Checklist de Auditoria de Segurança: Um Guia Prático para Proteger Seus Sistemas

Uma auditoria de segurança é uma avaliação sistemática dos sistemas de informação, políticas e procedimentos da sua organização — o objetivo é encontrar vulnerabilidades antes que invasores o façam. Diferente de testes de penetração, que simulam ataques ativos, uma auditoria de segurança examina toda a sua postura de segurança através de revisão de documentação, análise de configuração e verificação de conformidade. Esta lista de verificação aborda as áreas críticas: autenticação, infraestrutura de rede, proteção de dados e preparação para incidentes.

Autenticação e Controle de Acesso

A autenticação é sua primeira linha de defesa. Comece auditando como os usuários comprovam sua identidade e o que eles podem acessar uma vez autenticados.

Revise as políticas e o armazenamento de senhas. Verifique se as senhas atendem aos requisitos mínimos de complexidade: pelo menos 12 caracteres com maiúsculas, minúsculas, números e símbolos. Confirme que as senhas estão sendo criptografadas usando algoritmos modernos como Argon2, bcrypt ou PBKDF2 com fatores de trabalho apropriados. Nunca armazene senhas em texto simples ou use métodos desatualizados como MD5 ou SHA-1 sem salt.

# Verificar algoritmo de hash de senha em um sistema Linux
sudo grep -E 'ENCRYPT_METHOD|SHA_CRYPT' /etc/login.defs

# Verificar configurações de qualidade de senha do PAM
sudo cat /etc/security/pwquality.conf | grep -v '^#' | grep -v '^$'

Audite a implementação de autenticação multifator. MFA requer duas ou mais credenciais independentes — algo que você sabe (senha), algo que você tem (celular ou token físico), ou algo que você é (biometria). Verifique se está ativado para todas as contas privilegiadas, acessos remotos e interfaces administrativas. Confirme que códigos de backup são fornecidos e armazenados com segurança. Sempre que possível, evite MFA por SMS; ataques de troca de SIM o tornam pouco confiável. Aplicativos autenticadores ou tokens físicos como YubiKey são opções muito mais robustas.

Examine listas de controle de acesso e permissões. Revise quais usuários têm privilégios administrativos. O princípio do menor privilégio é simples: as pessoas devem acessar apenas o que sua função realmente exige. Procure por contas órfãs de ex-funcionários, credenciais compartilhadas ou contas genéricas como "admin" ou "webmaster" que várias pessoas usam — essas são bandeiras vermelhas em qualquer auditoria.

# Listar usuários com privilégios sudo
sudo grep -Po '^sudo.+:\K.*$' /etc/group

# Encontrar arquivos com bit SUID (potencial escalação de privilégios)
find / -perm -4000 -type f 2>/dev/null

Segurança de Rede e Infraestrutura

A segurança de rede controla como os dados trafegam entre sistemas e quem pode alcançar sua infraestrutura.

Mapeie e segmente sua arquitetura de rede. Documente todos os segmentos de rede, VLANs e limites de confiança. Sistemas críticos como bancos de dados e processadores de pagamento devem ficar em segmentos isolados com regras de firewall rigorosas. WiFi para visitantes deve estar completamente separado das redes corporativas. Revise as regras de firewall para confirmar que seguem uma política de negação por padrão — bloqueie tudo exceto o tráfego explicitamente permitido.

Audite serviços e portas expostos. Escaneie todos os sistemas expostos à internet para identificar portas abertas e serviços em execução. Problemas comuns incluem serviços desnecessários deixados ativos, protocolos desatualizados como Telnet ou FTP, e servidores web mal configurados que revelam listagens de diretórios ou informações de debug para qualquer um que olhar.

# Escanear portas abertas em um sistema alvo
nmap -sV -p- 192.168.1.100

# Verificar serviços em escuta na máquina local
ss -tulpn | grep LISTEN

Revise mecanismos de acesso remoto. SSH deve usar autenticação baseada em chaves com autenticação por senha desabilitada. Verifique se o login root está proibido e se sessões ociosas expiram. Configurações de VPN devem usar criptografia forte (AES-256), autenticação baseada em certificados e políticas de split-tunneling que impeçam tráfego não autorizado de contornar seus controles de segurança.

