# CIS Benchmarks e módulos do BSI para servidores web > CIS Benchmark para servidores web e módulos do BSI comparados: que normas servem para Linux, Nginx, Apache e PHP e como as pôr em prática no seu servidor. Fonte: https://phpsos.de/pt/blog/cis-benchmarks-bsi-bausteine/ Atualizado em: 25/10/2026 Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6 **Em resumo:** Um CIS Benchmark para servidores web fornece definições concretas e específicas de cada versão para o sistema operativo e o servidor web, por exemplo para Ubuntu, Debian, RHEL, Nginx ou Apache. Os módulos do IT-Grundschutz (proteção de base de TI) do BSI (Gabinete Federal Alemão para a Segurança da Informação) descrevem, por seu lado, que requisitos se aplicam a servidores web, aplicações web, gestão de patches e registo de eventos. Em conjunto, dão uma diretriz de reforço verificável; as definições específicas do PHP são complementadas por si. ## Porque é que “bem configurado” não é uma referência Depois de um incidente, a administração, a seguradora ou os auditores fazem, mais cedo ou mais tarde, a mesma pergunta: segundo que norma estava o servidor configurado? A resposta honesta, em muitas empresas, é: segundo o melhor conhecimento do administrador que o montou na altura. Isso não é necessariamente mau, mas não é nem rastreável nem repetível. O PHP2Shell tornou isto visível. Quem queria saber que servidores estavam afetados, que modo de funcionamento do PHP estava em uso e quando tinha sido aplicado o último patch teve, em muitos sítios, de começar por procurar. Uma norma de reforço não substitui uma atualização, mas cria precisamente esta ordem: definições fixadas, um inventário e verificações regulares. Duas obras provaram a sua utilidade para isso: os CIS Benchmarks do Center for Internet Security e o IT-Grundschutz do BSI. ## O que contém um CIS Benchmark para servidores web Os CIS Benchmarks são recomendações de configuração baseadas em consenso, elaboradas em conjunto por especialistas de muitas organizações. Segundo o CIS, existem para mais de 25 famílias de produtos. Para servidores web PHP são relevantes sobretudo estes: Ubuntu Linux, Debian Linux e Red Hat Enterprise Linux para o sistema operativo, e Apache HTTP Server 2.4 e NGINX para o servidor web. Cada benchmark é uma lista de recomendações individuais com justificação, instrução de verificação e correção. Muitos benchmarks distinguem um perfil básico, que se pode aplicar sem grandes efeitos secundários, e um perfil mais rigoroso para necessidades de proteção mais elevadas. Para a verificação automática, o CIS oferece ferramentas, conhecidas no âmbito dos benchmarks pelo nome CIS-CAT. A vantagem é a precisão: em vez de “proteger o SSH”, indica-se que definição deve ter que valor e como o verificar. A desvantagem é a dimensão. Um benchmark completo para um sistema Linux contém muitíssimos pontos, e nem todos se adequam a todas as operações. Atenção também à versão. Os benchmarks aplicam-se a determinadas versões: a vista geral do CIS indica, por exemplo, edições separadas para versões LTS do Ubuntu até à 26.04, para o Debian 9 a 13 e para o RHEL 8, 9 e 10. Quem aplica o benchmark de uma versão mais antiga a um sistema novo verifica, em parte, definições que aí já não existem e deixa passar as novas. Se num servidor ainda corre um sistema operativo sem suporte do fabricante, isso é, por si só, a constatação mais importante. ## Os módulos do BSI adequados para servidores web PHP O IT-Grundschutz do BSI trabalha com módulos que descrevem requisitos para sistemas e processos. Atualmente, o Compêndio do IT-Grundschutz está na edição de 2023. O BSI está neste momento a converter o IT-Grundschutz num conjunto de regras orientado para processos e legível por máquina; segundo o BSI, o compêndio atual continua aplicável durante um período de transição de vários anos. Para um servidor web PHP, estes são os módulos mais importantes: | Módulo | Conteúdo | Relação com o servidor web PHP | |---|---|---| | APP.3.2 Servidor web | operação e configuração do servidor web | Nginx, Apache, LiteSpeed | | APP.3.1 Aplicações web e serviços web | requisitos para a aplicação | CMS, loja, software PHP próprio | | SYS.1.3 Servidores em Linux e Unix | reforço do sistema operativo | base de qualquer servidor web Linux | | OPS.1.1.3 Gestão de patches e de alterações | aplicação ordenada de atualizações | atualizações do PHP, reinícios, comprovativo | | OPS.1.1.5 Registo de eventos | recolha e análise de eventos | registos de acesso e de erros | | CON.3 Conceito de cópias de segurança | backups e recuperação | cópia de segurança do código e da base de dados | | CON.10 Desenvolvimento de aplicações web | desenvolvimento seguro | projetos PHP próprios | O Grundschutz é menos concreto do que um CIS Benchmark, mas abrange processos que não estão em nenhum ficheiro de configuração: quem aplica os patches, quem verifica, quem