Configuración y Hardening de Servidores Web Apache/Nginx: Fortificando tu Fortaleza Digital 🏰

¡Bienvenido a este tutorial sobre la fortificación de tus servidores web! 🚀 En el mundo del hacking ético y la ciberseguridad, tan importante como encontrar vulnerabilidades es saber cómo prevenirlas y proteger nuestros sistemas. Un servidor web mal configurado o sin las medidas de seguridad adecuadas es una invitación abierta para los atacantes. Aquí aprenderemos a blindar Apache y Nginx, los dos servidores web más populares.

¿Por Qué Es Crucial el Hardening de Servidores Web? 🤔

El hardening, o “endurecimiento”, de un servidor web se refiere al proceso de mejorar su seguridad eliminando o desactivando servicios, funciones y configuraciones innecesarias que podrían ser explotadas por atacantes. En un panorama de amenazas en constante evolución, una configuración por defecto rara vez es suficiente. Los servidores web son la puerta de entrada principal para muchas aplicaciones y servicios online, convirtiéndolos en objetivos primarios. Un compromiso puede llevar a:

• Robo de datos sensibles: Credenciales, información personal, secretos comerciales.
• Defacement del sitio: Modificación no autorizada de la página web.
• Inyección de malware: Distribución de software malicioso a los visitantes.
• Denegación de Servicio (DoS/DDoS): Interrupción del acceso a tu servicio.
• Escalada de privilegios: Acceso a otras partes del sistema o red.

Herramientas y Conocimientos Previos 🛠️

Para seguir este tutorial, necesitarás:

• Acceso a un servidor Linux (preferiblemente Ubuntu/Debian o CentOS/RHEL) con permisos de sudo.
• Conocimientos básicos de línea de comandos de Linux.
• Una instalación de Apache o Nginx (o ambas) para practicar.
• Un editor de texto (nano, vim, etc.).

Diagrama de Flujo del Proceso de Hardening 📊

Hardening de Apache HTTP Server 🛡️

Apache es un servidor web robusto y flexible, pero su flexibilidad a menudo significa que viene con muchas características habilitadas por defecto que no siempre son necesarias y pueden ser vulnerabilidades potenciales.

1. Actualizaciones y Parches 🔄

Siempre, siempre, siempre mantén tu sistema operativo y Apache actualizados. Las actualizaciones a menudo incluyen parches de seguridad cruciales.

sudo apt update
sudo apt upgrade
sudo apt install apache2 # Si no está instalado

En CentOS/RHEL:

sudo yum update
sudo yum install httpd # Si no está instalado

2. Desactivar Módulos Innecesarios ⛔

Apache carga muchos módulos por defecto. Desactiva aquellos que no uses para reducir la superficie de ataque.

Para listar los módulos cargados:

apache2ctl -M

Para desactivar un módulo (ej. mod_autoindex):

sudo a2dismod autoindex
sudo systemctl restart apache2

Módulos comunes a considerar desactivar si no se usan:

• mod_autoindex (listado de directorios)
• mod_status, mod_info (información del servidor, ¡cuidado con quién accede!)
• mod_dav, mod_cgi (si no usas WebDAV o scripts CGI)

3. Ocultar la Versión del Servidor y Detalles del SO 🎭

Revelar la versión de Apache o el sistema operativo puede dar a los atacantes información valiosa sobre posibles exploits. Modifica el archivo de configuración principal de Apache (típicamente /etc/apache2/apache2.conf o /etc/httpd/conf/httpd.conf).

Busca las directivas ServerTokens y ServerSignature:

ServerTokens Prod
ServerSignature Off

• ServerTokens Prod: Apache enviará solo Apache como la cabecera Server, ocultando la versión y el SO.
• ServerSignature Off: Deshabilita la adición de la versión del servidor y el nombre de host a las páginas generadas por Apache (como páginas de error, listados de directorios).

Reinicia Apache después de los cambios.

4. Permisos de Archivos y Directorios 📁🔒

Los permisos incorrectos son una fuente común de vulnerabilidades. El usuario bajo el que corre Apache (típicamente www-data en Debian/Ubuntu, apache en CentOS/RHEL) solo debe tener los permisos mínimos necesarios.

