Instalar, configurar e parametrizar sistemas operativos (UC02829)

Há um pacote premium desta unidade: um PowerPoint editável de 100 ou mais diapositivos, um manual em PDF e dois testes com correção. Esta sebenta continua gratuita.

Introdução

Esta sebenta ensina a instalar, configurar e parametrizar sistemas operativos em equipamentos informáticos, com Windows e Linux (Ubuntu) como caminhos paralelos. O objetivo não é decorar menus. É ser capaz de receber um computador sem sistema, ou com um sistema que já não serve, e entregá-lo pronto: instalado a partir do suporte certo, com os parâmetros certos, com os periféricos a funcionar, com os recursos geridos, com cada utilizador a ver apenas o que deve ver e com a segurança da informação respeitada.

O percurso segue a sequência real de um técnico: perceber o que é um sistema operativo e o que o equipamento oferece, ler a documentação do fabricante, preparar o arranque e o suporte de instalação, instalar Windows e Ubuntu, decidir o particionamento e o sistema de ficheiros, configurar periféricos, ajustar o ambiente de trabalho, compreender processos e memória, gerir recursos para dar rendimento às aplicações, definir contas, privilégios e partilhas, e por fim aplicar as normas de segurança. Cada capítulo tem pelo menos um exemplo resolvido passo a passo, para ver o raciocínio completo e não apenas o resultado.

Objetivos de aprendizagem (referencial): instalar sistemas operativos nos equipamentos informáticos; parametrizar os recursos dos sistemas operativos; interpretar manuais e tutoriais técnicos; operar com diferentes sistemas operativos; definir configurações de arranque, de periféricos, de armazenamento, de partilha e de privilégios; e aplicar normas e regulamentos, sempre com responsabilidade, autonomia e respeito pelas regras definidas.

Como usar esta sebenta

Os comandos aparecem em blocos de código e podem ser experimentados numa máquina virtual, que é o laboratório mais seguro: se correr mal, apaga-se e recomeça-se. Nunca experimentes comandos de partição ou de formatação numa máquina com dados reais sem cópia de segurança. As tabelas comparam Windows e Linux lado a lado, porque o técnico competente não é "o de Windows" nem "o de Linux": conhece o princípio e sabe onde ele mora em cada sistema.

1. Sistemas operativos: funções, arquitetura e famílias

Um sistema operativo (SO) é o conjunto de programas que gere o hardware e fornece serviços às aplicações. Sem ele, cada aplicação teria de saber falar diretamente com o disco, o ecrã, o teclado e a rede. Com ele, a aplicação pede "abre este ficheiro" e o sistema trata do resto.

As funções de um sistema operativo

Arquitetura: núcleo, controladores e espaço do utilizador

O núcleo (kernel) é a parte do sistema que corre com privilégios máximos e fala com o hardware. As aplicações correm no espaço do utilizador, com privilégios limitados, e pedem serviços ao núcleo através de chamadas ao sistema. Os controladores (drivers) são módulos que ensinam o núcleo a falar com um dispositivo concreto. Esta separação é a razão pela qual uma aplicação com defeito não destrói o computador: o núcleo recusa-lhe o acesso direto ao hardware.

No Windows, o núcleo é o do Windows NT, comum ao Windows 10 e 11. No Linux, o núcleo chama-se Linux e uma distribuição como o Ubuntu junta-lhe as ferramentas, o gestor de pacotes e o ambiente gráfico. Por isso se diz que "Ubuntu" é uma distribuição e "Linux" é o núcleo.

Famílias de sistemas operativos

• Windows (Microsoft): dominante em computadores de secretária e portáteis de empresa e de casa. Edições como Home, Pro, Enterprise e Education diferem em funcionalidades de gestão e segurança.
• Linux (muitas distribuições): Ubuntu, Debian, Fedora, Linux Mint e outras. Dominante em servidores e muito usado em desenvolvimento de software. Gratuito e de código aberto.
• macOS (Apple): só corre em equipamento da Apple. Aparece nesta UC apenas como termo de comparação.
• Sistemas móveis (Android, iOS): para telemóveis e tabletes, fora do âmbito desta UC.

Versões de longo prazo e fim de suporte

Todo o sistema tem um ciclo de vida: depois de uma data, deixa de receber correções de segurança. Instalar um sistema fora de suporte numa máquina ligada à rede é um risco que o técnico deve recusar ou, pelo menos, escrever e comunicar. O Ubuntu publica versões LTS (Long Term Support), de dois em dois anos, com suporte standard de cinco anos; o suporte standard do Windows 10 terminou em 14 de outubro de 2025. Antes de instalar, confirma sempre as datas na página oficial do fabricante, porque podem ser alteradas.

Exemplo resolvido · Escolher o sistema para três máquinas

Situação. Uma pequena contabilidade tem três máquinas por instalar: um portátil para o contabilista (usa programa de faturação só para Windows), um PC que vai ser servidor de ficheiros e um portátil velho de 2015 que a estagiária quer usar para escrever relatórios.

Resolução, passo a passo.

1. Portátil do contabilista. O requisito decisivo é o programa de faturação, que só corre em Windows. Escolhe-se Windows 11 Pro, se o hardware cumprir os requisitos (capítulo 2), ou Windows 10 apenas se for imprescindível, com as atualizações de segurança alargadas (ESU) e o risco comunicado por escrito, porque o suporte standard já terminou.
2. Servidor de ficheiros. Não precisa de interface gráfica, consome menos recursos sem ela e é gerido por SSH. Escolhe-se Ubuntu Server LTS, com Samba para partilhar pastas com os PC Windows.
3. Portátil de 2015. Provavelmente não cumpre os requisitos do Windows 11. Um Ubuntu Desktop LTS ou um Linux Mint dá-lhe uma segunda vida, com o LibreOffice a abrir e guardar ficheiros compatíveis com o Office.
4. Registar a decisão numa tabela, com o motivo de cada escolha.

A escolha do sistema é sempre decisão técnica justificada, nunca preferência pessoal.

2. Equipamento, requisitos e documentação técnica

Antes de instalar, o técnico responde a duas perguntas: o que é que este equipamento tem? e o que é que este sistema exige? Só depois decide.

Características do equipamento que condicionam a instalação

Requisitos mínimos oficiais

Os valores publicados pelos fabricantes são o ponto de partida, e devem ser confirmados na página oficial na altura da instalação:

Mínimo não é recomendado. Um sistema com 4 GB de RAM abre, mas um browser com vários separadores e um programa de escritório já o levam ao limite. Para uso profissional, a regra prática é 8 GB como piso e 16 GB para quem usa máquinas virtuais.

Capacidade comercial e capacidade real

Os fabricantes de discos contam em potências de 10 (1 TB = 1 000 000 000 000 bytes), mas os sistemas operativos mostram em potências de 2 (1 GiB = 1 073 741 824 bytes). Por isso, um disco de 1 TB aparece como cerca de 931 GiB: 1 000 000 000 000 ÷ 1 073 741 824 ≈ 931,3. Não é defeito nem engano, é diferença de unidade, e convém explicá-la ao cliente que pergunta "onde foi o resto do meu disco?".

Documentação técnica: manuais, guiões e tutoriais

Parte do trabalho do técnico é ler. As fontes que mais contam:

• Manual do fabricante do equipamento: indica a tecla de acesso ao menu de arranque, a configuração do firmware, os controladores oficiais e a lista de sistemas suportados.
• Documentação do fabricante do sistema: Microsoft Learn para Windows, a documentação do Ubuntu e a do Debian para Linux. São a fonte de referência para comandos e requisitos.
• Guiões internos da empresa ou da escola: sequências de passos aprovadas e repetíveis.
• Tutoriais da comunidade: úteis, mas a verificar. Um tutorial desatualizado pode apontar para um menu que já não existe ou, pior, para um comando perigoso.

Como ler um manual técnico com método:

1. Confirma a versão do documento e do produto a que se refere.
2. Lê os pré-requisitos antes dos passos.
3. Identifica os avisos de perda de dados.
4. Executa um passo de cada vez e verifica o resultado antes de avançar.
5. Regista o que fizeste, porque o teu registo é o manual do técnico seguinte.

Exemplo resolvido · Um portátil cumpre os requisitos do Windows 11?

