Para empezarInstalas un servidor y crees que está seguro solo porque acabas de encenderlo. Es el error más caro que puedes cometer.
¿Qué es el Hardening?
El hardening o endurecimiento es el proceso de asegurar un sistema informático reduciendo su vulnerabilidad al mínimo. Consiste en eliminar todo aquello que no sea estrictamente necesario para su funcionamiento operativo, cerrando puertas traseras lógicas y minimizando la superficie de ataque disponible para un intruso.
El peligro por defecto
Más del ochenta por ciento de los sistemas comprometidos en entornos corporativos sufrieron intrusiones no por fallos de día cero o vulnerabilidades complejas, sino porque se dejaron activas las configuraciones por defecto, contraseñas de fábrica y servicios innecesarios con los que venían preinstalados.
Fases del Endurecimiento
Aplicar un proceso de hardening efectivo requiere seguir una metodología estructurada que va desde el descubrimiento inicial hasta la monitorización continua del sistema operativo.
Marca cada paso al entenderlo · 0/4
Auditar puertos abiertos
Antes de asegurar nada, debemos saber qué puertas están abiertas al exterior. El comando netstat nos permite listar todos los puertos de escucha y los servicios asociados en nuestro sistema Linux.
$ sudo ss -tulpn
Netid State Recv-Q Send-Q Local Address:Port Peer Address:Port Process
tcp LISTEN 0 128 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=521,fd=3))
tcp LISTEN 0 128 0.0.0.0:80 0.0.0.0:* users:(("nginx",pid=842,fd=6))
Superficie de ataque
La superficie de ataque es la suma total de todas las rutas, vulnerabilidades, puntos de entrada y vectores a través de los cuales un atacante no autorizado puede intentar extraer datos o inyectar código malicioso en tu infraestructura. Cuantos más servicios corran, mayor será esta superficie.
El mito del antivirus
Instalar un software antivirus o EDR no te protege frente a una mala configuración estructural. Si dejas un servicio vulnerable expuesto sin autenticación o con credenciales débiles, ninguna herramienta defensiva va a salvarte de una intrusión directa.
Principio de Menor Privilegio
Ningún usuario, proceso o aplicación debe tener más privilegios de los estrictamente necesarios para realizar su tarea asignada. Esto limita drásticamente el impacto de un posible compromiso.
Marca cada paso al entenderlo · 0/3
Desactivar servicios inútiles
Muchos sistemas traen demonios y servicios habilitados por defecto que jamás utilizaremos. Debemos detenerlos y deshabilitarlos permanentemente para evitar que consuman recursos y abran brechas.
$ sudo systemctl stop cups.service
$ sudo systemctl disable cups.service
Removed /etc/systemd/system/multi-user.target.wants/cups.service.
Hardening de Red
El endurecimiento a nivel de red implica configurar cortafuegos estrictos, deshabilitar protocolos de enrutamiento innecesarios, cerrar puertos de administración remota no cifrados como Telnet y asegurar que todo el tráfico crítico viaje encapsulado mediante túneles seguros.
Configurar cortafuegos base
Un servidor blindado debe denegar todo el tráfico entrante por defecto y permitir únicamente las conexiones estrictamente necesarias, como SSH desde una IP específica y el servidor web público.
$ sudo ufw default deny incoming
$ sudo ufw default allow outgoing
$ sudo ufw allow 22/tcp
$ sudo ufw enable
Credenciales por defecto
Millones de dispositivos IoT y servidores corporativos siguen conectados a internet utilizando usuarios como admin y contraseñas como password o 123456, facilitando ataques automatizados de fuerza bruta en cuestión de segundos.
Protección de Ficheros Críticos
El sistema operativo almacena configuraciones vitales que deben ser protegidas contra modificaciones no autorizadas mediante permisos restrictivos y atributos inmutables.
Marca cada paso al entenderlo · 0/3
Bloquear cuentas inactivas
Los usuarios antiguos o temporales que ya no se utilizan son vectores de ataque olvidados. Debemos bloquear explícitamente sus shells y caducar sus credenciales de acceso.
$ sudo usermod -s /sbin/nologin usuario_antiguo
$ sudo passwd -l usuario_antiguo
passwd: password expiry check completed.
Hardening del Kernel
Modificar los parámetros del núcleo del sistema operativo (sysctl) permite mitigar ataques avanzados a nivel de memoria, evitar la suplantación de direcciones IP mediante spoofing y desactivar respuestas a paquetes ICMP innecesarios.
Cuidado con romper el sistema
Aplicar políticas de endurecimiento extremas sin probarlas previamente en un entorno de laboratorio puede dejar tu servidor inaccesible o romper aplicaciones críticas. Realiza siempre copias de seguridad y cambios incrementales.
Verificación y Hardening Continuo
El hardening no es un evento único que se hace al instalar el servidor, sino un proceso de mejora continua que debe auditarse de forma automatizada de manera periódica.
Marca cada paso al entenderlo · 0/3
¿Te acuerdas? Toca para comprobarlo
Atajos: ← → para cambiar de pieza · / para buscar