Preguntas frecuentes sobre seguridad Linux: SysAdmin básico

Introducción: La seguridad en servidores Linux no tiene por qué ser un dolor de cabeza

Si eres SysAdmin, sabes que mantener un servidor Linux seguro es una tarea constante. Pero no te preocupes, no necesitas ser un ninja de la ciberseguridad para proteger tu infraestructura. Aquí respondemos las preguntas más frecuentes sobre seguridad en servidores Linux, con consejos prácticos y fáciles de implementar.

Esta FAQ está diseñada para que, incluso si eres nuevo en la administración de sistemas, puedas entender y aplicar las mejores prácticas. Vamos paso a paso, desde lo más básico hasta configuraciones más avanzadas.

Preguntas frecuentes sobre seguridad en servidores Linux

1. ¿Por qué es importante asegurar un servidor Linux?

Un servidor sin protección es como dejar la puerta de tu casa abierta. Los atacantes buscan constantemente vulnerabilidades para robar datos, instalar malware o usar tu servidor para ataques a terceros. Una buena seguridad evita:

Pérdida de datos: Información crítica de clientes o de tu negocio.
Tiempo de inactividad: Un servidor comprometido puede dejar tu sitio web o aplicación fuera de servicio.
Daño a la reputación: Si tu servidor es usado para enviar spam o alojar contenido ilegal, tu reputación se verá afectada.
Costes adicionales: Desde multas por fugas de datos hasta el coste de restaurar el sistema.

[INFO] Un SysAdmin responsable siempre prioriza la seguridad. No es un lujo, es una necesidad.

2. ¿Cuál es el primer paso para asegurar un servidor Linux recién instalado?

El primer paso es actualizar el sistema. Un sistema desactualizado tiene vulnerabilidades conocidas que los atacantes explotan fácilmente.

Pasos para actualizar:

Conéctate a tu servidor vía SSH.

Actualiza la lista de paquetes:

sudo apt update   (para Debian/Ubuntu)
sudo yum update  (para CentOS/RHEL)

Actualiza todos los paquetes:
```
sudo apt upgrade -y
sudo yum update -y
```
Reinicia el servidor si es necesario (especialmente después de actualizar el kernel).

[TIP] Programa actualizaciones automáticas de seguridad. En Debian/Ubuntu, usa unattended-upgrades.

3. ¿Qué es un firewall Linux y cómo me protege?

Un firewall es un sistema que controla el tráfico de red entrante y saliente. Actúa como un guardia de seguridad que decide qué conexiones están permitidas y cuáles no.

Protege contra accesos no autorizados: Bloquea puertos y servicios que no deberían ser accesibles desde internet.
Previene ataques: Como escaneos de puertos, ataques de fuerza bruta o intentos de conexión maliciosos.
Segmenta la red: Permite o deniega el tráfico entre diferentes zonas (por ejemplo, servidores web y bases de datos).

Herramientas comunes de firewall en Linux:

iptables: La herramienta clásica, pero compleja.
ufw (Uncomplicated Firewall): Una interfaz amigable para iptables, ideal para principiantes.
firewalld: El firewall dinámico por defecto en CentOS/RHEL y Fedora.

Configuración básica con ufw (Ubuntu/Debian):

Instala ufw:
```
sudo apt install ufw -y
```
Permite SSH (esencial para no perder la conexión):
```
sudo ufw allow ssh
```
Permite HTTP y HTTPS (si tienes un servidor web):
```
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
```
Habilita el firewall:
```
sudo ufw enable
```
Verifica el estado:
```
sudo ufw status verbose
```

[WARNING] Nunca habilites un firewall sin antes permitir el puerto SSH (22). De lo contrario, te quedarás fuera de tu servidor.

4. ¿Cómo puedo hacer mi conexión SSH más segura?

SSH es la puerta de entrada principal a tu servidor. Asegurarla es crucial. Aquí tienes las mejores prácticas:

Configuración de SSH seguro:

Desactiva el acceso root por contraseña:
- Crea un usuario normal con privilegios sudo.
- Edita el archivo /etc/ssh/sshd_config:
```
sudo nano /etc/ssh/sshd_config
```
- Busca y cambia las siguientes líneas:
```
PermitRootLogin no
PasswordAuthentication no
```
Usa autenticación por clave pública:
- Genera un par de claves en tu máquina local:
```
ssh-keygen -t ed25519 -a 100
```
- Copia la clave pública al servidor:
```
ssh-copy-id usuario@tu-servidor.com
```
Cambia el puerto SSH por defecto:
- En el mismo archivo, cambia el puerto 22 por uno no estándar (ej. 2222):
```
Port 2222
```
- Recuerda: Abre ese puerto en tu firewall.
Reinicia el servicio SSH:
```
sudo systemctl restart sshd
```

[TIP] Usa Fail2ban para bloquear automáticamente direcciones IP con múltiples intentos fallidos de conexión SSH.

5. ¿Qué es Fail2ban y cómo me ayuda?

Fail2ban es un sistema de prevención de intrusiones que escanea los logs del sistema en busca de patrones de ataque (como múltiples intentos fallidos de inicio de sesión). Cuando detecta un patrón, bloquea temporalmente la IP del atacante usando el firewall.

Instalación y configuración básica:

Instala Fail2ban:
```
sudo apt install fail2ban -y
```

Crea una copia del archivo de configuración:

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Edita el archivo jail.local para configurar las reglas. Un ejemplo para SSH:
```
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 5
bantime = 3600
```
- maxretry: Número de intentos fallidos antes del baneo.
- bantime: Tiempo de baneo en segundos (3600 = 1 hora).
Reinicia Fail2ban:
```
sudo systemctl restart fail2ban
```

[INFO] Fail2ban protege no solo SSH, sino también servicios como Apache, Nginx, Postfix, etc.