Situação. Chegou um portátil usado. Pede-se ao técnico que diga se o Windows 11 pode ser instalado e, se não, o que fazer.

Resolução.

1. Recolher os dados. Em msinfo32: processador de quatro núcleos a 2,4 GHz, 8 GB de RAM, SSD de 256 GB, "Modo BIOS: UEFI", "Estado do arranque seguro: desativado". Em tpm.msc: TPM 2.0 presente.
2. Comparar com os requisitos. Processador: cumpre os mínimos de núcleos e frequência. RAM: 8 GB, acima dos 4 GB. Armazenamento: 256 GB, acima dos 64 GB. TPM 2.0: presente. UEFI: sim. Arranque seguro: está desativado, mas o requisito é o equipamento ser capaz, e pode ativar-se no firmware.
3. Verificar o processador na lista oficial. O processador tem de constar da lista de compatibilidade da Microsoft, e não basta ter dois núcleos e 1 GHz. Se a lista o incluir, avança-se.
4. Concluir. O equipamento serve, depois de ativar o Secure Boot no firmware. Regista-se a conclusão e o que foi alterado.

Se o processador não constasse da lista, a alternativa honesta é manter o Windows 10 (já fora de suporte standard) apenas com as atualizações de segurança alargadas (ESU) e o risco comunicado, ou instalar Ubuntu, e não forçar uma instalação não suportada numa máquina de trabalho.

3. Arranque, firmware e preparação do suporte de instalação

Instalar um sistema começa antes do sistema: no firmware do equipamento e no suporte (a pen USB) de onde vai arrancar o instalador.

Da tecla de ligar ao ambiente de trabalho

A sequência de arranque é sempre a mesma, em Windows ou em Linux:

1. Firmware (UEFI ou BIOS): faz o autoteste (POST), inicializa o hardware e procura um dispositivo de arranque na ordem de arranque (boot order).
2. Gestor de arranque (bootloader): no Windows, o Windows Boot Manager; no Linux, normalmente o GRUB. Escolhe o sistema a carregar.
3. Núcleo: é carregado em memória, deteta o hardware e monta o sistema de ficheiros de raiz.
4. Serviços e ambiente de trabalho: o sistema arranca serviços, apresenta o ecrã de início de sessão.

Quando algo falha, este esquema diz onde procurar. Ecrã preto sem mensagem: firmware ou disco. Mensagem "No bootable device": ordem de arranque ou gestor de arranque. Sistema que começa a carregar e bloqueia: núcleo ou controlador.

UEFI, BIOS, GPT e MBR

Duas regras práticas: o modo do firmware e o esquema do disco têm de coincidir (UEFI com GPT, BIOS com MBR) e o Windows 11 exige UEFI. Se o disco estiver em MBR e o firmware em UEFI, o instalador do Windows recusa instalar e pede conversão para GPT.

O Secure Boot é uma funcionalidade do UEFI que só deixa arrancar gestores de arranque assinados por entidades de confiança. Protege contra programas maliciosos que se instalam antes do sistema. O Windows 11 e o Ubuntu suportam-no; algumas distribuições e controladores de terceiros exigem passos adicionais.

Aceder ao firmware e ao menu de arranque

A tecla varia por fabricante e modelo (Del, F2, F10, F12, Esc), e a única fonte fiável é o manual do equipamento. Duas formas distintas de entrada:

• Configuração do firmware (setup): para alterar definições persistentes, como ativar o Secure Boot ou o TPM.
• Menu de arranque rápido (boot menu): para escolher o dispositivo de arranque só desta vez, sem alterar a ordem permanente.

Para instalar, o menu de arranque rápido é quase sempre a escolha certa.

Obter a imagem do sistema

A imagem de instalação chama-se ISO. Descarrega-se só do site oficial do fabricante: Microsoft para o Windows, ubuntu.com para o Ubuntu. Imagens de outras origens podem trazer código malicioso.

Verificar a integridade: o checksum

O fabricante publica um valor SHA-256 (uma impressão digital da imagem). Depois de descarregar, calcula-se o mesmo valor localmente e compara-se. Se for diferente, o ficheiro está corrompido ou foi adulterado.

# Linux
sha256sum ubuntu-24.04-desktop-amd64.iso

# Windows (PowerShell)
Get-FileHash .\Win11_pt-pt_x64.iso -Algorithm SHA256

Comparar os 64 carateres hexadecimais à vista é fácil de falhar; confere pelo menos o início e o fim, ou, melhor, usa o comando de comparação (sha256sum -c com o ficheiro de somas, quando o fabricante o fornece).

Criar o suporte de instalação

Requisitos práticos: uma pen de pelo menos 8 GB para o Windows 11 e de 12 GB ou mais para o Ubuntu Desktop. Gravar o suporte apaga tudo o que está na pen.

O comando dd não pede confirmação. Se trocares o dispositivo de destino, apagas outro disco sem aviso. Por isso, antes de gravar, identifica a pen com lsblk:

lsblk -o NAME,SIZE,MODEL,TRAN
sudo dd if=ubuntu-24.04-desktop-amd64.iso of=/dev/sdX bs=4M status=progress conv=fsync

O sdX é um exemplo: vê no lsblk qual é a pen (pelo tamanho e pelo modelo) e substitui apenas depois de ter a certeza.

Exemplo resolvido · Preparar uma pen para instalar o Ubuntu

Situação. Tens a ISO do Ubuntu 24.04 descarregada e uma pen de 16 GB. A ISO deve ter cerca de 6 GB.

Resolução, passo a passo.

1. Verificar o checksum. Na página oficial copias o SHA-256 publicado. Corres sha256sum sobre o ficheiro e comparas. Coincide: a imagem está íntegra.
2. Identificar a pen. lsblk mostra sda (disco do sistema, 512 GB) e sdb (pen, 14,8 GiB, transporte usb). O destino é /dev/sdb.
3. Desmontar partições da pen que estejam montadas: sudo umount /dev/sdb*.
4. Gravar com dd ou com a ferramenta gráfica. O tempo é função do débito: 6 GB a cerca de 30 MB/s dá 6 000 ÷ 30 = 200 segundos, pouco mais de 3 minutos. Numa pen lenta, pode demorar bastante mais.
5. Sincronizar e remover com segurança: sync e retirar só depois do comando terminar.
6. Testar o arranque numa máquina virtual ou na máquina-alvo, antes de dia de instalação.

Verificação final: a pen arranca e mostra o menu "Try or Install Ubuntu". Se mostrar "No bootable device", reveja-se o modo UEFI e o esquema de partições da pen.

4. Instalar o Windows 11

Antes de clicar em "Instalar"

• Cópia de segurança dos dados que existem na máquina, verificada (abrir alguns ficheiros da cópia).
• Chave de licença ou conta Microsoft associada ao equipamento. Muitos equipamentos novos têm licença digital no firmware.
• Controladores críticos guardados noutra pen ou conhecidos: rede, em particular. Sem rede, nem se descarrega o resto.
• Firmware em UEFI, TPM e Secure Boot ativos.
• Ligação à corrente ou bateria carregada num portátil.

A sequência de instalação

1. Arrancar da pen através do menu de arranque rápido.
2. Idioma, formato de hora e moeda e teclado: Português (Portugal) e teclado português.
3. Chave do produto, ou "Não tenho chave" se a licença for digital.
4. Escolher a edição. A edição Pro acrescenta BitLocker, Hyper-V, Política de Grupo e ligação a domínio, e é a indicada para uso profissional.
5. Aceitar os termos de licença.
6. Tipo de instalação.
   • Atualizar preserva ficheiros e aplicações, mas só se já houver um Windows a correr.
   • Personalizada: instalar apenas o Windows faz instalação limpa, a recomendada para entregar uma máquina em boas condições.
7. Onde instalar. Escolhe-se o disco ou a partição. Numa máquina sem nada, seleciona-se o espaço não atribuído e o instalador cria as partições necessárias.
8. Cópia de ficheiros e reinícios. O instalador copia, instala e reinicia várias vezes. Não mexer na máquina.
9. Primeiro reinício: se a pen continuar ligada, o firmware pode arrancar de novo o instalador. Remove-se a pen ou ignora-se o pedido "prima uma tecla para arrancar do suporte".
10. OOBE (Out-of-Box Experience): região, teclado, rede, nome da conta e privacidade.

