Proteção do VPS — a lista de verificação OPSEC da primeira hora.
Oito etapas. Execute isso em cada servidor novo.

Sim, por ampla margem. Uma senha — mesmo uma aleatória de 16 caracteres — é passível de força bruta em algum modelo de ameaça realista; uma chave SSH ed25519 tem 256 bits de entropia e não é. Uma chave também está vinculada ao dispositivo onde reside, então um atacante precisa tanto do arquivo de chave QUANTO da passphrase que o descriptografa. Desative o PasswordAuthentication completamente no sshd_config e a superfície de ataque de força bruta vai a zero.

Isso não impede um invasor determinado — eles vão escanear todas as 65.535 portas. MAS reduz o volume de ruído automatizado de bots que só tentam a porta 22, o que significa logs mais limpos e fail2ban menos sobrecarregado. Escolha uma porta aleatória entre 1024 e 65535, anote em algum lugar que não vai perder, atualize o firewall para permitir. Ganho líquido: cerca de 90% menos ruído nos logs.

UFW para quem está aprendendo ou rodando um único VPS — é um wrapper amigável, a sintaxe é legível por humanos, e fica sobre iptables ou nftables por baixo. nftables diretamente se você quiser composição de regras mais rigorosa, conjuntos anônimos, ou rodar mais de alguns poucos servidores e quiser consistência. Ambos produzem o mesmo resultado a nível de kernel.

Patches de segurança, sim — eles corrigem CVEs críticos e a alternativa é deixá-los expostos. Atualizações completas de kernel são mais arriscadas porque exigem reinicialização para entrar em vigor; o unattended-upgrades não reinicializa automaticamente por padrão. Leia /etc/apt/apt.conf.d/50unattended-upgrades e decida: a maioria dos clientes NordBastion mantém a configuração não assistida em "security-only" e reinicializa manualmente uma vez por mês em uma janela de baixo tráfego.

Estritamente necessário, não — uma vez que a autenticação por senha está desativada, força bruta no SSH não pode ter sucesso. O fail2ban continua útil para outros serviços (e-mail, páginas de login de aplicações web, qualquer coisa que tenha uma camada de credenciais). Seguro barato: apt install fail2ban, aceite os padrões, siga em frente. Os 30 segundos para instalar valem os logs mais limpos e a proteção extra de serviços que oferece.

Não é parte da primeira hora — criptografia de disco completo com chave mantida pelo usuário requer uma instalação de ISO personalizada (montando LUKS na inicialização com uma senha que alguém precisa digitar) ou a próxima opção de LUKS-on-provision da NordBastion (roadmap do painel). Por enquanto, trate o disco como legível pela NordBastion (no improvável caso de intimação judicial) e trate a proteção jurisdicional da NordBastion como a camada que o mantém seguro. Se seu modelo de ameaça requer FDE antes do lançamento, instale o Debian via ISO de resgate em um volume raiz LUKS e desbloqueie pelo console do painel a cada inicialização — viável, mas uma mudança significativa no ônus operacional.

Três cadências úteis. (1) Antes de cada mudança significativa (atualização de pacote, edição de configuração, atualização de SO). (2) Em um agendamento — uma vez por semana é um padrão razoável para qualquer workload de produção. (3) Antes de cada exercício de verificação de backup, para que você possa provar que a restauração funciona. Os snapshots do NordBastion são off-host e criptografados; não consomem seu disco do VPS e podem ser restaurados em cerca de 90 segundos.

Para a primeira hora: ainda não — finalize o hardening, coloque a carga de trabalho em execução, depois adicione monitoramento quando tiver algo que valha monitorar. Opções leves: node_exporter + Prometheus + Grafana em um segundo VPS pequeno, Netdata como dashboard self-hosted de binário único, ou mais simples ainda, um verificador externo de uptime na tier gratuita (UptimeRobot, BetterStack) fazendo ping nas portas públicas. Escolha um, configure-o e esqueça — o monitoramento é mais útil quando permanece em silêncio.