Configuración y Hardening de Servicios en Linux: Fortificando tu Servidor para Hacking Ético

🛡️ Fortificando tu Servidor Linux: Un Enfoque de Hardening

En el mundo del hacking ético y la ciberseguridad, entender cómo proteger los sistemas es tan crucial como saber cómo atacarlos. Un servidor Linux bien configurado y 'hardeneado' (endurecido) es una fortaleza difícil de penetrar. Este tutorial se enfoca en las técnicas y mejores prácticas para asegurar servicios críticos en Linux, reduciendo drásticamente la superficie de ataque.

¿Por qué es Crucial el Hardening? 💡

El hardening es el proceso de asegurar un sistema operativo, aplicación o servidor mediante la eliminación de vulnerabilidades innecesarias. Esto incluye deshabilitar servicios no utilizados, eliminar software por defecto, aplicar parches de seguridad, configurar firewalls y establecer políticas de acceso estrictas. Un sistema no hardeneado es una invitación abierta para los atacantes.

🔍 Entendiendo la Superficie de Ataque

La superficie de ataque se refiere a todos los puntos por los cuales un atacante no autorizado puede intentar entrar o extraer datos de un sistema. En un servidor Linux, esto puede incluir:

• Servicios de red: SSH, HTTP/HTTPS, FTP, DNS, bases de datos.
• Aplicaciones instaladas: Servidores web, contenedores, lenguajes de scripting.
• Sistema operativo: Kernel, librerías, archivos de configuración.
• Usuarios: Cuentas con permisos débiles, contraseñas fáciles.

El objetivo del hardening es minimizar esta superficie de ataque tanto como sea posible.

Principios Clave del Hardening ✅

Aquí tienes una tabla con los principios fundamentales que aplicaremos:

🛠️ Hardening del Sistema Operativo Base

Antes de configurar cualquier servicio, es fundamental asegurar el propio sistema operativo Linux.

1. Actualizaciones del Sistema 🔄

Siempre empieza por actualizar tu sistema. Esto corrige vulnerabilidades conocidas y mejora la estabilidad.

sudo apt update && sudo apt upgrade -y # Para sistemas basados en Debian/Ubuntu
sudo dnf update -y                   # Para sistemas basados en RHEL/CentOS/Fedora

2. Eliminar Software Innecesario 🗑️

Desinstala cualquier paquete o servicio que no sea esencial para la función del servidor. Esto incluye herramientas de desarrollo, clientes gráficos si es un servidor sin GUI, etc.

sudo apt purge apache2-utils telnetd rsh-server # Ejemplo de paquetes a eliminar
sudo apt autoremove -y

3. Configuración de Usuarios y Contraseñas 🔑

• Contraseñas Fuertes: Asegúrate de que todos los usuarios tengan contraseñas complejas. Utiliza una política de contraseñas si es posible.
• Bloquear root: Deshabilitar el inicio de sesión directo como root a través de SSH es una buena práctica.
• Limitar sudo: Solo los usuarios necesarios deben tener permisos sudo.

4. Firewall (UFW/Firewalld) 🔥

Configura un firewall para controlar el tráfico entrante y saliente. Bloquea todo por defecto y solo permite el tráfico necesario.

Con UFW (Uncomplicated Firewall - Debian/Ubuntu)

sudo ufw enable
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh        # Permitir SSH (puerto 22 por defecto)
sudo ufw allow http       # Permitir HTTP (puerto 80 por defecto)
sudo ufw allow https      # Permitir HTTPS (puerto 443 por defecto)
sudo ufw status verbose

Con Firewalld (RHEL/CentOS/Fedora)

sudo systemctl start firewalld
sudo systemctl enable firewalld
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

🔒 Hardening de Servicios Comunes

Ahora, centrémonos en servicios específicos que suelen estar presentes en la mayoría de los servidores.

1. Secure Shell (SSH) 🚪

SSH es la puerta de entrada principal a la mayoría de los servidores Linux. Asegurarlo es vital.

Edita el archivo de configuración de SSH: /etc/ssh/sshd_config.

sudo nano /etc/ssh/sshd_config

Cambia las siguientes directivas (descomenta si están comentadas):

• Port 2222 (Cambiar el puerto por defecto, por ejemplo, a 2222. Esto no es una medida de seguridad infalible, pero reduce el ruido de escaneos automáticos).
• PermitRootLogin no (Deshabilitar el inicio de sesión directo como root).
• PasswordAuthentication no (Deshabilitar la autenticación por contraseña. ¡Usa claves SSH!).
• ChallengeResponseAuthentication no
• UsePAM yes (Asegura que PAM maneje la autenticación).
• AllowUsers tu_usuario_seguro (Permitir solo a usuarios específicos iniciar sesión).
• MaxAuthTries 3 (Limitar el número de intentos de autenticación).

Después de modificar, reinicia el servicio SSH:

sudo systemctl restart sshd

2. Servidor Web (Apache/Nginx) 🌐

Los servidores web son un objetivo común. Aquí hay algunas configuraciones clave:

Eliminar encabezados informativos

Estos encabezados pueden revelar información útil a un atacante.

