Auditoría de Seguridad y Detección de Intrusos en Linux con AIDE y Lynis

Introducción a la Seguridad Ofensiva y Defensiva en Linux 🛡️

En el ecosistema DevOps actual, la seguridad no puede ser una ocurrencia tardía añadida al final del ciclo de vida del desarrollo. Debe estar integrada desde el principio, un concepto conocido comúnmente como DevSecOps. Los servidores Linux albergan la gran mayoría de las cargas de trabajo en la nube, contenedores y microservicios, lo que los convierte en objetivos primarios para atacantes informáticos.

Para mantener una postura de seguridad robusta, los administradores de sistemas e ingenieros DevOps deben contar con estrategias proactivas y reactivas. Dos pilares fundamentales de esta estrategia son:

1. Auditoría de configuración y vulnerabilidades: Evaluar el sistema operativo en busca de debilidades de configuración, parches faltantes y malas prácticas.
2. Detección de intrusiones y control de integridad: Monitorear continuamente el sistema de archivos para detectar modificaciones no autorizadas, archivos troyanos o cambios maliciosos en archivos críticos de configuración.

En este tutorial aprenderemos a configurar y utilizar dos de las herramientas más potentes y respetadas en el mundo de la administración de sistemas Linux: Lynis y AIDE.

Arquitectura de Seguridad y Flujo de Trabajo 🔍

Antes de instalar herramientas, es vital comprender cómo interactúan Lynis y AIDE para formar una capa de defensa en profundidad. Mientras que Lynis realiza un escaneo estático y profundo del sistema operativo evaluando cientos de puntos de control, AIDE actúa como un centinela silencioso que vigila la integridad de los binarios y archivos de configuración críticos mediante funciones hash criptográficas.

Parte 1: Auditoría de Seguridad con Lynis 🛠️

Lynis es una herramienta de código abierto para auditorías de seguridad, cumplimiento normativo y pruebas de penetración defensiva en sistemas UNIX y Linux. Funciona escaneando el sistema de forma local sin requerir agentes complejos instalados en segundo plano.

Instalación de Lynis

Aunque Lynis se encuentra disponible en los repositorios predeterminados de muchas distribuciones, es altamente recomendable instalar la versión más reciente directamente desde el repositorio oficial del proyecto para asegurarte de contar con las últimas definiciones de pruebas.

Para sistemas basados en Debian y Ubuntu:

sudo apt update
sudo apt install -y apt-transport-https gnupg
wget -O - https://packages.cisofy.com/keys/cisofy-software-public.key | sudo gpg --dearmor -o /etc/apt/trusted.gpg.d/cisofy-software-public.gpg
echo "deb https://packages.cisofy.com/community/lynis/deb/ stable main" | sudo tee /etc/apt/sources.list.d/cisofy-lynis.list
sudo apt update
sudo apt install -y lynis

Para sistemas basados en Red Hat, AlmaLinux o Rocky Linux:

sudo rpm --import https://packages.cisofy.com/keys/cisofy-software-public.key
sudo tee /etc/yum.repos.d/cisofy-lynis.repo <<EOF
[cisofy-lynis]
name=CISOfy Software - Lynis
baseurl=https://packages.cisofy.com/community/lynis/rpm/
enabled=1
gpgcheck=1
gpgkey=https://packages.cisofy.com/keys/cisofy-software-public.key
EOF
sudo dnf install -y lynis

Ejecutando tu Primera Auditoría

Una vez instalado Lynis, puedes ejecutar una auditoría completa del sistema utilizando el siguiente comando. Se recomienda redirigir la salida o utilizar los parámetros adecuados para facilitar su lectura:

sudo lynis audit system

Durante la ejecución, Lynis revisará áreas críticas como:

• Permisos de archivos de configuración del sistema (por ejemplo, /etc/passwd y /etc/shadow).
• Configuración del servicio SSH (/etc/ssh/sshd_config).
• Puertos abiertos y servicios escuchando en la red.
• Paquetes instalados y actualizaciones pendientes.
• Configuración del cortafuegos (iptables, nftables, ufw).
• Políticas de contraseñas y caducidad.

Análisis de Resultados y Hardening Index

Al finalizar el escaneo, Lynis mostrará un resumen detallado que incluye un indicador numérico conocido como Hardening Index (Índice de Endurecimiento). Cuanto más alto sea este número (idealmente por encima del 80%), mejor configurado estará el servidor.

El reporte clasifica los hallazgos en tres categorías principales:

• Warnings (Advertencias): Problemas críticos de seguridad que deben resolverse inmediatamente.
• Suggestions (Sugerencias): Buenas prácticas recomendadas para mejorar la postura de seguridad.
• Details (Detalles): Información general sobre el estado del sistema.