# Auditar configuração SSH
sudo grep -E 'PermitRootLogin|PasswordAuthentication|PubkeyAuthentication' /etc/ssh/sshd_config

Proteção de Dados e Criptografia

Proteger dados em repouso e em trânsito significa que mesmo quando outros controles de segurança falham, a divulgação não autorizada não é garantida.

Verifique a criptografia de dados em repouso. Todos os dados sensíveis armazenados em servidores, bancos de dados e mídias de backup devem estar criptografados. Confirme que a criptografia de disco completo está habilitada em notebooks e dispositivos móveis. Para bancos de dados, transparent data encryption (TDE) funciona bem para proteção geral, mas campos particularmente sensíveis como números de cartão de crédito ou CPF frequentemente justificam criptografia em nível de aplicação além disso.

“The only secure computer is one that's unplugged, locked in a safe, and buried 20 feet under the ground in a secret location.”

— Dennis Hughes

Audite a proteção de dados em trânsito. Todas as aplicações web devem usar HTTPS com TLS 1.2 ou superior. Verifique se os certificados TLS são válidos, configurados corretamente e usam cipher suites fortes. Teste avisos de conteúdo misto que podem silenciosamente degradar a segurança. Serviços internos conversando entre si através de servidores também devem usar criptografia — tráfego interno não é automaticamente seguro.

# Testar configuração TLS e cipher suites
nmap --script ssl-enum-ciphers -p 443 example.com

# Verificar detalhes do certificado
openssl s_client -connect example.com:443 -servername example.com < /dev/null | openssl x509 -noout -text

Revise implementações de segurança de email. PGP ou S/MIME protegem o conteúdo das mensagens contra interceptação. Implementar isso em toda a organização é genuinamente complexo, mas comunicações críticas sobre incidentes de segurança, dados financeiros ou informações pessoais devem usá-lo. Também verifique se os registros SPF, DKIM e DMARC estão configurados corretamente — esses três juntos fazem muito para prevenir spoofing de email.

Logging, Monitoramento e Resposta a Incidentes

Controles de segurança só são efetivos se você consegue detectar quando estão sendo contornados ou atacados. Logging é como você descobre isso.

Audite cobertura e retenção de logs. Verifique se todos os sistemas críticos geram logs para tentativas de autenticação, escalação de privilégios, mudanças de configuração e acesso a dados. Logs devem ser centralizados, criptografados em trânsito para o servidor de logs e armazenados por pelo menos 90 dias. Confirme que os timestamps dos logs estão sincronizados usando NTP e que os logs são write-once — se um invasor conseguir modificar seus logs, você perdeu sua trilha de evidências.

# Verificar sincronização NTP
timedatectl status

# Verificar configuração do syslog
sudo cat /etc/rsyslog.conf | grep -v '^#' | grep -v '^$'

Revise regras de alerta e limites. Alertas automatizados devem disparar em atividades suspeitas: múltiplas tentativas de login falhadas, escalação de privilégios, transferências incomuns de dados ou mudanças de configuração fora das janelas de manutenção. Teste se os alertas realmente chegam à sua equipe de segurança. Fadiga de alerta é um problema real — se tudo é urgente, nada é.

Valide a preparação para resposta a incidentes. Sua equipe sabe exatamente o que fazer quando algo dá errado? Sua auditoria deve confirmar que existe um plano de resposta a incidentes, que foi testado através de exercícios de simulação e que inclui contatos para assessoria jurídica, aplicação da lei e perícia forense terceirizada se necessário. Verifique se os backups do sistema são testados regularmente e armazenados offline onde ransomware não pode alcançá-los.

Gerenciamento de Patches e Remediação de Vulnerabilidades

Sistemas sem patches são o ponto de entrada mais comum para invasores. Sua auditoria precisa avaliar quão rapidamente vulnerabilidades são identificadas e corrigidas.

Inventarie todos os softwares e versões. Você não pode aplicar patches no que não sabe que existe. Documente todos os sistemas operacionais, aplicações, bibliotecas e dependências. Use ferramentas automatizadas para rastrear versões de software e comparar contra bases de dados de vulnerabilidades conhecidas como o National Vulnerability Database (NVD).

**Avalie o processo de patch