Checklist de hardening para redes de pequenas e médias empresas

Hardening de rede não precisa ser um projeto caro ou complexo para começar a reduzir riscos de verdade. Boa parte das brechas exploradas em incidentes reais — como as campanhas FortiBleed e de botnets MikroTik que cobrimos aqui no blog — dependem de configurações básicas que nunca foram ajustadas. Este checklist cobre o essencial, em ordem de prioridade.

1. Acesso administrativo

• Nunca deixe a interface de administração (web, SSH, Winbox) de roteadores e firewalls exposta diretamente à internet pública;
• Troque todas as credenciais padrão por senhas fortes e únicas por dispositivo;
• Habilite autenticação multifator (MFA) sempre que o equipamento suportar, especialmente para VPN e acesso administrativo remoto.

2. Segmentação

• Separe a rede em VLANs por função (gerência, corporativo, convidados, IoT/câmeras);
• Aplique regras de firewall entre VLANs — criar a VLAN sem regra de bloqueio não isola nada de verdade;
• Isole dispositivos com histórico de vulnerabilidades (câmeras IP, IoT) em uma VLAN sem acesso à rede corporativa.

3. Atualizações e manutenção

• Mantenha firmware/firmware de firewall, switches e access points atualizados — a maioria das campanhas de botnet explora vulnerabilidades já corrigidas em versões mais recentes;
• Defina uma janela de manutenção recorrente para aplicar patches, em vez de deixar “para quando der”;
• Acompanhe os boletins de segurança dos fabricantes (Fortinet PSIRT, MikroTik) para saber quando uma atualização é crítica.

4. Monitoramento

• Configure alertas para quedas de VPN, túneis site-to-site e links de internet;
• Audite periodicamente regras de firewall e DNS em busca de entradas que ninguém da equipe reconhece;
• Revise contas de acesso administrativo periodicamente e remova as que não são mais necessárias.

5. Energia e continuidade

• Use nobreak senoidal para equipamentos de rede críticos — quedas abruptas de energia corrompem configurações e podem danificar hardware com fonte de alimentação sensível;
• Configure failover entre dois links de internet de operadoras diferentes para operações que não podem ficar offline.

Por onde começar

Se você só puder atacar um item desta lista hoje, comece pelo primeiro: remover qualquer interface de administração exposta diretamente à internet. É o item que mais aparece como porta de entrada em incidentes reais, incluindo a campanha FortiBleed que cobrimos recentemente. Para equipamentos com capacidade de segmentação e VPN mais robusta, veja nosso catálogo de firewalls FortiGate.

Perguntas frequentes

Preciso de uma equipe de segurança dedicada para aplicar esse checklist?
Não. A maioria dos itens é configuração pontual que um administrador de TI generalista consegue aplicar — o desafio maior costuma ser achar tempo, não conhecimento técnico.

Qual item traz mais retorno de segurança por esforço investido?
Fechar o acesso administrativo exposto à internet e habilitar MFA. É rápido de fazer e elimina o vetor de ataque mais comum em campanhas recentes.

Esse checklist substitui uma auditoria de segurança formal?
Não — é um ponto de partida sólido, mas empresas com dados sensíveis ou exigências de compliance (PCI-DSS, LGPD) devem complementar com uma auditoria mais aprofundada.

Conclusão

Hardening não é um projeto único, é um hábito. A maior parte dos itens deste checklist custa tempo, não dinheiro — e cobre exatamente os vetores de ataque mais explorados em campanhas reais contra pequenas e médias empresas.