Partições que o Windows cria em UEFI

Numa instalação limpa em UEFI/GPT, o instalador cria tipicamente: uma partição do sistema EFI (FAT32, com o gestor de arranque), uma partição reservada da Microsoft, a partição do sistema (C:, NTFS) e uma partição de recuperação (Windows RE). Os tamanhos variam com a versão; o que importa é perceber que cada partição tem um papel e que apagá-las "por serem pequenas" impede o arranque ou a recuperação.

Conta Microsoft e conta local

O Windows 11 incentiva a ligação a uma conta Microsoft durante a configuração inicial, e os caminhos para criar uma conta local mudam entre versões e edições. Em contexto profissional, a decisão deve estar na política da organização: contas Microsoft pessoais não são adequadas a máquinas de empresa; usam-se contas locais geridas, contas de domínio ou contas de trabalho. Consulta a documentação da Microsoft da versão que estás a instalar para saber as opções disponíveis nessa compilação e não dependas de truques que podem desaparecer numa atualização.

Pós-instalação: seis ações que se fazem sempre

1. Windows Update repetido até o sistema indicar que está atualizado (as primeiras atualizações abrem a porta a outras).
2. Controladores do fabricante, sobretudo gráfica, chipset e rede. O Windows Update instala muitos, mas nem sempre os melhores.
3. Segurança ativa: Segurança do Windows (antivírus) e firewall ligados.
4. Conta standard para uso diário, separada da conta de administrador.
5. Cópia de segurança configurada (Histórico de Ficheiros em disco externo ou outra solução).
6. Aplicações base: browser, gestor de palavras-passe, compactador, leitor de PDF, aplicações da organização.

Exemplo resolvido · "Este PC não pode executar o Windows 11"

Situação. O instalador para com a mensagem de que o PC não cumpre os requisitos. É um portátil de 2018 com UEFI.

Resolução. Seguir um diagnóstico em três passos, do mais provável para o menos provável:

1. TPM. Executa tpm.msc (ou, no PowerShell, Get-Tpm). Se disser "TPM compatível não encontrado", entra no firmware e procura a opção do TPM por firmware (Intel PTT ou AMD fTPM) e ativa-a. Volta a verificar.
2. Secure Boot. Confirm-SecureBootUEFI devolve True ou False. Se for False, ativa o Secure Boot no firmware. Se o disco estiver em MBR, converte-o para GPT antes (ver o capítulo 6).
3. Processador. Se TPM, Secure Boot e UEFI estão corretos e continua a falhar, o processador pode não constar da lista de compatibilidade. Nesse caso o equipamento não é suportado.

Conclusão a registar: que requisito falhou, o que se alterou e o resultado. Se o equipamento não é suportado, propõe-se Ubuntu ou manter o sistema atual apenas enquanto houver atualizações de segurança (por exemplo, ESU no Windows 10) e o risco estiver comunicado, e não uma instalação forçada que ficará sem garantias de atualização.

5. Instalar o Ubuntu e outros cenários de instalação

Ubuntu Desktop: a sequência

1. Arrancar da pen e escolher "Try or Install Ubuntu". A opção de experimentar corre o sistema em memória, útil para testar o hardware (Wi-Fi, som, ecrã) antes de instalar.
2. Idioma e teclado.
3. Ligação à rede, preferível por cabo ou Wi-Fi, para descarregar atualizações durante a instalação.
4. Tipo de instalação: instalação interativa; opção de software adicional (codecs e controladores de terceiros).
5. Disco. As principais opções:
   • Apagar o disco e instalar o Ubuntu: simples, destrói tudo o que existe.
   • Instalar ao lado do Windows: dual boot, o instalador redimensiona a partição do Windows.
   • Instalação manual (partição manual): controlo total (ver capítulo 6).
6. Utilizador e palavra-passe, nome do computador (hostname).
7. Fuso horário: Lisboa.
8. Cópia de ficheiros e reinício, removendo a pen.

Pós-instalação do Ubuntu

# Atualizar o sistema
sudo apt update && sudo apt upgrade -y

# Ver e instalar controladores proprietários
ubuntu-drivers devices
sudo ubuntu-drivers autoinstall

# Codecs multimédia
sudo apt install ubuntu-restricted-extras -y

# Ferramentas essenciais de linha de comandos
sudo apt install git curl vim htop tree -y

# Confirmar o que ficou
hostnamectl
lsb_release -a

O apt update atualiza a lista de pacotes disponíveis, e o apt upgrade instala as versões novas. Os dois passos são diferentes e a ordem importa. O -y responde "sim" a todas as perguntas: útil em guiões, perigoso em comandos que não compreendes por inteiro.

Gestores de pacotes: apt, snap e flatpak

Confundir os gestores é um erro frequente: uma aplicação instalada com snap não aparece em apt list --installed, e desinstala-se com snap remove.

Dual boot: instalar dois sistemas na mesma máquina

O dual boot permite escolher entre Windows e Ubuntu no arranque. Precauções, por ordem:

1. Cópia de segurança completa do Windows, porque redimensionar partições tem risco de perda de dados.
2. Desativar o arranque rápido (Fast Startup) e a hibernação no Windows: deixam o sistema de ficheiros NTFS num estado que o Linux não deve tocar.
3. Se o BitLocker estiver ativo, guardar a chave de recuperação, porque alterar o arranque pode pedi-la.
4. Instalar o Windows primeiro e o Linux depois, porque o GRUB reconhece o Windows, mas o inverso nem sempre acontece.

Virtualização: instalar sem tocar na máquina

Uma máquina virtual (VM) é um computador simulado dentro de outro. Permite treinar instalações, testar configurações e manter ambientes de trabalho separados. Ferramentas comuns: VirtualBox, VMware Workstation Player, Hyper-V (Windows Pro) e o WSL para correr Linux dentro do Windows.

Duas verificações na máquina anfitriã: virtualização ativada no firmware (Intel VT-x ou AMD-V, conforme o fabricante) e RAM suficiente para o anfitrião e para as VM em simultâneo.

Exemplo resolvido · Quantas máquinas virtuais cabem num portátil de 16 GB?

Situação. Um formando tem um portátil com 16 GB de RAM e quer correr duas VM de laboratório (uma Ubuntu e uma Windows) em simultâneo.

Resolução.

1. Reservar o anfitrião. O Windows e o programa de virtualização precisam de memória; reserva-se, por prudência, 8 GB.
2. Memória disponível para VM: 16 - 8 = 8 GB.
3. Dividir. Duas VM de 4 GB cada ocupam 4 + 4 = 8 GB. Cabe, mas sem folga.
4. Verificar o Windows como convidado. O Windows 11 pede 4 GB no mínimo; é o limite. Dá-se 4 GB ao Windows e 4 GB ao Ubuntu, e fecham-se as outras aplicações do anfitrião durante o laboratório.
5. Decidir sobre o disco. Cada VM deve ter disco virtual de pelo menos 64 GB (Windows) e 25 GB (Ubuntu). Verifica-se se o SSD do anfitrião tem os 89 GB livres, e prefere-se disco de tamanho dinâmico, que só ocupa o que usa.

Conclusão: cabe, mas é o limite. Se o laboratório for pesado, correm-se as VM uma de cada vez.

6. Parâmetros de instalação, particionamento e sistemas de ficheiros

Os parâmetros que se escolhem durante a instalação (disco, partições, sistema de ficheiros, nome da máquina, rede, fuso horário) são caros de mudar depois. Merecem atenção antes de se carregar em "Seguinte".

Parâmetros principais

Partições: o que são e para que servem

Uma partição é uma região de um disco tratada como volume independente. Particionar permite separar o sistema dos dados, instalar dois sistemas no mesmo disco e isolar áreas com funções diferentes.

Partições típicas de um Ubuntu em UEFI:

Separar /home da raiz permite reinstalar o sistema sem perder os dados dos utilizadores, o que na prática poupa horas em máquinas de equipas.

Sistemas de ficheiros

Um sistema de ficheiros é a forma como o sistema organiza e guarda os dados numa partição.