• Los archivos web deben pertenecer a root y al grupo de Apache.
• Los directorios deben tener permisos 755 (rwxr-xr-x).
• Los archivos deben tener permisos 644 (rw-r--r--).
• Nunca le des permisos de escritura al usuario de Apache en los directorios raíz de tus sitios, excepto para directorios específicos donde la aplicación necesite escribir (ej. uploads, cache), y aún así, con mucha precaución.

Ejemplo (para /var/www/html):

sudo chown -R root:www-data /var/www/html
sudo find /var/www/html -type d -exec chmod 755 {} \;
sudo find /var/www/html -type f -exec chmod 644 {} \;

5. Restricción de Acceso a Directorios Sensibles 🚫

Usa archivos .htaccess (si están permitidos, AllowOverride All) o bloques <Directory> en la configuración principal para restringir el acceso a directorios sensibles o deshabilitar la ejecución de scripts en directorios de subida.

Ejemplo de .htaccess en un directorio uploads:

# .htaccess en /var/www/html/uploads
<FilesMatch "\.(php|phtml|php3|php4|php5|php6|phps|js|jsp|cgi|pl|py|sh|exe)$">
    Order Allow,Deny
    Deny from all
</FilesMatch>

AddType text/plain .php .phtml .php3 .php4 .php5 .php6 .phps .js .jsp .cgi .pl .py .sh .exe

Esto evita que scripts maliciosos cargados sean ejecutados como PHP o CGI.

6. Configuración de SSL/TLS 🔒

Todo sitio web moderno debe usar HTTPS. Obtén un certificado SSL/TLS (Let's Encrypt es una excelente opción gratuita) y configúralo correctamente.

Activa los módulos SSL:

sudo a2enmod ssl
sudo a2enmod headers # Necesario para algunas cabeceras de seguridad
sudo systemctl restart apache2

Configuración básica en /etc/apache2/sites-available/your_domain_ssl.conf:

<VirtualHost *:443>
    ServerName your_domain.com
    DocumentRoot /var/www/html

    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/your_domain.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/your_domain.com/privkey.pem

    # HSTS (HTTP Strict Transport Security) para forzar HTTPS
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

    # Mejorar la seguridad de TLS
    SSLProtocol All -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
    SSLCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH
    SSLHonorCipherOrder on

    # Opcional: Proteger contra clickjacking
    Header always append X-Frame-Options SAMEORIGIN

    # Opcional: Proteger contra XSS
    Header set X-XSS-Protection "1; mode=block"

    # Opcional: Prevenir MIME-sniffing
    Header set X-Content-Type-Options nosniff

    # Archivos de log para depuración
    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>

7. Limitar el Uso de Recursos (mod_reqtimeout, mod_evasive) 🛑

Protege contra ataques de Denegación de Servicio (DoS) limitando los recursos.

• mod_reqtimeout: Configura límites de tiempo para recibir encabezados y cuerpos de solicitud.

RequestReadTimeout header=20-40,MinRate=500 body=20,MinRate=500

• mod_evasive: Módulo de terceros (necesita instalación manual) que puede detectar y bloquear ataques DoS simples basados en el número de solicitudes por segundo de una IP.

  Instalación (ejemplo en Debian/Ubuntu):

sudo apt install libapache2-mod-evasive

Configuración en `/etc/apache2/mods-available/evasive.conf`:

<IfModule mod_evasive20.c>
DOSHashTableSize    3097
DOSPageCount        2
DOSSiteCount        50
DOSPageInterval     1
DOSSiteInterval     1
DOSBlockingPeriod   10
# DOSSystemCommand    "/sbin/iptables -A INPUT -s %s -j DROP"
# DOSLogDir           "/var/log/mod_evasive"
</IfModule>

Reinicia Apache.

Hardening de Nginx 🛡️

Nginx es conocido por su rendimiento y eficiencia, especialmente como proxy inverso o para servir contenido estático. Su configuración es diferente a la de Apache, pero los principios de seguridad son los mismos.

