Desativar um servidor com segurança: removê-lo de todos os sistemas que ainda confiam nele

Objetivo

Retirar um servidor sem deixar referências obsoletas no DNS, no monitoramento, nos backups ou em um serviço de diretório, e sanitizar o armazenamento de forma adequada ao tipo de mídia antes da reutilização ou do descarte.

Pré-requisitos

O registro de inventário que lista todos os sistemas que referenciam este host; permissões para remover entradas nos sistemas de DNS, monitoramento, backup e diretório; e um plano de sanitização de mídia, caso os discos sejam reutilizados ou saiam do controle da organização.

Passos

1. Confirme que nada mais depende do host (conexões ativas, jobs que o têm como alvo, entradas em balanceadores de carga) e primeiro drene o tráfego.
2. Remova ou atualize os registros DNS (direto e reverso), de modo que o nome e o IP deixem de resolver para um serviço ativo.
3. Remova o host do monitoramento, dos dashboards e dos runbooks.
4. Desative os jobs de backup do host; mantenha ou elimine os backups existentes conforme a política de retenção.
5. Revogue as credenciais emitidas para este host: entradas de confiança em known_hosts, credenciais de contas de serviço e de API, e certificados TLS que o nomeiam (revogue, não espere pela expiração).
6. Se o host estiver associado ao domínio, remova seu objeto de computador com Remove-ADComputer -Identity <name>, cmdlet documentado como o que "Removes an Active Directory computer". Faça uma simulação com -WhatIf; para desfazer a remoção é necessário o AD Recycle Bin ou uma restauração autoritativa. Objetos com objetos filhos (como nós de cluster) exigem Remove-ADObject -Recursive.
7. Sanitize o armazenamento antes da reutilização ou do descarte, escolhendo o método conforme a mídia. A NIST SP 800-88 Rev. 2 define sanitização como tornar "access to target data on the media infeasible for a given level of effort" (o acesso aos dados-alvo na mídia inviável para um determinado nível de esforço), por meio de Clear, Purge ou Destroy:
   • SSD/NVMe: a sobrescrita não é confiável por causa do wear-leveling; use, portanto, o apagamento nativo da própria unidade. Em NVMe, funciona nvme format <device> --ses=1 (apagamento de dados do usuário) ou --ses=2 (apagamento criptográfico); o nvme format simples usa por padrão --ses=0, "No secure erase operation requested". nvme sanitize e o secure-erase/sanitize do ATA são alternativas, onde houver suporte. O blkdiscard apenas executa TRIM nos setores ("is used to discard device sectors") e não garante que as células de flash sejam apagadas; portanto, não é um método de sanitização.
   • Volumes LUKS: cryptsetup luksErase <device> (sintaxe mais recente: cryptsetup erase) apaga todos os keyslots e deixa o contêiner "permanently inaccessible". Isso só conta como apagamento criptográfico se todos os dados tiverem sido criptografados desde a primeira gravação e se não restar nenhum backup do cabeçalho LUKS nem cópia da chave do volume.
   • HDDs: a sobrescrita completa do dispositivo é uma técnica de Clear, mas não alcança setores realocados. O Purge usa o comando de sanitize/secure-erase da unidade ou a desmagnetização (degaussing), e o Destroy significa destruição física.
   • Volumes em nuvem: exclua o volume e destrua a chave gerenciada pelo cliente, se você usar uma.
8. Marque o registro de inventário como desativado, em vez de excluí-lo.

Resultado esperado

Nenhuma entrada de DNS, monitoramento, backup ou diretório referencia o host, suas credenciais estão revogadas e o armazenamento está sanitizado de acordo com o tipo de mídia.

Limites e base de verificação

A NIST SP 800-88 trata Clear, Purge e Destroy como níveis de garantia diferentes, não como opções intercambiáveis; a escolha depende da sensibilidade dos dados e de a mídia sair ou não do controle da organização, e o resultado deve ser verificado e registrado. Dependendo dos recursos da unidade, o nvme format pode apagar todos os namespaces do controlador; nenhum desses comandos pode ser desfeito, portanto confira antes o caminho do dispositivo (lsblk, nvme list). A remoção de um objeto de computador do AD não invalida tíquetes Kerberos já emitidos, que continuam válidos até expirar; trate as contas de serviço e delegações relacionadas no passo 5.