Porque é que o limite do FAT32 importa na instalação? Porque uma pen de instalação formatada em FAT32 tem de conseguir guardar o ficheiro principal da imagem do Windows; quando este ultrapassa os 4 GiB, ferramentas como o Rufus tratam do problema (dividindo o ficheiro ou usando outro método). Se fizeres a pen "à mão" e a cópia falhar, é por aqui que deves procurar.

Converter de MBR para GPT

Quando o instalador do Windows recusa um disco MBR em modo UEFI, converte-se para GPT. A conversão apaga o disco se for feita a partir do instalador com diskpart:

diskpart
list disk
select disk 0
clean
convert gpt
exit

O comando clean apaga a tabela de partições do disco selecionado. Verifica duas vezes o número do disco com list disk (pelo tamanho) antes de o executar. Em Windows 10 e posteriores existe a ferramenta mbr2gpt, que converte sem apagar dados, quando o disco cumpre os requisitos, e deve ser a primeira opção num sistema já instalado.

Planear o disco: o método

1. Listar o que o disco tem e o que se quer conservar.
2. Definir os papéis: sistema, dados, recuperação, arranque.
3. Dimensionar com folga: o sistema cresce com atualizações.
4. Registar o plano antes de executar.

Exemplo resolvido · Plano de disco para um portátil Ubuntu de 512 GB

Situação. Um programador usa Ubuntu num SSD de 512 GB (aprox. 477 GiB). Quer poder reinstalar o sistema sem perder os projetos.

Resolução.

1. Capacidade real. 512 000 000 000 ÷ 1 073 741 824 ≈ 476,8 GiB. É este número que se reparte.
2. Partição EFI: 512 MiB (FAT32).
3. Raiz /: 100 GiB (ext4). Chega ao sistema, às ferramentas de desenvolvimento e às imagens de contentores, com folga.
4. Swap: o Ubuntu 24.04 usa por defeito um ficheiro de troca na raiz; confirma-se com swapon --show e dimensiona-se segundo a RAM e o uso de hibernação.
5. /home: o que sobra. 476,8 - 0,5 - 100 ≈ 376 GiB (sem contar o ficheiro de troca, que fica dentro da raiz).
6. Escolher "Instalação manual" (Manual installation, partição manual) no instalador, criar as partições, definir os pontos de montagem /boot/efi, / e /home, e formatar apenas EFI e raiz na primeira instalação.
7. Numa futura reinstalação, escolhe-se /home com "manter dados" (não formatar), e os projetos ficam intactos.

Verificação: lsblk -f e df -h mostram as partições, os sistemas de ficheiros e os pontos de montagem. Confere-se que /home aparece numa partição separada.

7. Periféricos e controladores: definição e configuração

Um periférico é um dispositivo ligado ao computador para entrada, saída ou armazenamento. O sistema comunica com cada um através de um controlador (driver), um pequeno programa que traduz as ordens do sistema para a linguagem do dispositivo.

Tipos de periféricos

Controladores e a sua origem

Há três fontes de controladores, por esta ordem de preferência para uso profissional:

1. Incluídos no sistema (Windows e núcleo Linux trazem milhares): são testados e atualizados com o sistema.
2. Do fabricante do equipamento: páginas de apoio com controladores validados para o modelo. Os mais seguros para chipset, gráfica e gestão de energia em portáteis.
3. Do fabricante do componente (NVIDIA, AMD, Intel, Realtek): mais recentes, úteis em gráficas e jogos, mas convém validar compatibilidade com o modelo.

Nunca descarregues controladores de sites de agregação, porque são uma fonte conhecida de software malicioso.

O Gestor de Dispositivos (Windows)

devmgmt.msc abre o Gestor de Dispositivos. Mostra o estado de cada componente:

• Ícone normal: o dispositivo está a funcionar.
• Ponto de exclamação amarelo: problema com o controlador. Abre-se as Propriedades e lê-se o código de erro.
• Seta para baixo: dispositivo desativado.

Ações habituais: atualizar controlador, reverter para o anterior (quando uma atualização estragou algo), desativar e desinstalar o dispositivo.

Dispositivos em Linux

No Linux, muitos controladores já fazem parte do núcleo. A exceção mais frequente é a gráfica NVIDIA e algumas placas Wi-Fi, que podem pedir controladores proprietários.

Configurar impressoras

• Windows: Definições, Bluetooth e dispositivos, Impressoras e digitalizadores. Adiciona-se por rede (IP ou nome) ou por USB. Verifica-se o controlador e imprime-se uma página de teste.
• Ubuntu: Definições, Impressoras, ou a interface web do CUPS em http://localhost:631. O CUPS é o sistema de impressão do Linux.

Em ambientes de empresa, as impressoras de rede têm IP fixo ou reserva no servidor DHCP: se o IP mudar, os computadores deixam de a encontrar.

Armazenamento amovível

Montar e desmontar corretamente evita perda de dados: no Windows, "Ejetar"; em Linux, umount ou o menu do ambiente gráfico. Retirar uma pen a meio de uma escrita pode corromper o sistema de ficheiros.

Monitores e energia

Resolução, escala e taxa de atualização definem-se em Definições, Sistema, Ecrã. Num portátil, o plano de energia (Windows) ou o perfil de energia (Ubuntu) afeta o desempenho e a duração da bateria: um perfil de economia pode reduzir o desempenho do processador sem o utilizador perceber porquê.

Exemplo resolvido · A placa de rede sem fios não aparece

Situação. Acabaste de instalar o Ubuntu num portátil e o Wi-Fi não aparece nas definições.

Resolução.

1. O hardware existe? lspci -nnk | grep -iA3 net lista as placas de rede e o controlador em uso. Se mostrar "Kernel driver in use", o controlador carregou.
2. Não há controlador em uso? ubuntu-drivers devices pode sugerir um pacote. Se o computador tem cabo, liga-se por cabo e instala-se com sudo ubuntu-drivers autoinstall.
3. Bloqueio por software? rfkill list mostra se o Wi-Fi está bloqueado (soft blocked ou hard blocked, este último por interruptor físico ou tecla de função). rfkill unblock wifi resolve o primeiro caso.
4. Registos. journalctl -k | grep -i firmware pode mostrar uma mensagem de ficheiro de firmware em falta; instala-se o pacote linux-firmware ou o recomendado pelo fabricante.
5. Sem cabo e sem Wi-Fi. Descarrega-se o pacote do controlador noutro computador, copia-se por pen e instala-se com sudo apt install ./pacote.deb. É por isso que se guardam os controladores de rede antes da instalação.

Registo: modelo da placa, controlador instalado, comando que resolveu.

8. Ambiente de trabalho, rede e parametrização para o contexto

O ambiente de trabalho é tudo o que o utilizador vê e toca: ecrã inicial, barra de tarefas, menus, janelas, atalhos. Parametrizá-lo bem poupa tempo ao utilizador e a quem faz apoio.

Ambiente gráfico e linha de comandos

O ambiente gráfico em Linux é substituível e opcional, sem impacto no núcleo, ao contrário do que muita gente pensa do Windows.

Configurar a rede

Conceitos mínimos:

• Endereço IP: identifica a máquina na rede. Máscara: separa a parte da rede da parte do equipamento. Gateway: o router por onde se sai da rede. DNS: traduz nomes em endereços.
• DHCP: o servidor atribui automaticamente os valores. IP fixo: configura-se à mão, para impressoras e servidores.

Na falta de ligação, testa-se por camadas, de perto para longe: cabo ou Wi-Fi, IP na máquina, ping ao gateway, ping a um endereço externo (1.1.1.1) e ping a um nome. Onde falhar é o problema.

Exemplo resolvido · IP fixo de 192.168.1.50/24

Situação. Uma impressora de rede e um servidor precisam de IP fixo 192.168.1.50, máscara /24, gateway 192.168.1.1, DNS 1.1.1.1.

Resolução.

