Proteção e segurança de sites é uma **disciplina multi-camada** combinando hardening servidor, codificação segura, controle acesso, criptografia, e monitoramento contínuo para defender confidencialidade, integridade, e disponibilidade (triade CIA) de ativos web.
1. Segurança Lado Servidor (Camada Infraestrutura)
- Firewall Rede: Restrinja entrada só portas necessárias (80/443, talvez 22/3389 restrito a IPs admin). Use WAF cloud (Cloudflare, AWS WAF, Azure Front Door) para mitigação DDoS e rule sets OWASP Top 10.
- Hardening Host: OS mínimo, desative root SSH login, auth só chave, fail2ban/UFW, updates segurança automáticos (`unattended-upgrades` / `dnf-automatic`).
- Config Web Server (Nginx/Apache): Desative listagem diretório, server tokens, método TRACE. Ative headers HSTS, CSP, X-Frame-Options, Referrer-Policy.
- SSL/TLS: TLS 1.2/1.3 apenas. Cert válido (Let's Encrypt / DigiCert). Automatize renovação (Certbot). Teste via SSL Labs (Target A+).
- IDS/IPS: Wazuh, OSSEC, ou cloud-native GuardDuty/Defender for Cloud.
- Backups: Regra 3-2-1. Automatizados, criptografados, offsite, restores testados (RPO/RTO definidos).
2. Segurança Lado Aplicação (Camada Código & Lógica)
- SDLC Seguro: Threat modeling, SAST (SonarQube, CodeQL), DAST (OWASP ZAP, Burp), SCA (Dependabot, Snyk) no CI/CD.
- Validação Entrada & Encoding Saída: Previna XSS, SQLi, Command Injection. Use queries parametrizadas / ORM. Encode contextual (HTML, JS, URL, CSS).
- AuthN/AuthZ: MFA obrigatório (TOTP/WebAuthn). JWTs curtos (15m) + Refresh tokens (HttpOnly, Secure, SameSite=Strict cookies). RBAC/ABAC enforced server-side.
- Gestão Sessão: Cookies Secure, HttpOnly, SameSite. Rotacione em mudança privilégio. Invalide em logout/troca senha.
- Segurança API: Rate limiting, validação schema (OpenAPI), OAuth2/OIDC, mTLS service-to-service.
- WAF (Web App Firewall): ModSecurity (OWASP CRS) ou Cloud WAF modo blocking para virtual patching.
3. Controles Client-Side & Centrados no Usuário
- Política Senha: NIST 800-63B: Mín 8 chars, sem regras complexidade, cheque contra corpus vazamentos (HaveIBeenPwned API), permita paste/managers.
- MFA: TOTP (apps autenticador) + WebAuthn/FIDO2 (Passkeys/YubiKeys) — deprecie SMS/Email OTP.
- Recuperação Conta: Fluxos seguros, não engenharia-social (backup codes, delegated recovery).
- Educação Usuário: Simulações phishing, docs segurança claras, botão "Reportar Phish".
4. Proteção Dados & Compliance
- Criptografia em Repouso: AES-256 (LUKS, RDS encryption, S3 SSE-S3/KMS). Gestão chaves via HSM/KMS.
- Criptografia em Trânsito: TLS 1.2+ everywhere (mTLS interno via Istio/Linkerd/Consul).
- Minimização Dados: Colete só necessário. Pseudonimize/anônimize analytics.
- Regulamentações Privacidade: GDPR (Art. 32 segurança), CCPA/CPRA, HIPAA, PCI-DSS (se pagamentos). DPIA alto risco. DPA subprocessadores.
5. Monitoramento, Detecção & Resposta
- SIEM / Agregação Logs: Elastic/EFK, Splunk, Datadog, Loki/Grafana. Centralize: logs app, access logs, audit trails, CloudTrail, auth logs.
- Alertas: Spikes login falho, anomalias 4xx/5xx, blocos WAF, escalação privilégio, integridade arquivos (AIDE/Tripwire), spikes CPU crypto-mining.
- Plano Resposta Incidentes: Papéis definidos, runbooks (conter, erradicar, recuperar), templates comms, timelines notificação legal/regulatório (72h GDPR). Exercícios tabletop trimestrais.
- Gestão Vulnerabilidades: Scans autenticados mensais (OpenVAS, Nessus, Trivy). SLAs patch: Crítico 48h, Alto 2s, Médio 30d.
- Teste Penetração: Anual third-party + após mudanças maiores. Bug bounty (HackerOne, Intigriti) cobertura contínua.
Segurança é Processo, Não Produto
Automatize baselines (Terraform/Ansible + Policy-as-Code: OPA/Gatekeeper). Trate segurança como código. Revise, adapte, repita.
