Asegurando tus Servidores Linux: Guía Completa de Hardening y Mejores Prácticas 🛡️

La seguridad de los servidores es un pilar fundamental en cualquier infraestructura tecnológica. En el mundo de DevOps, donde la automatización y la agilidad son clave, asegurar que nuestros servidores Linux sean robustos frente a ataques es más crítico que nunca. El hardening de servidores es el proceso de fortalecer la seguridad de un sistema operativo, aplicación o servidor, reduciendo su superficie de ataque.

En este tutorial, exploraremos en detalle cómo aplicar diversas capas de seguridad para proteger tus servidores Linux, desde la configuración inicial hasta la monitorización continua. ¡Vamos a ello!

¿Por Qué es Crucial el Hardening de Servidores Linux? 🎯

Un servidor sin una configuración de seguridad adecuada es un blanco fácil para atacantes. Las consecuencias pueden ser devastadoras: pérdida de datos, interrupciones de servicio, compromiso de la privacidad e incluso daños a la reputación de una organización. El hardening no solo previene ataques, sino que también garantiza la conformidad con normativas de seguridad y mejora la resiliencia general del sistema.

1. Actualizaciones y Parches del Sistema Operativo 🔄

El primer y más básico paso en el hardening es mantener el sistema operativo y todas sus aplicaciones actualizadas. Las actualizaciones a menudo incluyen parches de seguridad que corrigen vulnerabilidades conocidas.

1.1. Mantén Tu Sistema Al Día

Es vital configurar tu sistema para que reciba actualizaciones de seguridad de forma regular y automatizada, o al menos, para que te notifique sobre ellas y las apliques manualmente tan pronto como sea posible.

Para sistemas basados en Debian/Ubuntu:

sudo apt update
sudo apt upgrade -y
sudo apt dist-upgrade -y
sudo apt autoremove -y

Para sistemas basados en RHEL/CentOS/Fedora:

sudo dnf update -y  # O 'sudo yum update -y' para versiones antiguas de CentOS/RHEL

2. Gestión de Usuarios y Permisos 🧑‍💻

Una gestión de usuarios y permisos adecuada es fundamental para limitar el acceso no autorizado y el impacto de un posible compromiso.

2.1. Políticas de Contraseñas Fuertes 💪

Define y aplica políticas de contraseñas robustas. Esto incluye longitud mínima, complejidad (combinación de mayúsculas, minúsculas, números y símbolos) y caducidad de contraseñas.

Para forzar políticas de contraseñas, puedes usar el módulo pam_pwquality (o pam_cracklib en sistemas más antiguos) en /etc/pam.d/common-password o /etc/login.defs.

Ejemplo de configuración en /etc/pam.d/common-password (Debian/Ubuntu):

password  requisite  pam_pwquality.so retry=3 minlen=12 lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1 enforce_for_root

• minlen=12: Longitud mínima de 12 caracteres.
• lcredit=-1: Al menos una letra minúscula.
• ucredit=-1: Al menos una letra mayúscula.
• dcredit=-1: Al menos un dígito.
• ocredit=-1: Al menos un carácter especial.

2.2. Restricción del Acceso Root 🚫

Nunca uses el usuario root para tareas diarias. En su lugar, usa un usuario con privilegios limitados y utiliza sudo cuando necesites ejecutar comandos con privilegios elevados.

• Deshabilita el inicio de sesión directo como root a través de SSH. Edita /etc/ssh/sshd_config y asegúrate de que PermitRootLogin esté establecido en no.

sudo sed -i 's/^PermitRootLogin yes/PermitRootLogin no/g' /etc/ssh/sshd_config
sudo systemctl restart sshd

• Asegúrate de que solo los usuarios autorizados puedan usar sudo. Verifica el archivo /etc/sudoers (usando visudo).

2.3. Eliminación de Cuentas Innecesarias

Elimina cualquier cuenta de usuario que no sea necesaria o que no esté en uso. También revisa y bloquea cuentas de sistema que no deberían tener shell interactivo (/sbin/nologin).

# Listar usuarios con shell interactivo
cat /etc/passwd | grep -E '/bin/bash|/bin/sh'

# Ejemplo de cómo bloquear una cuenta (reemplaza 'olduser')
sudo usermod -L olduser # Bloquear la cuenta
sudo usermod -s /sbin/nologin olduser # Cambiar shell
sudo passwd -l olduser # Bloquear contraseña

3. Configuración de Firewall (Netfilter/FirewallD/UFW) 🔥

Un firewall es la primera línea de defensa de tu servidor, controlando el tráfico de red entrante y saliente. Solo permite el tráfico esencial.