1. Ler a notação. /24 quer dizer que 24 bits identificam a rede: máscara 255.255.255.0. Restam 32 - 24 = 8 bits para equipamentos: 2⁸ = 256 endereços, dos quais 2 são reservados (rede .0 e difusão .255): 254 utilizáveis, de .1 a .254.
2. Confirmar que o IP pertence à rede. .50 está entre .1 e .254. Está na mesma rede que o gateway .1. Condição cumprida.
3. Evitar conflitos. O servidor DHCP distribui, por exemplo, de .100 a .200. O .50 fica fora do intervalo, e assim nunca é atribuído a outro equipamento.
4. Aplicar no Ubuntu Server (/etc/netplan/01-rede.yaml):

network:
  version: 2
  ethernets:
    enp3s0:
      dhcp4: false
      addresses: [192.168.1.50/24]
      routes:
        - to: default
          via: 192.168.1.1
      nameservers:
        addresses: [1.1.1.1]

O nome da interface (enp3s0) vê-se com ip addr. Valida-se com sudo netplan try, que volta atrás se perderes a ligação, e só depois sudo netplan apply. 5. No Windows: Definições, Rede e Internet, Ethernet, Atribuição de IP, Editar, Manual, e preencher IP, comprimento do prefixo 24, gateway e DNS. 6. Verificar: ping 192.168.1.1, ping 1.1.1.1 e nslookup aulify.pt.

Parametrizar para um contexto

A mesma instalação base serve papéis muito diferentes. A parametrização transforma o sistema genérico em ferramenta do papel.

Inicialização, serviços e arranque de aplicações

Cada programa que arranca com o sistema tem custo em tempo de arranque e em memória.

• Windows: Gestor de Tarefas, separador "Aplicações de arranque", e services.msc para serviços.
• Linux: systemctl list-unit-files --state=enabled mostra serviços ativos no arranque; systemctl disable <serviço> retira um.

Desativa-se o que não é necessário, depois de saber o que faz. Desativar um serviço sem perceber a dependência é uma das formas clássicas de estragar um sistema.

Atualizações

As atualizações corrigem falhas de segurança e de funcionamento. Parametriza-se a janela, não o abandono delas:

• Windows: Definições, Windows Update, "Horas ativas" e pausa limitada.
• Ubuntu: unattended-upgrades aplica automaticamente as atualizações de segurança.

sudo apt install unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades

9. Gestão de processos e de memória

Programa, processo e fio de execução

Um programa é um ficheiro com instruções. Um processo é um programa em execução, com a sua memória, os seus ficheiros abertos e o seu estado. Um mesmo programa pode ter vários processos: três janelas do browser são, tipicamente, vários processos do mesmo programa. Dentro de um processo existem fios de execução (threads) que partilham a memória do processo e permitem fazer várias coisas em simultâneo.

Estados de um processo

Um processo "pendurado" costuma estar em espera de algo que não chega, e não a consumir processador. Distinguir os dois casos orienta a ação: um processo que consome 100 % de um núcleo merece outra atenção do que um que espera há cinco minutos por um disco de rede.

Escalonamento: quem usa o processador

O escalonador decide, centenas de vezes por segundo, qual dos processos prontos corre a seguir. Há várias políticas. Duas que convém conhecer:

• Por ordem de chegada (FCFS): cada processo corre até acabar. Simples, mas um processo longo atrasa todos os outros.
• Rotativa (round-robin): cada processo corre durante uma fatia de tempo (quantum) e passa para o fim da fila. Dá ao utilizador a sensação de simultaneidade.

Os sistemas reais combinam estas ideias com prioridades: um processo interativo (o teu rato) deve responder antes de um processo de segundo plano (uma cópia de segurança).

Exemplo resolvido · Escalonamento rotativo com três processos

Situação. Três processos chegam ao mesmo tempo e precisam de 5 ms (P1), 3 ms (P2) e 8 ms (P3) de processador. O quantum é de 2 ms. Calcula a ordem de execução e o tempo de conclusão de cada um, e compara com a ordem de chegada.

Resolução, passo a passo.

1. Rotativo, fatias de 2 ms. P1 corre de 0 a 2 (faltam 3). P2 de 2 a 4 (falta 1). P3 de 4 a 6 (faltam 6). P1 de 6 a 8 (falta 1). P2 de 8 a 9 (termina aos 9). P3 de 9 a 11 (faltam 4). P1 de 11 a 12 (termina aos 12). P3 de 12 a 14 (faltam 2). P3 de 14 a 16 (termina aos 16).
2. Verificar o total. 5 + 3 + 8 = 16 ms: o processador esteve sempre ocupado e acabou-se aos 16. Confere.
3. Tempo médio de conclusão (rotativo). (12 + 9 + 16) ÷ 3 = 37 ÷ 3 ≈ 12,3 ms.
4. Por ordem de chegada (P1, P2, P3). P1 termina aos 5, P2 aos 8 (5 + 3), P3 aos 16. Média: (5 + 8 + 16) ÷ 3 = 29 ÷ 3 ≈ 9,7 ms.
5. Concluir. A ordem de chegada dá tempo médio de conclusão menor neste caso, mas o processo P3 só começa aos 8 ms. O rotativo dá a cada processo uma resposta rápida (todos arrancam nos primeiros 6 ms), o que é o que o utilizador de um ambiente interativo valoriza. A escolha da política depende do que se quer otimizar.

Gerir processos na prática

ps aux --sort=-%cpu | head -5     # os 5 processos que mais CPU usam
kill 4321                         # pedido educado de terminação (SIGTERM)
kill -9 4321                      # terminação forçada (SIGKILL), sem arrumar nada

O kill -9 não dá ao processo oportunidade de gravar o trabalho nem de libertar recursos; usa-se depois de o kill normal ter falhado.

Memória: RAM, memória virtual e paginação

A RAM é rápida e volátil. Cada processo julga que tem a sua memória só para si, numa gama de endereços que o sistema depois traduz para endereços reais: é a memória virtual. O sistema divide a memória em blocos de tamanho fixo, as páginas (tipicamente 4 KiB), e uma tabela diz onde está cada página.

Quando a RAM se esgota, o sistema move páginas pouco usadas para o disco: o ficheiro de paginação (pagefile.sys) no Windows e a área ou ficheiro de troca (swap) no Linux. Isto evita falhar, mas o disco é muito mais lento que a RAM, e um sistema que passa o tempo a trocar páginas está em thrashing: tudo fica lento sem processador a trabalhar.

Exemplo resolvido · Traduzir um endereço virtual

Situação. Com páginas de 4 KiB (4096 bytes), um processo acede ao endereço virtual 20 000. Em que página está e a que distância do início dessa página?

Resolução.

1. Número da página = parte inteira de 20 000 ÷ 4096. 4096 × 4 = 16 384 e 4096 × 5 = 20 480. Logo a página é a 4 (a contar de 0).
2. Deslocamento = 20 000 - 16 384 = 3616 bytes.
3. Interpretação. O endereço está 3616 bytes dentro da página 4. A tabela de páginas diz em que bloco de RAM está a página 4 (ou se foi para o disco). O endereço real é o início desse bloco mais 3616.
4. Se a página estiver no disco, ocorre uma falta de página: o sistema vai buscá-la ao disco, coloca-a na RAM e repete o acesso.

Diagnosticar problemas de memória

free -h          # memória total, usada, livre e troca
vmstat 1 5       # estatísticas a cada segundo, 5 vezes (colunas si/so: troca)

10. Gestão de recursos, desempenho e armazenamento de dados

Um recurso é tudo o que o sistema gere e que as aplicações disputam: processador, memória, disco, rede. Utilizar os recursos do sistema para otimizar o rendimento das aplicações é saber medir, identificar o gargalo e agir, e não instalar "otimizadores" milagrosos.

Método: medir, localizar, agir, medir de novo

1. Medir o estado normal, para ter com o quê comparar.
2. Localizar o gargalo: qual dos quatro recursos está no limite?
3. Agir numa só coisa de cada vez.
4. Medir de novo e comparar. Se não melhorou, a hipótese estava errada.

Ações típicas de otimização

• Reduzir o que arranca com o sistema (aplicações de arranque).
• Libertar espaço no disco: o desempenho piora quando o volume está quase cheio. Como regra prática, mantêm-se livres 10 a 20 % do volume do sistema.
• SSD em vez de HDD: é a melhoria isolada mais notória num computador antigo.
• Aumentar a RAM quando o diagnóstico mostra troca constante.
• Ajustar o perfil de energia à tarefa.
• Atualizar controladores e sistema.
• Fechar o que não se usa, simples e eficaz.

Desfragmentar discos mecânicos pode ajudar; num SSD não se desfragmenta, e o sistema usa em vez disso a operação TRIM, que informa o disco de quais blocos estão livres.