é informado. ## CIS ou BSI: o que serve à sua empresa? A escolha depende menos da técnica do que do contexto. Uma regra prática: - **Base técnica para servidores individuais:** CIS Benchmark para o sistema operativo e o servidor web, complementado por uma diretriz PHP própria. - **Administração pública, clientes com referência ao Grundschutz, áreas reguladas:** IT-Grundschutz como enquadramento, CIS Benchmarks para a aplicação concreta. - **Empresas com ISO 27001 ou TISAX:** ambas as obras servem de suporte técnico às políticas próprias, ver [ISO 27001 e TISAX: o que afeta os servidores web](https://phpsos.de/pt/blog/iso-27001-tisax-webserver/). - **Empresas abrangidas pela NIS2:** uma norma de reforço documentada ajuda a comprovar medidas adequadas. O que a diretiva exige é resumido em [NIS2 e segurança dos servidores web](https://phpsos.de/pt/compliance/nis2/); em cada caso concreto, decide o seu aconselhamento jurídico. Para o próprio PHP, deve complementar as diretrizes do servidor: valores bloqueados no php.ini, pools FPM separados, sem execução em pastas de upload. Uma boa base é o guia [Configurar o php.ini com segurança](https://phpsos.de/pt/ratgeber/php-ini-sicher-konfigurieren/). ## Em seis passos até à sua própria diretriz de reforço Uma norma só serve se chegar à operação. Este procedimento provou ser útil: 1. **Criar o inventário:** que servidores, sistemas operativos, servidores web e versões de PHP correm onde? 2. **Escolher o benchmark e os módulos**, adequados à versão e à necessidade de proteção. 3. **Verificar o estado atual**, se possível de forma automatizada, e recolher os desvios. 4. **Avaliar os desvios:** aplicar, aceitar conscientemente ou compensar com outras medidas, sempre com fundamentação. 5. **Fixar a diretriz**, idealmente como automatização da configuração, para que os novos servidores sejam reforçados desde o início. 6. **Verificar de novo regularmente e após atualizações maiores**, pois os novos pacotes trazem por vezes novos valores por defeito. O passo 6 liga o reforço ao processo de patches. Como aplicar atualizações de forma planeada, e não em pânico, é descrito em [Gestão de patches como processo, e não como corpo de bombeiros](https://phpsos.de/pt/blog/patch-management-prozess/). > **Importante:** > Teste primeiro os perfis rigorosos num sistema de staging. Algumas recomendações, por exemplo sobre sistemas de ficheiros ou serviços de rede, podem interromper aplicações ou acessos remotos. ## Como ajuda concretamente a PHP SOS? - Registamos os seus servidores web e atribuímos a cada um o CIS Benchmark adequado e os módulos relevantes do Grundschutz. - Verificamos o estado atual e entregamos uma lista priorizada dos desvios, com esforço e benefício. - Complementamos a diretriz com uma base PHP para o php.ini, os pools FPM e as permissões de ficheiros. - Documentamos as exceções deliberadas de modo a que auditores e seguradoras as possam compreender. A implementação fica a nosso cargo no âmbito do [reforço de segurança de servidores para servidores web PHP](https://phpsos.de/pt/leistungen/server-haertung/). ## Perguntas frequentes **Tenho de aplicar todas as recomendações de um CIS Benchmark?** Não. Os benchmarks são uma referência, não uma lei. Algumas recomendações não se adequam à sua operação ou perturbariam funções. O importante é decidir os desvios de forma consciente, fundamentá-los e documentá-los. **Os CIS Benchmarks e o IT-Grundschutz são concorrentes?** Antes são complementares. Os CIS Benchmarks fornecem definições concretas por produto e versão. O IT-Grundschutz descreve requisitos para sistemas e processos, por exemplo gestão de patches e registo de eventos, e enquadra-os num sistema de gestão. **Existe uma norma de reforço específica para PHP?** As definições do PHP aparecem, nas normas de servidor correntes, normalmente só de forma marginal. Na prática, complementam-se as diretrizes do servidor com uma base PHP própria, por exemplo para php.ini, pools FPM e permissões de ficheiros, e orienta-se a aplicação pelos módulos sobre aplicações web. **Um CIS Benchmark teria evitado o PHP2Shell?** Não. O PHP2Shell são vulnerabilidades no interpretador PHP, contra as quais só ajuda a atualização. Um servidor reforçado pode, no entanto, limitar as consequências de uma intrusão e, através de uma gestão de patches ordenada, fazer com que as atualizações sejam aplicadas mais depressa e de forma comprovável. **O IT-Grundschutz é demasiado grande para pequenas empresas?** Como sistema de gestão completo, muitas vezes sim. Os módulos individuais podem, no entanto, ser bem usados como lista de verificação para servidores web e aplicações web, sem adotar de imediato todo o procedimento. ## Fontes - [CIS Benchmarks](https://www.cisecurity.org/cis-benchmarks) - [BSI: IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html) - [BSI: página inicial](https://www.bsi.bund.de/)