3.1. Reglas de Firewall Esenciales

Para sistemas Debian/Ubuntu con UFW (Uncomplicated Firewall):

sudo ufw enable
sudo ufw default deny incoming
sudo ufw default allow outgoing

sudo ufw allow ssh  # Puerto 22 por defecto
sudo ufw allow http # Puerto 80
sudo ufw allow https # Puerto 443

sudo ufw status verbose

Para sistemas RHEL/CentOS/Fedora con FirewallD:

sudo systemctl enable firewalld --now
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https

sudo firewall-cmd --reload
sudo firewall-cmd --list-all

4. Asegurando SSH 🔐

SSH es la puerta de entrada principal a tus servidores. Asegurarlo es crítico.

4.1. Autenticación Basada en Claves SSH

Deshabilita la autenticación por contraseña y usa solo claves SSH. Esto es mucho más seguro.

1. Genera un par de claves SSH en tu máquina local si no lo tienes:

ssh-keygen -t rsa -b 4096

2. Copia tu clave pública al servidor:

ssh-copy-id username@your_server_ip

3. Edita /etc/ssh/sshd_config en el servidor:

PasswordAuthentication no
ChallengeResponseAuthentication no
UsePAM no # Si no usas PAM para autenticación SSH
PermitRootLogin no # Ya lo habíamos hecho

4. Reinicia el servicio SSH:

sudo systemctl restart sshd

4.2. Cambia el Puerto SSH Predeterminado

Cambiar el puerto 22 a uno no estándar (ej. 2222) reduce el ruido de los escaneos automatizados, aunque no es una medida de seguridad infalible.

1. Edita /etc/ssh/sshd_config:

Port 2222

2. Asegúrate de que tu firewall permite el nuevo puerto (ej. sudo ufw allow 2222/tcp o sudo firewall-cmd --permanent --add-port=2222/tcp).
3. Reinicia el servicio SSH:

sudo systemctl restart sshd

4.3. Instala Fail2Ban 🤖

Fail2Ban monitoriza los logs del sistema en busca de intentos de inicio de sesión fallidos repetidos y bloquea temporalmente (o permanentemente) las direcciones IP que los realizan. Esto es excelente para prevenir ataques de fuerza bruta.

Para instalar en Debian/Ubuntu:

sudo apt install fail2ban
sudo systemctl enable fail2ban --now

Para instalar en RHEL/CentOS:

sudo dnf install epel-release
sudo dnf install fail2ban
sudo systemctl enable fail2ban --now

Crea un archivo de configuración local para personalizar las reglas (/etc/fail2ban/jail.local):

[sshd]
enabled = true
port = 2222  ; Asegúrate de que coincida con tu puerto SSH
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 1h

5. Auditoría y Monitoreo de Seguridad 📊

No basta con configurar la seguridad; hay que monitorizarla activamente para detectar posibles intrusiones o actividades sospechosas.

5.1. Revisión de Logs del Sistema

Los logs del sistema son una fuente invaluable de información de seguridad. Revisa regularmente auth.log (o secure en RHEL) para inicios de sesión fallidos, cambios de privilegios, etc.

sudo tail -f /var/log/auth.log

Considera implementar una solución centralizada de gestión de logs como ELK Stack (Elasticsearch, Logstash, Kibana) o Grafana Loki para facilitar el análisis.

5.2. Herramientas de Auditoría y Detección de Intrusion (IDS)

• Lynis: Una herramienta de auditoría de seguridad que escanea el sistema en busca de posibles vulnerabilidades y proporciona recomendaciones de hardening.

sudo apt install lynis # Debian/Ubuntu
sudo dnf install lynis # RHEL/CentOS

sudo lynis audit system

Lynis te dará un informe detallado con sugerencias de mejora. 

• rkhunter (Rootkit Hunter): Escanea el sistema en busca de rootkits, puertas traseras y exploits locales.

sudo apt install rkhunter
sudo rkhunter --update
sudo rkhunter --check

• chkrootkit: Similar a rkhunter, otra herramienta para detectar rootkits.

sudo apt install chkrootkit
sudo chkrootkit

• AIDE (Advanced Intrusion Detection Environment): Un sistema de verificación de integridad de archivos que crea una base de datos de los atributos de los archivos y la usa para detectar cambios. Útil para saber si un atacante ha modificado archivos del sistema.

sudo apt install aide
sudo aide --init
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
# Para verificar más tarde
sudo aide --check

6. Configuración de Seguridad del Kernel (sysctl) ⚙️

El kernel de Linux ofrece varias configuraciones que pueden mejorar la seguridad. Puedes modificarlas a través de sysctl.

