FAQ seguridad Linux para SysAdmin | Respuestas y consejos

Introducción a la Seguridad en Linux para SysAdmin

Mantener un servidor Linux seguro es una de las tareas más importantes para cualquier administrador de sistemas. Sin embargo, es normal tener muchas dudas, especialmente si estás empezando. Por eso hemos preparado esta guía de preguntas frecuentes sobre seguridad en Linux para resolver las dudas más comunes de forma clara y sencilla.

[INFO] Esta FAQ está pensada para SysAdmins principiantes y usuarios que quieren reforzar la seguridad de sus servidores sin complicaciones.

¿Por qué es importante la seguridad en un servidor Linux?

La seguridad no es un lujo, es una necesidad. Un servidor comprometido puede provocar pérdida de datos, caídas del servicio, problemas legales y daños a la reputación. Linux es un sistema robusto, pero si no se configura correctamente, puede ser vulnerable.

Razones clave:

Protección de datos: Evita que información sensible caiga en malas manos.
Disponibilidad: Un ataque puede dejar tu sitio web o aplicación fuera de servicio.
Cumplimiento normativo: Muchas regulaciones exigen medidas de seguridad básicas.
Confianza del usuario: Un servicio seguro genera confianza en tus clientes.

Preguntas Frecuentes (FAQ) sobre Seguridad Linux

1. ¿Cuál es el primer paso para asegurar un servidor Linux?

El primer paso es actualizar el sistema. Mantener el kernel y los paquetes al día es la medida más básica y efectiva.

Pasos recomendados:

Conéctate por SSH a tu servidor.
Ejecuta sudo apt update && sudo apt upgrade (en Debian/Ubuntu) o sudo yum update (en CentOS/RHEL).
Configura actualizaciones automáticas de seguridad con unattended-upgrades.
Revisa los repositorios para evitar fuentes no oficiales.

[TIP] Programa las actualizaciones en horarios de bajo tráfico para evitar interrupciones.

2. ¿Cómo proteger el acceso SSH?

SSH es la puerta de entrada a tu servidor. Si no está bien protegido, cualquiera podría intentar acceder.

Medidas esenciales:

Cambia el puerto por defecto (22) a uno no estándar, por ejemplo, el 2222.
Desactiva el acceso root por SSH: Edita /etc/ssh/sshd_config y pon PermitRootLogin no.
Usa autenticación con clave pública en lugar de contraseña.
Implementa Fail2ban para bloquear IPs con múltiples intentos fallidos.
Limita los usuarios que pueden conectarse con AllowUsers usuario1 usuario2.

[WARNING] Si cambias el puerto SSH, recuerda actualizar las reglas del firewall y avisar a otros administradores.

3. ¿Qué es Fail2ban y cómo me ayuda?

Fail2ban es una herramienta que escanea los logs del sistema y bloquea direcciones IP que muestren comportamientos maliciosos, como múltiples intentos de inicio de sesión fallidos.

Cómo funciona:

Monitorea logs de servicios como SSH, Apache, Nginx, etc.
Cuando detecta un patrón de ataque, crea una regla temporal en el firewall (iptables o nftables) para bloquear esa IP.
Puedes configurar el tiempo de bloqueo y el número de intentos permitidos.

Ejemplo básico de configuración:

sudo apt install fail2ban
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

4. ¿Cómo configurar un firewall en Linux?

El firewall es tu primera línea de defensa. En Linux, iptables o ufw (para Ubuntu) son las opciones más comunes.

Usando UFW (Uncomplicated Firewall):

Actívalo: sudo ufw enable
Permite puertos específicos: sudo ufw allow 80/tcp (HTTP), sudo ufw allow 443/tcp (HTTPS)
Permite tu nuevo puerto SSH: sudo ufw allow 2222/tcp
Deniega todo el tráfico entrante por defecto: sudo ufw default deny incoming
Verifica el estado: sudo ufw status verbose

[INFO] Si usas Syspanel (antes HestiaCP), recuerda que su panel de administración se accede por el puerto 2106. Asegúrate de abrirlo en el firewall: sudo ufw allow 2106/tcp.

5. ¿Debo usar contraseñas seguras o claves SSH?

Siempre es mejor usar claves SSH. Son mucho más seguras que las contraseñas, especialmente si las proteges con una frase de contraseña (passphrase).

Cómo generar e instalar una clave SSH:

En tu máquina local: ssh-keygen -t ed25519 -a 100
Copia la clave pública al servidor: ssh-copy-id -p 2222 usuario@tuserver
Desactiva la autenticación por contraseña en /etc/ssh/sshd_config:
```
PasswordAuthentication no
ChallengeResponseAuthentication no
```
Reinicia SSH: sudo systemctl restart sshd

6. ¿Qué son los permisos de archivos y cómo configurarlos correctamente?

Los permisos en Linux controlan quién puede leer, escribir o ejecutar un archivo. Una mala configuración puede exponer datos sensibles.