Parte 2: Control de Integridad de Archivos con AIDE 📁

Mientras que Lynis evalúa configuraciones, AIDE (Advanced Intrusion Detection Environment) actúa como un sistema de control de integridad de archivos (FIDS). AIDE crea una base de datos con las firmas criptográficas (como SHA-256 o SHA-512) de todos los archivos seleccionados en tu sistema. Cuando un atacante modifica un binario del sistema (como /bin/ls o /bin/login) o un archivo de configuración crítico, AIDE detectará la discrepancia al comparar el estado actual con la base de datos inicial.

Instalación de AIDE

Instala AIDE utilizando el gestor de paquetes de tu distribución:

En Ubuntu/Debian:

sudo apt update
sudo apt install -y aide

En RHEL/AlmaLinux/Rocky Linux:

sudo dnf install -y aide

Configuración de AIDE

El archivo de configuración principal de AIDE se encuentra en /etc/aide.conf (o /etc/aide/aide.conf dependiendo de la distribución). Antes de generar la base de datos, es fundamental revisar y personalizar este archivo para evitar falsos positivos generados por archivos que cambian constantemente (como logs o cachés).

Abre el archivo de configuración con tu editor favorito:

sudo nano /etc/aide.conf

Define las reglas de control de integridad personalizadas o utiliza las predefinidas:

# Ejemplo de reglas personalizadas en aide.conf
Normal = R+a+m+i+n+u+g+s
Database = p+i+n+u+g+s+n

# Directorios a monitorear
/boot   Normal
/bin    Normal
/sbin   Normal
/usr/bin Normal
/usr/sbin Normal
/etc    Normal

# Directorios a ignorar o monitorear de forma ligera
!/var/log/.*
!/var/spool/.*

Inicialización de la Base de Datos de AIDE

Una vez configurado el archivo, debes inicializar la base de datos de AIDE. Este proceso calculará las sumas hash de todos los archivos especificados.

Para inicializar la base de datos en sistemas Debian/Ubuntu:

sudo aideinit

Esto generará un archivo de base de datos inicial (normalmente ubicado en /var/lib/aide/aide.db.new o una ruta similar). Debes renombrar este archivo para que sea la base de datos activa:

sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

Para sistemas basados en Red Hat:

sudo aide --init
sudo cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Verificación y Detección de Modificaciones

Para comprobar si ha habido cambios no autorizados en el servidor, ejecuta el comando de verificación de AIDE:

sudo aide --check

AIDE analizará el sistema de archivos actual y lo comparará con la base de datos guardada. Si encuentra discrepancias, generará un reporte detallado indicando exactamente qué archivos fueron modificados, añadidos o eliminados.

Parte 3: Automatización y Buenas Prácticas en DevOps 🤖

Integrar estas herramientas en tu pipeline diario o en tareas automatizadas de infraestructura es clave para mantener la seguridad operacional. Aquí te presentamos una tabla comparativa para saber cuándo utilizar cada herramienta:

Creación de un Script de Monitoreo Automatizado

Puedes combinar ambas herramientas en un script de mantenimiento automatizado para recibir alertas tempranas. Crea un archivo llamado /usr/local/bin/daily_security_check.sh:

#!/bin/bash

LOG_DIR="/var/log/security_audits"
mkdir -p "$LOG_DIR"
DATE=$(date +%Y%m%d)

# Ejecutar verificación de AIDE
echo "Iniciando verificación de integridad con AIDE..."
sudo aide --check > "$LOG_DIR/aide_report_$DATE.log"

# Ejecutar auditoría rápida con Lynis
echo "Iniciando escaneo de seguridad con Lynis..."
sudo lynis audit system --quick > "$LOG_DIR/lynis_report_$DATE.log"

echo "Auditorías de seguridad completadas. Revise los logs en $LOG_DIR"

Otorgá permisos de ejecución al script:

sudo chmod +x /usr/local/bin/daily_security_check.sh

Y programa su ejecución mediante cron para que se ejecute todas las madrugadas:

0 3 * * * /usr/local/bin/daily_security_check.sh

Conclusión y Próximos Pasos 🎯

Has aprendido a configurar dos de las herramientas más potentes del ecosistema Linux para garantizar la seguridad activa y pasiva de tus servidores. La combinación de Lynis para mitigar vulnerabilidades de configuración y AIDE para detectar modificaciones maliciosas en el sistema de archivos constituye una defensa sólida dentro de cualquier arquitectura orientada a DevSecOps.

Como siguientes pasos recomendados, te sugerimos:

• Centralizar los reportes generados en un sistema de gestión de logs como ELK Stack o Grafana Loki.
• Configurar alertas en tiempo real mediante webhooks hacia Slack o Discord cuando AIDE detecte alteraciones.
• Realizar simulacros periódicos de intrusión en entornos de laboratorio.