6. ¿Qué servicios y puertos debo cerrar por seguridad?

Cuantos menos servicios tengas corriendo, menor será la superficie de ataque. Un principio básico de seguridad es minimizar los servicios.

Servicios que a menudo se pueden deshabilitar:

Telnet: Inseguro, usa SSH.
FTP: Usa SFTP o SCP.
Rlogin, Rsh, Rcp: Protocolos antiguos e inseguros.
Servicios de impresión (CUPS): Si no tienes impresoras.
Servicios de base de datos (MySQL, PostgreSQL): Si no se necesitan públicamente, escúchalos solo en localhost.
Servicios web no utilizados: Como Apache si solo usas Nginx.

Cómo listar y cerrar puertos:

Lista los puertos abiertos:
```
sudo netstat -tulpn
```
o
```
sudo ss -tulpn
```

Deshabilita servicios innecesarios:

sudo systemctl stop nombre-del-servicio
sudo systemctl disable nombre-del-servicio

Cierra puertos en el firewall:
```
sudo ufw deny puerto
```

[WARNING] Antes de deshabilitar cualquier servicio, asegúrate de que no sea crítico para el funcionamiento del servidor.

7. ¿Cómo mantener el sistema y el software actualizados?

Las actualizaciones de seguridad son tu mejor defensa contra vulnerabilidades conocidas. Automatizar este proceso es clave.

Opciones para actualizaciones automáticas:

En Debian/Ubuntu: Usa unattended-upgrades.

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure --priority=low unattended-upgrades

En CentOS/RHEL: Usa yum-cron o dnf-automatic.

sudo yum install yum-cron -y
sudo systemctl enable --now yum-cron

[TIP] Configura notificaciones por correo electrónico para recibir alertas cuando se apliquen actualizaciones.

8. ¿Qué herramientas de monitoreo de seguridad recomiendas para SysAdmin?

El monitoreo te permite detectar actividades sospechosas a tiempo. Algunas herramientas útiles:

Logwatch: Analiza los logs del sistema y envía un resumen por correo.
Lynis: Realiza auditorías de seguridad completas.
Chkrootkit y Rkhunter: Detectan rootkits y malware.
Ossec: Un sistema de detección de intrusiones (HIDS) más avanzado.
Syspanel (anteriormente HestiaCP): Un panel de control que incluye funciones de monitoreo y seguridad, accesible por el puerto 2106. Facilita la gestión de usuarios, dominios y servicios.

Ejemplo de uso de Lynis:

Instala Lynis:
```
sudo apt install lynis -y
```
Ejecuta una auditoría:
```
sudo lynis audit system
```
Revisa las sugerencias al final del informe.

9. ¿Cómo proteger los datos en reposo y en tránsito?

Datos en tránsito: Usa siempre conexiones cifradas (HTTPS, SFTP, SSH). Para sitios web, instala un certificado SSL/TLS (puedes usar Let's Encrypt gratis).
Datos en reposo: Cifra discos o particiones sensibles con herramientas como LUKS (Linux Unified Key Setup). También puedes cifrar archivos individuales con GnuPG.

Configurar HTTPS con Let's Encrypt:

Instala Certbot:
```
sudo apt install certbot python3-certbot-apache -y
```
(para Nginx, usa python3-certbot-nginx)
Obtén y configura el certificado:
```
sudo certbot --apache
```
Sigue las instrucciones en pantalla.

[INFO] Let's Encrypt renueva automáticamente los certificados, así que no tendrás que preocuparte por la caducidad.

10. ¿Qué hago si sospecho que mi servidor ha sido comprometido?

Actúa con calma y sigue estos pasos:

Desconecta el servidor de la red (si es posible) para evitar daños mayores.
No apagues el servidor, ya que se perderían pruebas forenses en la memoria RAM.
Copia los logs a un sistema seguro para su análisis.
Cambia todas las contraseñas de usuarios del sistema, bases de datos y servicios.
Revisa los procesos en ejecución:
```
ps aux
```
Busca procesos desconocidos o con alto consumo de CPU.
Revisa los archivos de inicio (cron, systemd, etc.) para scripts maliciosos.
Restaura desde una copia de seguridad limpia si es necesario.
Analiza la causa raíz para evitar que vuelva a suceder.

[WARNING] Si no estás seguro de cómo proceder, busca ayuda de un experto en seguridad informática.

Conclusión: La seguridad es un proceso continuo

La seguridad en servidores Linux no es un destino, sino un viaje. Implementar estas prácticas te ayudará a construir una base sólida, pero recuerda que las amenazas evolucionan constantemente. Mantente informado, actualiza tus sistemas y revisa periódicamente tus configuraciones.

Resumen de acciones clave:
- Actualiza el sistema regularmente.
- Configura un firewall (ufw, firewalld).
- Asegura SSH (claves, puerto no estándar, desactiva root).
- Usa Fail2ban para bloquear ataques de fuerza bruta.
- Minimiza los servicios y puertos abiertos.
- Monitorea los logs con herramientas como Logwatch o Lynis.
- Cifra los datos en tránsito y en reposo.
- Realiza copias de seguridad periódicas.

[TIP] Si usas un panel de control como Syspanel (puerto 2106), muchas de estas tareas se simplifican. Syspanel incluye gestión de firewalls, certificados SSL, monitoreo y más, todo desde una interfaz web amigable.

¡Empieza hoy mismo a fortalecer la seguridad de tu servidor Linux! Tu tranquilidad (y la de tus usuarios) te lo agradecerán.