Como os dados são escritos, armazenados e recuperados

• Cache de escrita: o sistema guarda temporariamente escritas em memória e grava-as no disco mais tarde, por ser mais eficiente. Por isso é que se deve ejetar um suporte antes de o retirar.
• Registo (journal): NTFS e ext4 registam as operações antes de as concretizar. Após uma falha de energia, o sistema consulta o registo e repõe a coerência, em vez de verificar o disco inteiro.
• Verificação do sistema de ficheiros: chkdsk no Windows e fsck no Linux (a executar em volumes desmontados).
• Cópias de segurança: a única proteção realmente fiável contra falha de disco, erro humano ou programa malicioso.

A regra 3-2-1 de cópias de segurança

Três cópias dos dados, em dois suportes diferentes, com uma cópia fora do local. Uma cópia no mesmo disco não é cópia de segurança, é apenas uma segunda localização do mesmo risco.

rsync -a --delete /home/utilizador/ /media/backup/utilizador/

O --delete torna a cópia um espelho exato: o que for apagado na origem é apagado no destino. Útil, mas mal usado propaga um erro. Para cópias de segurança verdadeiras, preferem-se ferramentas com histórico de versões.

Uma cópia de segurança que nunca foi restaurada é uma esperança, não uma cópia. Testa-se o restauro periodicamente, pelo menos de alguns ficheiros.

Exemplo resolvido · Dimensionar o disco das cópias de segurança de um pequeno escritório

Situação. Um escritório tem 400 GB de dados. Em média, 2 % mudam por dia. Pretende-se guardar 30 dias de histórico incremental.

Resolução.

1. Alteração diária: 2 % de 400 GB = 0,02 × 400 = 8 GB por dia.
2. Histórico de 30 dias: 30 × 8 = 240 GB.
3. Cópia completa inicial: 400 GB.
4. Total necessário: 400 + 240 = 640 GB.
5. Folga de crescimento (25 %): 640 × 1,25 = 800 GB.
6. Escolher o suporte: o disco comercial seguinte é de 1 TB (cerca de 931 GiB), que cobre os 800 GB com margem.
7. Aplicar a regra 3-2-1. Cópia 1: os dados nos PC. Cópia 2: disco local (1 TB). Cópia 3: serviço remoto ou segundo disco rotativo guardado fora do edifício. Suportes diferentes: dois.
8. Registar um teste de restauro trimestral.

Quotas e espaço

Para impedir que um utilizador ocupe todo o disco, definem-se quotas: no Windows (NTFS) através das propriedades do volume, no Linux com o pacote quota. Alertar a 80 % e bloquear a 100 % são valores comuns que a organização define.

11. Contas, privilégios de acesso e partilha de recursos e de ficheiros

Contas e grupos

Uma conta de utilizador identifica quem usa o sistema. Um grupo agrega contas com as mesmas necessidades, e dá-se o direito ao grupo, não a cada pessoa. Assim, quando alguém entra ou sai da equipa, muda-se só a pertença ao grupo.

Criar e gerir contas

# Windows (PowerShell como administrador)
New-LocalUser -Name "joana" -Password (Read-Host -AsSecureString) -FullName "Joana"
Add-LocalGroupMember -SID "S-1-5-32-545" -Member "joana"   # grupo Utilizadores (Users), em qualquer idioma
Get-LocalUser

# Ubuntu
sudo adduser joana                 # cria conta, pasta pessoal e pede palavra-passe
sudo usermod -aG sudo joana        # junta ao grupo sudo (administração)
sudo passwd -e joana               # obriga a mudar a palavra-passe no primeiro início de sessão
sudo deluser --remove-home joana   # remove conta e pasta pessoal
id joana                           # mostra utilizador e grupos

O -a no usermod -aG é o que acrescenta o grupo. Esquecê-lo substitui todos os grupos secundários do utilizador, e é um dos enganos mais comuns.

O princípio do menor privilégio

Cada conta tem apenas os direitos de que precisa para a sua função, e mais nenhum. Na prática:

• A conta de uso diário é standard; a conta de administração é usada só para tarefas administrativas.
• Em Linux, o sudo eleva privilégios por comando e regista quem o fez.
• No Windows, o Controlo de Conta de Utilizador (UAC) pede confirmação para ações administrativas; numa conta standard exige credenciais de administrador, e numa conta de administrador pede só uma confirmação, pelo que protege menos.

Uma conta administradora usada todos os dias faz com que qualquer programa malicioso que o utilizador abra herde esses direitos.

Permissões em Linux

Cada ficheiro tem dono, grupo e outros, e para cada um três direitos: leitura (r, valor 4), escrita (w, valor 2) e execução (x, valor 1). A soma dá o algarismo octal.

-rw-r-----  1 joana contabilidade 2048 out 22 10:15 relatorio.txt
 │└┬┘└┬┘└┬┘
 │ │  │  └── outros: nenhum direito (0)
 │ │  └───── grupo:  só leitura (4)
 │ └──────── dono:   leitura e escrita (4+2=6)
 └────────── tipo: ficheiro

Este ficheiro tem permissão 640. Comandos principais:

chmod 640 relatorio.txt          # define permissões em octal
chmod g+w relatorio.txt          # acrescenta escrita ao grupo
chown joana:contabilidade relatorio.txt
ls -l                            # mostra permissões
umask                            # permissões retiradas aos ficheiros novos

Numa pasta, x significa "poder entrar", r "poder listar" e w "poder criar e apagar entradas".

Permissões em Windows (NTFS)

O NTFS usa listas de controlo de acesso (ACL): cada objeto tem uma lista de quem pode fazer o quê. Níveis mais usados: Controlo total, Modificar, Leitura e execução, Listagem do conteúdo da pasta, Leitura e Escrita. As permissões são herdadas da pasta-mãe, salvo indicação em contrário, e uma negação explícita prevalece sobre uma permissão.

icacls D:\Contabilidade                                  # ver permissões
icacls D:\Contabilidade /grant "Contabilidade:(OI)(CI)M" # grupo com Modificar, herdado
icacls D:\Contabilidade /inheritance:d                   # desativar herança

Partilhar pastas em rede

Windows (SMB): partilha-se uma pasta (propriedades, Partilha, ou New-SmbShare). Há dois níveis de controlo: as permissões da partilha e as permissões NTFS. Aplica-se a mais restritiva das duas.

Linux: usa-se o Samba para partilhar com Windows, ou NFS entre sistemas Linux.

sudo apt install samba
sudo smbpasswd -a joana          # cria utilizador Samba
# em /etc/samba/smb.conf:
# [contabilidade]
#    path = /srv/contabilidade
#    valid users = @contabilidade
#    read only = no
sudo systemctl restart smbd

New-SmbShare -Name "Contabilidade" -Path "D:\Contabilidade" -ChangeAccess "Contabilidade"

Exemplo resolvido · Partilha com permissões de grupo

Situação. A pasta /srv/contabilidade deve ser lida e escrita pelo grupo contabilidade, lida (mas não escrita) pelo grupo direcao, e invisível aos restantes.

Resolução.

1. Criar grupos e pasta. sudo groupadd contabilidade, sudo groupadd direcao, sudo mkdir /srv/contabilidade.
2. Dono e grupo: sudo chown root:contabilidade /srv/contabilidade.
3. Permissão da pasta: grupo precisa de entrar, listar e escrever (rwx = 7); dono idem; outros nada (0). Fica 770: sudo chmod 770 /srv/contabilidade.
4. A direção só lê. Com 770, o grupo direcao não entra (é "outros"). Usam-se ACL para lhe dar só leitura, na pasta e nos ficheiros que já existam: sudo setfacl -R -m g:direcao:rX /srv/contabilidade. Para que os ficheiros criados no futuro também sejam legíveis pela direção, define-se a ACL por omissão: sudo setfacl -d -m g:direcao:rX /srv/contabilidade. Sem este passo, os ficheiros novos ficam rw-rw---- do grupo contabilidade e a direção só leria a pasta, não o conteúdo.
5. Novos ficheiros herdam o grupo. sudo chmod g+s /srv/contabilidade (bit setgid), e assim os ficheiros novos ficam do grupo contabilidade em vez do grupo principal de quem os cria.
6. Verificar. getfacl /srv/contabilidade mostra as entradas; com uma conta da direção, touch deve falhar e ls funcionar.