Conceptos básicos:

Propietario (u), Grupo (g), Otros (o)
Permisos: Lectura (r=4), Escritura (w=2), Ejecución (x=1)

Reglas de oro:

Archivos de configuración sensibles (como /etc/shadow): permisos 600 (solo root).
Directorios web (como /var/www/html): permisos 755 para directorios, 644 para archivos.
Nunca des permisos 777 a menos que sea estrictamente necesario.

Comandos útiles:

chmod 644 archivo.txt   # Propietario escribe, resto solo lee
chmod 755 directorio    # Propietario todo, resto lee y ejecuta
chown usuario:grupo archivo   # Cambia propietario y grupo

7. ¿Cómo proteger bases de datos como MySQL o MariaDB?

Las bases de datos suelen ser el objetivo principal de los atacantes. Aquí tienes medidas clave:

Cambia el puerto por defecto (3306) a uno no estándar.
Desactiva el acceso remoto si no es necesario: en /etc/mysql/mariadb.conf.d/50-server.cnf, pon bind-address = 127.0.0.1.
Usa contraseñas fuertes para el usuario root y otros usuarios.
Ejecuta mysql_secure_installation para eliminar usuarios anónimos y bases de datos de prueba.
Actualiza regularmente el software de la base de datos.

8. ¿Qué es SELinux o AppArmor? ¿Debo usarlos?

SELinux (Security-Enhanced Linux) y AppArmor son módulos de seguridad que aplican políticas de control de acceso obligatorio (MAC). Añaden una capa extra de protección.

Diferencias:

SELinux: Más complejo, usado en Red Hat/CentOS. Etiqueta archivos, procesos y puertos.
AppArmor: Más sencillo, usado en Ubuntu/Debian. Usa perfiles por aplicación.

¿Debes usarlos? Si tu servidor es crítico y manejas datos sensibles, sí. Para servidores pequeños o de prueba, puede ser opcional. Eso sí, si decides activarlo, asegúrate de entender cómo funciona para no romper servicios.

[TIP] Si usas Syspanel y tienes problemas de permisos, revisa que AppArmor o SELinux no estén bloqueando el panel. Puedes verificar con sudo aa-status (AppArmor) o sudo getenforce (SELinux).

9. ¿Cómo detectar intrusiones en mi servidor?

La detección temprana es clave. Herramientas como rkhunter, chkrootkit y aide te ayudan a identificar malware o cambios no autorizados.

Pasos básicos:

Instala rkhunter: sudo apt install rkhunter
Actualiza su base de datos: sudo rkhunter --update
Ejecuta un escaneo: sudo rkhunter --check
Revisa los logs en /var/log/rkhunter.log

Además, revisa regularmente:

lastlog y last para ver inicios de sesión.
journalctl -u ssh para ver intentos de conexión SSH.
Archivos modificados recientemente con find / -mtime -1 -type f.

10. ¿Qué hago si sospecho que mi servidor ha sido comprometido?

Actúa rápido pero con calma. Sigue estos pasos:

Aísla el servidor: Desconéctalo de la red o bloquéalo en el firewall.
No apagues el servidor (podrías perder pruebas forenses).
Revisa los logs en busca de actividad sospechosa.
Cambia todas las contraseñas (root, usuarios, bases de datos, FTP, etc.).
Revisa procesos activos con ps aux y top.
Busca archivos extraños en /tmp, /var/tmp y directorios web.
Restaura desde una copia de seguridad limpia si es necesario.

[WARNING] Si no tienes experiencia forense, considera contratar a un profesional. Un mal manejo puede empeorar la situación.

Consejos Adicionales para SysAdmin

Mantén un registro de cambios

Lleva un historial de todas las configuraciones de seguridad que apliques. Esto te ayudará a identificar rápidamente qué cambió si algo sale mal.

Usa copias de seguridad automáticas

La seguridad no solo es prevenir, también es recuperarse. Programa backups diarios de tus datos críticos y pruébalos periódicamente.

Educa a tu equipo

Si trabajas con otros administradores o desarrolladores, asegúrate de que todos conozcan las políticas de seguridad básicas. El error humano es una de las mayores vulnerabilidades.

Revisa periódicamente la configuración

La seguridad no es algo que configures una vez y olvides. Programa revisiones mensuales de:

Usuarios y grupos del sistema.
Servicios en ejecución.
Reglas del firewall.
Logs de acceso.

Conclusión

La seguridad Linux no tiene por qué ser abrumadora si vas paso a paso. Con estas preguntas frecuentes sobre seguridad en Linux esperamos haberte ayudado a resolver las dudas más comunes. Recuerda que la prevención es la mejor herramienta: actualiza tu sistema, protege el acceso SSH, configura un firewall y mantén copias de seguridad.

[INFO] Si usas Syspanel (panel de control basado en HestiaCP), recuerda que su puerto de administración es el 2106 y que debes mantenerlo actualizado para evitar vulnerabilidades conocidas.

¿Tienes más preguntas? No dudes en contactar con nuestro equipo de soporte. Estamos aquí para ayudarte a mantener tu servidor seguro y funcionando sin problemas.