", quando na verdade ele virou exatamente o que deveria evitar — uma porta única, conhecida, exposta, e cheia de privilégios. Parte 1: O que é (e o que não é) um jump server Um jump server é uma máquina dedicada, endurecida (hardened) ao máximo, posicionada como único ponto de passagem entre o mundo externo e os recursos internos críticos. Em vez de cada servidor expor SSH ou RDP, só o jump server aceita conexões . Quem precisa administrar qualquer coisa, primeiro entra no jump server, e dali alcança os destinos. A analogia: se sua infraestrutura é um prédio, o jump server é a portaria com catraca . Ninguém entra direto nas salas — todo mundo passa pela portaria, mostra crachá, é registrado. O que NÃO é jump server: Servidor "qualquer" com TeamViewer VPN (VPN te coloca na rede; jump te dá acesso a uma máquina específica) Servidor de produção Substituto pra gestão de identidades "Seguro por existir" Por que existir: Reduz superfície de ataque (1 ponto vs N) Centraliza autenticação e autorização Centraliza logs e auditoria Permite gravação de sessão Aplica políticas uniformes Funciona como ponto de quarentena Suporta fornecedores sem dor Custo baixo Parte 2: Arquiteturas 2.1 Jump server simples Pra equipes pequenas. Limitação: ponto único de falha e comprometimento. 2.2 Jump server duplo (chained) Pra ambientes regulados. Atacante precisa comprometer dois servidores. 2.3 Jump server com broker / PAM Broker valida tudo, busca credenciais temporárias do cofre, estabelece a sessão sem mostrar a senha. Soluções: CyberArk, BeyondTrust, Delinea, HashiCorp Boundary, Teleport. 2.4 Jump server multi-tenant (MSPs) Centraliza acesso a múltiplos clientes. Cuidado: vira alvo dos sonhos. Idealmente, cada cliente deveria ter seu próprio jump segregado. Parte 3: O que precisa ter dentro 3.1 Sistema operacional minimalista Jump server não é estação de trabalho. Sem Office, sem navegador, sem aplicação, sem nada não-essencial. Windows: use Server Core sempre que possível. 3.2 Apenas ferramentas necessárias Linux jump tipicamente tem: OpenSSH, cliente RDP (xfreerdp), mysql/psql client, nmap, dig, traceroute, tcpdump, vim, tmux, ansible. Windows jump tipicamente tem: mstsc, PuTTY, RSAT, PowerShell modules, SSMS. O que NÃO deve ter: navegador, e-mail, Office, Adobe Reader, Java client, software pessoal, compiladores. Regra: se não consegue justificar, não precisa estar ali. 3.3 Rede e segmentação Entrada: Apenas porta de acesso (SSH, RDP ou HTTPS via ZTNA) Whitelist de IPs de origem Bloqueio geográfico Saída: Apenas portas necessárias pros destinos permitidos Bloqueio de saída irrestrita pra internet — crítico Se atacante comprometer o jump, primeira coisa será baixar ferramentas e conectar em C2. Bloqueando saída, você quebra a cadeia. 3.4 Hardening do SSH Banner legal: 3.5 Hardening Windows Server Core sem GUI NLA habilitado SMB v1 desabilitado Defender + Credential Guard + Device Guard AppLocker ou WDAC pra whitelist de execução LAPS pra rotação automática da senha local Audit Policies completas com forwarding pro SIEM PowerShell v2 desabilitado PowerShell Constrained Language Mode CIS Benchmark aplicado via GPO Parte 4: Autenticação e autorização 4.1 MFA obrigatório Sem exceção. Pra todo mundo. Sempre. Linux com Google Authenticator: A diretiva AuthenticationMethods publickey,keyboard-interactive força chave e TOTP. Hardware tokens FIDO2 (mais seguro): A chave privada fica dentro do token físico (YubiKey). Mesmo malware na máquina não consegue extrair. 4.2 Princípio do menor privilégio Grupos por função (dba-mysql, sysadmin-linux, support-tier1, vendor-acme) Sudo granular, nunca ALL Shell restrito quando possível (rbash, lshell) ACLs de filesystem Exemplo /etc/sudoers.d/dba-mysql: 4.3 Autenticação centralizada Não use contas locais. Integre com AD/LDAP/Azure AD/Okta/Google Workspace. Vantagens: Demitiu? Des…