Resultado: contabilidade (rwx), direção (r-x), restantes sem acesso.

Exemplo resolvido · Qual é a permissão efetiva numa partilha Windows?

Situação. Uma pasta partilhada tem permissão de partilha "Modificar" para o grupo Vendas, mas a permissão NTFS desse grupo é "Leitura". O que pode fazer um utilizador de Vendas pela rede?

Resolução.

1. Aplicam-se as duas camadas, e prevalece a mais restritiva quando se acede pela rede.
2. Partilha: Modificar. NTFS: Leitura. Mais restritiva: Leitura.
3. O utilizador pode ler, mas não criar nem alterar ficheiros. Se se quer que escreva, corrige-se o NTFS (e não a partilha), dando "Modificar" ao grupo.
4. Boa prática: deixar a partilha com permissões amplas (por exemplo, Utilizadores autenticados: Modificar) e controlar tudo no NTFS, para ter um único sítio onde mandam as regras.

Exemplo resolvido · Interpretar um valor octal

Situação. Um ficheiro mostra -rwxr-x---. Qual o valor octal e quem pode fazer o quê?

Resolução. Dono: rwx = 4+2+1 = 7. Grupo: r-x = 4+0+1 = 5. Outros: --- = 0. Valor 750. O dono lê, escreve e executa; o grupo lê e executa; os outros nada.

12. Segurança da informação, normas e regulamentos

A segurança da informação protege três propriedades: confidencialidade (só quem deve vê), integridade (os dados não são alterados indevidamente) e disponibilidade (estão acessíveis quando são precisos). Todas as configurações deste capítulo servem uma ou mais destas três.

Camadas de defesa

Firewall: o essencial

A firewall decide que tráfego entra e sai. A regra de base é "negar tudo o que entra, permitir só o necessário".

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh
sudo ufw enable
sudo ufw status verbose

Get-NetFirewallProfile | Format-Table Name, Enabled

Encriptação de disco

Um disco encriptado é ilegível sem a chave. Protege os dados se o portátil for roubado ou perdido. No Windows, o BitLocker pode usar o TPM e pede uma chave de recuperação, que se guarda fora da máquina (conta da organização, cofre). No Ubuntu, a encriptação com LUKS escolhe-se durante a instalação; ativá-la depois é bastante mais trabalhoso.

manage-bde -status C:

Boas práticas essenciais

1. Menor privilégio: conta standard para o dia a dia.
2. Atualizar com regularidade: as atualizações de segurança aplicam-se logo que possível, em janelas planeadas.
3. Cópias de segurança segundo a regra 3-2-1, com testes de restauro.
4. Palavras-passe únicas por serviço, num gestor de palavras-passe.
5. Autenticação em dois fatores nos serviços críticos.
6. Registos revistos com regularidade.
7. Encriptação de portáteis e de suportes amovíveis com dados sensíveis.
8. Software só de fontes oficiais.

Normas e regulamentos aplicáveis

O técnico não escolhe as normas, aplica as da organização e as da lei. Os principais enquadramentos:

• RGPD, o Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679), aplicado em Portugal em conjunto com a Lei n.º 58/2019. Exige medidas técnicas adequadas para proteger dados pessoais, entre elas o controlo de acessos, a encriptação e as cópias de segurança. A entidade de controlo em Portugal é a CNPD (Comissão Nacional de Proteção de Dados).
• ISO/IEC 27001, a norma internacional de sistemas de gestão da segurança da informação, e a ISO/IEC 27002, que descreve controlos de segurança. Estão na base das políticas de muitas organizações.
• Políticas internas: uso aceitável, palavras-passe, cópias de segurança, equipamentos pessoais. Cumprir é parte do trabalho.
• Cibersegurança nacional: o Centro Nacional de Cibersegurança (CNCS) publica orientações e alertas que o técnico deve conhecer.

Os detalhes de prazos, obrigações e coimas devem ser sempre confirmados na fonte oficial (Diário da República, CNPD, CNCS) na altura em que se aplicam.

Responsabilidade, ética e sigilo

O técnico tem acesso privilegiado: vê ficheiros, contas e configurações. Usar esse acesso só para a tarefa, não consultar o que não é preciso, registar o que se faz e comunicar com clareza ao cliente o que foi alterado e o que ficou por fazer são parte da profissionalidade, tanto como saber o comando certo.

Exemplo resolvido · Preparar um portátil de empresa para ir para o terreno

Situação. Um comercial vai levar um portátil Windows 11 Pro para visitas a clientes, com dados de clientes. Prepara a configuração mínima de segurança.

Resolução.

1. Contas: conta standard para o comercial; conta de administrador local separada, com palavra-passe forte guardada no cofre da organização.
2. Encriptação: ativar BitLocker na unidade do sistema; guardar a chave de recuperação na conta da organização. Verificar com manage-bde -status C: que o estado é "Protegido".
3. Bloqueio: bloqueio automático do ecrã após 5 minutos; início de sessão com PIN ou Windows Hello.
4. Firewall e antivírus: verificar que estão ativos (Get-NetFirewallProfile).
5. Atualizações: Windows Update automático, horas ativas definidas.
6. Cópia de segurança: sincronização das pastas de trabalho para o servidor ou serviço da organização, com teste de restauro de um ficheiro.
7. Registo: folha de configuração com o que foi feito, versão, data e quem o fez.
8. Formação curta ao utilizador: não instalar software por conta própria, comunicar de imediato a perda ou o roubo do portátil (porque a chave e as contas podem ser revogadas rapidamente).

Erros comuns

• Instalar sem cópia de segurança verificada. O instalador apaga em segundos o que demorou anos a juntar.
• Descarregar a ISO de um site não oficial ou saltar a verificação do SHA-256.
• Gravar a pen no dispositivo errado com dd e apagar outro disco. Confirmar com lsblk pelo tamanho e pelo modelo.
• Firmware em BIOS legado e disco em GPT (ou o inverso): o sistema instala e não arranca.
• Apagar a partição EFI ou a de recuperação "por serem pequenas".
• Deixar a pen ligada no primeiro reinício e voltar ao instalador.
• Ignorar o limite de 4 GiB do FAT32 ao preparar o suporte à mão.
• Esquecer o TPM e o Secure Boot num equipamento para Windows 11.
• Dual boot sem desativar o arranque rápido do Windows, arriscando o NTFS.
• Instalar o Windows depois do Linux num dual boot e perder o GRUB.
• Guardar controladores de rede só depois de a instalação deixar a máquina sem rede.
• Confiar em controladores de sites de agregação em vez dos do fabricante.
• Usar kill -9 como primeiro recurso em vez de pedir ao processo que termine.
• Julgar que mais RAM resolve tudo, sem medir onde está o gargalo.
• Desfragmentar um SSD.
• Desativar serviços sem perceber as dependências.
• Esquecer o -a em usermod -aG, substituindo todos os grupos secundários.
• Dar permissões 777 "para funcionar", abrindo a pasta a toda a gente.
• Atribuir permissões a pessoas e não a grupos, o que torna a gestão impossível quando a equipa muda.
• Confundir permissões da partilha com permissões NTFS e não perceber qual prevalece.
• Usar uma conta de administrador para o trabalho diário.
• Guardar a chave de recuperação do BitLocker só no próprio portátil.
• Cópias de segurança no mesmo disco ou nunca testadas.
• Desativar a firewall "para ver se resolve" e deixá-la desativada.
• Registar nada. Sem registo, o técnico seguinte (ou o próprio, daqui a seis meses) recomeça do zero.