Apache: Edita apache2.conf o httpd.conf.

ServerTokens Prod
ServerSignature Off
TraceEnable Off

Nginx: Edita nginx.conf.

server_tokens off;

Deshabilitar listado de directorios

Evita que los usuarios naveguen por la estructura de archivos si no hay un index.html.

Apache: En apache2.conf o en tu archivo de VirtualHost.

<Directory /var/www/html>
    Options -Indexes
</Directory>

Nginx: En tu archivo de configuración de sitio.

location / {
    autoindex off;
}

ModSecurity (WAF - Web Application Firewall)

Considera implementar un WAF como ModSecurity para proteger contra ataques de inyección SQL, XSS, etc.

3. Base de Datos (MySQL/PostgreSQL) 🗄️

Las bases de datos almacenan información crítica y son un objetivo principal.

• Restringir Acceso: Configura el servidor de base de datos para escuchar solo en localhost si la aplicación y la base de datos están en el mismo servidor. Si no, restringe el acceso solo a las IPs necesarias.
  • bind-address = 127.0.0.1 en my.cnf (MySQL)
  • listen_addresses = 'localhost' en postgresql.conf (PostgreSQL)
• Contraseñas Fuertes: Usa contraseñas muy fuertes para los usuarios de la base de datos.
• Principio del Mínimo Privilegio: Cada aplicación debe tener su propio usuario de base de datos con los permisos mínimos requeridos.
• Eliminar Usuarios por Defecto: Elimina usuarios como test o anonymous.

4. Servicio DNS (BIND/unbound) 🌐

Si tu servidor actúa como un servidor DNS, es crucial asegurarlo.

• Limitar consultas: Restringe quién puede realizar consultas recursivas (solo a tus clientes internos, no a Internet).
• Deshabilitar Transferencias de Zona: Permite transferencias de zona solo a tus servidores DNS secundarios autorizados.
• Ejecutar como usuario no privilegiado: Configura el servicio para que se ejecute con un usuario con pocos privilegios.

# Ejemplo de BIND - named.conf.options
options {
    // ... otras opciones ...
    allow-query { any; }; // Permite a cualquiera hacer consultas (si es público)
    allow-recursion { 192.168.1.0/24; }; // Solo red interna para recursión
    allow-transfer { none; }; // Denegar transferencias de zona a todos
    // ... o permitir a servidores específicos:
    // allow-transfer { 1.2.3.4; 5.6.7.8; };
};

📝 Monitoreo y Auditoría

El hardening no termina con la configuración inicial. El monitoreo constante y las auditorías regulares son esenciales.

1. Registros (Logs) 📜

Todos los servicios deben registrar sus actividades. Configura rsyslog o journald para centralizar y proteger los logs.

• Auditoría de Logs: Revisa los logs regularmente en busca de actividad sospechosa (intentos de inicio de sesión fallidos, errores de servicios, etc.).
• Herramientas de Análisis de Logs: Utiliza herramientas como Logwatch o fail2ban.

2. Auditoría de Seguridad 🕵️‍♀️

Realiza auditorías de seguridad periódicas para identificar nuevas vulnerabilidades o configuraciones débiles.

• Escáneres de Vulnerabilidades: Usa herramientas como OpenVAS, Nessus o Nmap para escanear tu propio servidor.
• Pentesting: Simula ataques para encontrar debilidades.
• Revisión Manual: Revisa los archivos de configuración y los permisos de archivos y directorios críticos (/etc, /var/log).

🚀 Más Allá del Hardening Básico

Para un nivel de seguridad aún mayor, considera estas técnicas avanzadas:

• SELinux/AppArmor: Implementa controles de acceso obligatorio (MAC) para limitar lo que los programas pueden hacer, incluso si son comprometidos.
• Multi-Factor Authentication (MFA): Habilita MFA para SSH y otros servicios críticos.
• Cifrado de Disco: Cifra tus discos duros para proteger los datos en caso de acceso físico no autorizado.
• Contenedores y Virtualización: Utiliza Docker o KVM para aislar servicios y aplicaciones.
• Sistema de Detección de Intrusiones (IDS/IPS): Herramientas como Snort o Suricata pueden detectar y prevenir ataques en tiempo real.

Pro La combinación de hardening robusto con monitoreo proactivo y herramientas avanzadas crea una defensa en profundidad.

Recursos Adicionales 📚

• CIS Benchmarks: Proporcionan guías detalladas para el hardening de diversos sistemas operativos y aplicaciones.
• Guías de Seguridad de la Distribución: Consulta la documentación de seguridad específica de tu distribución Linux (Debian Security Handbook, RHEL Security Guide).

Este tutorial te ha proporcionado una base sólida para configurar y 'hardenear' servicios en Linux. Recuerda que la seguridad es un proceso continuo, no un evento único. Mantente siempre informado sobre las últimas amenazas y mejores prácticas.