1. Actualizaciones y Parches 🔄

Al igual que con Apache, mantén Nginx y tu sistema actualizados.

sudo apt update
sudo apt upgrade
sudo apt install nginx # Si no está instalado

En CentOS/RHEL:

sudo yum update
sudo yum install nginx # Si no está instalado

2. Ocultar la Versión del Servidor 🎭

Modifica el archivo de configuración principal de Nginx (típicamente /etc/nginx/nginx.conf). Añade o modifica la directiva server_tokens:

http {
    ...
    server_tokens off;
    ...
}

Reinicia Nginx.

3. Permisos de Archivos y Directorios 📁🔒

Las mismas reglas de permisos mínimos aplicables a Apache son válidas para Nginx. El usuario bajo el que corre Nginx (típicamente www-data en Debian/Ubuntu, nginx en CentOS/RHEL) solo debe tener los permisos necesarios para leer los archivos web.

Ejemplo (para /var/www/html):

sudo chown -R root:www-data /var/www/html
sudo find /var/www/html -type d -exec chmod 755 {} \;
sudo find /var/www/html -type f -exec chmod 644 {} \;

4. Restricción de Acceso a Directorios Sensibles 🚫

En Nginx, esto se hace directamente en los bloques server o location de tu configuración.

Ejemplo para un directorio uploads:

location ~* /(uploads|cache)/.*\.(php|phtml|php3|php4|php5|php6|phps|js|jsp|cgi|pl|py|sh|exe)$ {
    deny all;
}

También puedes bloquear el acceso a archivos de configuración o .ht:

location ~ /\.ht {
    deny all;
}

5. Configuración de SSL/TLS 🔒

Nginx es excelente para la terminación SSL. Configura tu certificado (Let's Encrypt es la opción recomendada) en tu bloque server.

Configuración básica en /etc/nginx/sites-available/your_domain.conf:

server {
    listen 80;
    listen [::]:80;
    server_name your_domain.com www.your_domain.com;
    return 301 https://$server_name$request_uri; # Redireccionar HTTP a HTTPS
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name your_domain.com www.your_domain.com;

    root /var/www/html;
    index index.html index.htm index.nginx-debian.html;

    ssl_certificate /etc/letsencrypt/live/your_domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your_domain.com/privkey.pem;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    ssl_protocols TLSv1.2 TLSv1.3; # Eliminar versiones TLS antiguas e inseguras
    ssl_ciphers 'TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH';
    ssl_prefer_server_ciphers on;

    # HSTS
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

    # Proteger contra clickjacking
    add_header X-Frame-Options "SAMEORIGIN" always;

    # Proteger contra XSS
    add_header X-XSS-Protection "1; mode=block" always;

    # Prevenir MIME-sniffing
    add_header X-Content-Type-Options "nosniff" always;

    location / {
        try_files $uri $uri/ =404;
    }

    error_log /var/log/nginx/your_domain.com_error.log;
    access_log /var/log/nginx/your_domain.com_access.log;
}

6. Limitar el Uso de Recursos y Protección DoS 🛑

Nginx ofrece directivas poderosas para limitar las conexiones y las tasas de solicitud, lo que es vital para la protección contra ataques DoS.

• limit_conn: Limita el número de conexiones por dirección IP.
• limit_req: Limita la tasa de solicitudes (requests) por dirección IP.

Ejemplo en el bloque http de nginx.conf:

http {
    ...
    limit_conn_zone $binary_remote_addr zone=conn_limit_per_ip:10m;
    limit_req_zone $binary_remote_addr zone=req_limit_per_ip:10m rate=5r/s;
    ...

    server {
        ...
        listen 443 ssl http2;
        ...
        limit_conn conn_limit_per_ip 10; # Máximo 10 conexiones por IP
        limit_req zone=req_limit_per_ip burst=20 nodelay; # 5 req/s, ráfaga de hasta 20
        ...
    }
}

• conn_limit_per_ip: Una zona de memoria compartida de 10MB para almacenar el estado de las conexiones.
• req_limit_per_ip: Una zona de 10MB para almacenar el estado de las solicitudes, limitando a 5 solicitudes por segundo (rate=5r/s). burst=20 permite que una IP haga hasta 20 solicitudes en ráfaga antes de ser rate-limited. nodelay significa que las solicitudes excedentes son procesadas inmediatamente si hay capacidad, no esperando el ritmo promedio.