Glossário

• ACL: lista de controlo de acesso, a lista de quem pode fazer o quê a um ficheiro ou pasta no NTFS.
• BitLocker: encriptação de disco do Windows (edições Pro e superiores).
• BIOS: firmware tradicional dos computadores, anterior ao UEFI, que usa MBR.
• Controlador (driver): programa que ensina o sistema a comunicar com um dispositivo.
• CUPS: sistema de impressão do Linux.
• Dual boot: dois sistemas operativos instalados na mesma máquina, escolhidos no arranque.
• DHCP: serviço que atribui automaticamente endereços IP na rede.
• EFI (partição): partição FAT32 que guarda o gestor de arranque em máquinas UEFI.
• ext4: sistema de ficheiros por defeito no Ubuntu.
• Firewall: filtro que decide que tráfego de rede entra e sai.
• Firmware: programa gravado no equipamento que arranca o hardware antes do sistema.
• GPT: esquema moderno de partições, usado com UEFI.
• GRUB: gestor de arranque habitual em Linux.
• Gestor de arranque: programa que escolhe e carrega o sistema operativo.
• Hostname: nome do computador na rede.
• ISO: ficheiro-imagem de um disco de instalação.
• Journal (registo): diário de operações de um sistema de ficheiros, que acelera a recuperação após falha.
• Kernel (núcleo): parte do sistema que gere o hardware com privilégios máximos.
• LTS: versão com suporte de longo prazo; no Ubuntu, cinco anos de suporte standard.
• LUKS: encriptação de disco padrão em Linux.
• MBR: esquema antigo de partições, limitado a 2 TiB e quatro partições primárias.
• Memória virtual: mecanismo que dá a cada processo um espaço de endereços próprio, apoiado em RAM e disco.
• NTFS: sistema de ficheiros do Windows, com permissões e registo.
• OOBE: Out-of-Box Experience, a configuração inicial após a instalação do Windows.
• Página: bloco de tamanho fixo (tipicamente 4 KiB) em que a memória é dividida.
• Partição: região de um disco tratada como volume independente.
• Periférico: dispositivo ligado ao computador para entrada, saída ou armazenamento.
• Processo: programa em execução, com memória e estado próprios.
• Quantum: fatia de tempo dada a cada processo no escalonamento rotativo.
• Regra 3-2-1: três cópias, dois suportes, uma cópia fora do local.
• Samba: software que partilha pastas e impressoras de Linux com Windows (protocolo SMB).
• Secure Boot: funcionalidade do UEFI que só deixa arrancar gestores de arranque assinados.
• SHA-256: função que gera uma impressão digital de um ficheiro, usada para verificar integridade.
• Sudo: comando que eleva privilégios temporariamente em Linux.
• Swap: área ou ficheiro de troca que serve de apoio à RAM.
• Thrashing: estado em que o sistema passa o tempo a trocar páginas entre RAM e disco.
• TPM: chip de segurança que guarda chaves e valida o arranque.
• UAC: Controlo de Conta de Utilizador, o pedido de confirmação do Windows para ações administrativas.
• UEFI: firmware moderno, com Secure Boot, que usa GPT.
• Virtualização: execução de computadores simulados (máquinas virtuais) dentro de um computador real.
• WSL: Subsistema Windows para Linux, que corre Linux dentro do Windows.

Síntese

Instalar e parametrizar um sistema operativo é um processo com ordem. Primeiro perceber o equipamento (processador, RAM, disco, firmware, TPM) e ler a documentação do fabricante. Depois preparar o arranque e o suporte: ISO oficial com SHA-256 verificado, pen criada com cuidado e firmware em UEFI com Secure Boot. Segue-se a instalação do Windows 11 ou do Ubuntu, com particionamento e sistema de ficheiros decididos de forma consciente (NTFS ou ext4, EFI, raiz, dados), e a pós-instalação: atualizações, controladores, segurança ativa, conta standard, cópia de segurança e aplicações base. A parametrização adapta o sistema ao contexto (escritório, multimédia, programação, atendimento, servidor), configura rede e periféricos e controla o arranque e os serviços. Compreender processos e memória permite diagnosticar lentidão: medir, localizar o gargalo, agir numa só coisa, medir de novo. Os dados protegem-se com cópias segundo a regra 3-2-1 e testes de restauro. Os acessos definem-se por grupos e pelo menor privilégio, com permissões Unix e NTFS e partilhas bem pensadas. Por fim, a segurança reúne firewall, encriptação, atualizações, autenticação reforçada e registos, tudo dentro das normas e dos regulamentos aplicáveis, com registo do que se faz e responsabilidade pelo acesso que o técnico tem.

Exercícios resolvidos

1. O disco de 2 TB de um servidor foi inicializado em MBR e tem uma partição só. Quanto desse disco o sistema consegue endereçar, e o que se deve fazer ao planear a instalação em UEFI?

Resolução: o limite do MBR é de 2 TiB (2³² setores de 512 bytes, ou seja, 2048 GiB). Um disco de 2 TB comerciais tem cerca de 1862,6 GiB, que é menos de 2 TiB, por isso o MBR endereça-o por inteiro; só discos acima de 2 TiB perdem o excedente. Mesmo assim, em UEFI usa-se GPT, que é o esquema esperado nesse firmware. Se o disco já tem dados, tenta-se mbr2gpt (conversão sem apagar); se estiver vazio, clean e convert gpt no diskpart.

2. A ISO do Ubuntu tem 6 GB e a pen grava a 24 MB/s. Quanto tempo demora a gravação, sem contar a verificação?

Resolução: 6 GB ≈ 6000 MB; 6000 ÷ 24 = 250 segundos, cerca de 4 minutos e 10 segundos. Se a ferramenta também verificar a gravação, o tempo aproxima-se do dobro.

3. Um disco de 4 TB comerciais aparece com quantos GiB? Mostra o cálculo.

Resolução: 4 × 10¹² ÷ 2³⁰ = 4 000 000 000 000 ÷ 1 073 741 824 ≈ 3725,3 GiB. O sistema mostra cerca de 3,64 TiB (3725,3 ÷ 1024).

4. Um servidor de impressão tem o IP 192.168.10.8/26. Quantos equipamentos tem a sub-rede e qual é o endereço de difusão?

Resolução: /26 deixa 32 - 26 = 6 bits para equipamentos: 2⁶ = 64 endereços, 62 utilizáveis. Blocos de 64: 0-63, 64-127, … O IP .8 está no primeiro bloco (rede 192.168.10.0, difusão 192.168.10.63). Utilizáveis: .1 a .62.

5. Um ficheiro tem permissão 754. Escreve-a em formato rwx e descreve quem pode fazer o quê.

Resolução: 7 = rwx (dono), 5 = r-x (grupo), 4 = r-- (outros). Fica rwxr-xr--. O dono lê, escreve e executa; o grupo lê e executa; os outros só leem.

6. Quatro processos pedem 4, 2, 6 e 4 ms. Com quantum de 3 ms e rotativo, em que instante termina o segundo (P2)?

Resolução: P1 corre 0-3 (falta 1); P2 corre 3-5 (termina aos 5, pois só precisava de 2). Termina aos 5 ms. Verificação do restante: P3 5-8 (faltam 3), P4 8-11 (falta 1), P1 11-12 (termina), P3 12-15 (termina), P4 15-16 (termina). Total 16 = 4 + 2 + 6 + 4.

7. Em páginas de 4 KiB, em que página e a que deslocamento está o endereço virtual 10 000?

Resolução: 10 000 ÷ 4096 = 2 com resto 10 000 - 8192 = 1808. Página 2, deslocamento 1808 bytes.

8. A partilha de rede dá "Controlo total" ao grupo Estágio, mas o NTFS só lhe dá "Leitura". Um estagiário consegue apagar um ficheiro pela rede?

Resolução: não. A permissão efetiva pela rede é a mais restritiva das duas: Leitura. Para permitir escrita, altera-se o NTFS; mantém-se a partilha ampla e controla-se tudo no NTFS.

9. Um pequeno escritório tem 250 GB de dados, 4 % alteram-se por dia e quer 14 dias de histórico. Quantos GB de cópia precisa, com 20 % de folga?

Resolução: alteração diária 0,04 × 250 = 10 GB; 14 dias = 140 GB; cópia completa 250 GB; total 390 GB; com 20 % de folga, 390 × 1,2 = 468 GB. Serve um disco de 500 GB ou, mais confortavelmente, de 1 TB.

10. Porque se guarda a chave de recuperação do BitLocker fora do portátil?

Resolução: porque a chave é o que permite aceder aos dados se o TPM falhar, se o firmware for alterado ou se a placa-mãe for substituída. Guardada só no portátil, perde-se com ele, e os dados ficam ilegíveis para sempre. Guarda-se numa conta da organização, num cofre de palavras-passe ou impressa e arquivada em local seguro.