6.1. Protecciones Básicas del Kernel

Edita /etc/sysctl.conf y añade las siguientes líneas para aplicar cambios permanentes (luego ejecuta sudo sysctl -p):

# Evitar la suplantación de IP (IP Spoofing)
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

# Deshabilitar el reenvío de paquetes (si no es un router)
net.ipv4.ip_forward = 0

# Proteger contra ataques SYN flood
net.ipv4.tcp_syncookies = 1

# Ignorar solicitudes ICMP de broadcast (Smurf Attack)
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Ignorar solicitudes ICMP defectuosas
net.ipv4.icmp_ignore_bogus_error_responses = 1

# Deshabilitar las redirecciones ICMP (Man-in-the-Middle)
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0

# Habilitar ASLR (Address Space Layout Randomization)
kernel.randomize_va_space = 2

7. Deshabilitar Servicios Innecesarios 🛑

Cada servicio que se ejecuta en tu servidor es una posible puerta de entrada. Deshabilita y elimina cualquier servicio que no sea absolutamente esencial para la función del servidor.

7.1. Identifica y Detén Servicios

Usa systemctl para listar y gestionar servicios:

sudo systemctl list-units --type=service --state=running

# Para detener y deshabilitar un servicio (ej. Apache si no lo necesitas)
sudo systemctl stop apache2
sudo systemctl disable apache2

# Para eliminarlo completamente (si no lo necesitas en el futuro)
sudo apt remove apache2 # Debian/Ubuntu
sudo dnf remove httpd   # RHEL/CentOS

8. Seguridad de Archivos y Sistemas de Archivos 📁

Controlar quién puede leer, escribir o ejecutar archivos es crucial.

8.1. Permisos de Archivos y Directorios

Sigue el principio del menor privilegio: solo los usuarios y procesos que necesitan acceso a un archivo o directorio deben tenerlo.

• Archivos de configuración sensibles: Asegúrate de que solo root pueda leer o escribir (-rw-------).

sudo chmod 600 /etc/ssh/sshd_config
sudo chmod 600 /etc/sudoers

• Directorios de usuario: Un umask de 0027 (o 0077) es una buena práctica para que los archivos recién creados sean seguros por defecto.

8.2. Restricciones de Montaje (fstab)

Para particiones que no necesitan ejecutar binarios o contener archivos de dispositivos, puedes añadir opciones de montaje en /etc/fstab:

• noexec: Evita la ejecución de binarios desde la partición.
• nodev: Impide que los archivos de dispositivo sean interpretados en la partición.
• nosuid: Deshabilita los bits setuid y setgid en la partición.

Ejemplo para /tmp o /var/tmp:

UUID=xxxxxxx /tmp ext4 defaults,noexec,nodev,nosuid 0 2

8.3. Encriptación de Discos 🔒

Considera usar encriptación de disco completo (FDE) con LUKS para proteger los datos en reposo, especialmente en portátiles o servidores que puedan ser físicamente accesibles.

9. Seguridad de Aplicaciones y Servicios Web 🌐

Si tu servidor aloja aplicaciones web, también debes aplicar medidas de seguridad específicas.

9.1. Asegurar Servidores Web (Apache/Nginx)

• Deshabilitar módulos innecesarios.
• Minimizar la información en los encabezados HTTP (ej. ServerTokens Prod en Apache).
• Usar HTTPS con certificados SSL/TLS válidos (Let's Encrypt).
• Configurar directivas de seguridad como HTTP Strict Transport Security (HSTS).

9.2. Base de Datos

• Contraseñas fuertes para usuarios de base de datos.
• Acceso restringido solo desde las IPs necesarias.
• Parches y actualizaciones regulares.

10. Implementación y Automatización con DevOps 🚀

La cultura DevOps fomenta la automatización. Las configuraciones de hardening no deben ser una excepción. Herramientas como Ansible, Puppet o Chef pueden automatizar la aplicación y verificación de las políticas de seguridad en toda tu infraestructura.

Conclusión ✨

El hardening de servidores Linux es un proceso continuo, no un evento único. Requiere una combinación de configuraciones técnicas, políticas de seguridad y una vigilancia constante. Al implementar las prácticas descritas en este tutorial, habrás dado pasos significativos para proteger tus servidores y fortalecer tu infraestructura contra las amenazas cibernéticas. Recuerda que la seguridad es una responsabilidad compartida y debe ser parte integral de tu cultura DevOps.

Recursos Adicionales 📚

• CIS Benchmarks for Linux
• Documentación oficial de SSH
• Guía de Hardening de Debian
• Documentación de Fail2Ban