Medidas de Hardening Adicionales (Apache y Nginx) ✨

Estas medidas son aplicables a ambos servidores web y complementan las configuraciones específicas.

1. Deshabilitar IPV6 si no es Necesario 🌐

Si tu aplicación o infraestructura no utiliza IPv6, deshabilitarlo puede reducir la superficie de ataque. Edita /etc/default/grub:

GRUB_CMDLINE_LINUX_DEFAULT="ipv6.disable=1 quiet splash"

Luego actualiza GRUB y reinicia:

sudo update-grub
sudo reboot

También puedes configurar los servidores web para que no escuchen en IPv6.

• Apache: En ports.conf o la configuración de VirtualHost, usa Listen 0.0.0.0:80 en lugar de Listen 80 o Listen [::]:80.
• Nginx: En los bloques listen, comenta o elimina las líneas con listen [::]:80; y listen [::]:443 ssl;.

2. Configuración del Firewall (UFW/firewalld) 🔥

Un firewall es tu primera línea de defensa. Permite solo el tráfico necesario (puertos 80, 443 para web, 22 para SSH, etc.) y bloquea todo lo demás.

UFW (Ubuntu/Debian):

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh # Permite SSH
sudo ufw allow http # Permite HTTP (puerto 80)
sudo ufw allow https # Permite HTTPS (puerto 443)
sudo ufw enable
sudo ufw status verbose

firewalld (CentOS/RHEL):

sudo systemctl start firewalld
sudo systemctl enable firewalld
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload
sudo firewall-cmd --list-all

3. Monitorización y Registros (Logs) 📖

La auditoría y el monitoreo son esenciales para detectar anomalías y ataques. Configura tus servidores para registrar eventos de forma granular y revisa los logs regularmente.

• Apache Logs: /var/log/apache2/access.log, /var/log/apache2/error.log
• Nginx Logs: /var/log/nginx/access.log, /var/log/nginx/error.log
• Logs del Sistema: /var/log/syslog o /var/log/messages, /var/log/auth.log

Considera usar herramientas como Fail2Ban para bloquear IPs maliciosas automáticamente basándose en los logs, o ELK Stack (Elasticsearch, Logstash, Kibana) para una gestión y análisis de logs centralizados.

4. Seguridad a Nivel de Aplicación 🎯

Recuerda que el hardening del servidor es solo una parte. Tus aplicaciones web (PHP, Python, Node.js, etc.) también deben ser seguras. Aplica principios como:

• Validación de entradas.
• Escapado de salidas.
• Uso de sentencias preparadas en bases de datos (para prevenir SQL Injection).
• Protección contra XSS, CSRF, Inyección de comandos, etc.
• Uso de Web Application Firewall (WAF) como ModSecurity (para Apache) o Naxsi (para Nginx).

5. Auditorías de Seguridad Regulares ✅

Realiza escaneos de vulnerabilidades periódicos (con herramientas como Nessus, OpenVAS, Acunetix) y pruebas de penetración (pentesting) para identificar nuevas debilidades.

Flujo de Trabajo para un Hardening Sostenible 🔁

Conclusión 🏁

El hardening de servidores web no es una tarea única, sino un proceso continuo. Requiere vigilancia, actualizaciones regulares y una comprensión profunda de las amenazas potenciales. Al seguir estas prácticas para Apache y Nginx, habrás dado pasos significativos para fortificar tu infraestructura digital y proteger tus activos más valiosos. Recuerda que la ciberseguridad es una carrera de armamentos; siempre debes estar un paso por delante de los atacantes.

¡Felicidades, tu fortaleza digital es ahora mucho más robusta! 💪