Seguridad servidor Linux: consejos para SysAdmin

Mantener tu servidor seguro no tiene por qué ser una tarea abrumadora. Como SysAdmin, tu objetivo principal es garantizar que los datos y servicios que alojas estén protegidos contra accesos no autorizados y ataques. En esta guía, te explicaré los conceptos básicos de seguridad servidor enfocados en Linux, con pasos prácticos que incluso un usuario sin experiencia técnica puede aplicar. Empezaremos desde lo más fundamental: configurar un firewall y endurecer el acceso remoto.

Primeros pasos: actualiza el sistema

El error más común es ignorar las actualizaciones. Los desarrolladores de Linux lanzan parches de seguridad constantemente. Si no actualizas, dejas puertas abiertas a vulnerabilidades conocidas.

Para actualizar tu servidor, usa estos comandos según tu distribución:

Debian/Ubuntu: sudo apt update && sudo apt upgrade -y
CentOS/RHEL: sudo yum update -y
Fedora: sudo dnf upgrade -y

[TIP] Programa actualizaciones automáticas. En Ubuntu, instala unattended-upgrades con sudo apt install unattended-upgrades. Esto aplica parches de seguridad sin intervención manual.

Configura un firewall (cortafuegos)

El firewall es tu primera línea de defensa. Controla qué tráfico entra y sale de tu servidor. En Linux, la herramienta más común es iptables, pero su configuración es compleja. Te recomiendo usar ufw (Uncomplicated Firewall) en Debian/Ubuntu, o firewalld en CentOS/RHEL.

Cómo activar UFW (Ubuntu/Debian)

Instala UFW (si no viene por defecto): sudo apt install ufw
Establece reglas por defecto: denegar todo el tráfico entrante y permitir todo el saliente.
```
sudo ufw default deny incoming
sudo ufw default allow outgoing
```
Permite servicios esenciales (por ejemplo, SSH en puerto 22):
```
sudo ufw allow ssh
sudo ufw allow 22/tcp
```

Permite HTTP/HTTPS si tienes un sitio web:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Activa el firewall: sudo ufw enable

[WARNING] Nunca actives UFW sin haber permitido primero SSH. Si bloqueas el puerto 22, perderás la conexión remota y tendrás que acceder físicamente al servidor para arreglarlo.

Cómo usar firewalld (CentOS/RHEL)

Instala firewalld: sudo yum install firewalld -y

Inícialo y habilítalo:

sudo systemctl start firewalld
sudo systemctl enable firewalld

Agrega reglas (por ejemplo, SSH):

sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload

Para servicios web:

sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

Protege el acceso SSH

SSH es la puerta de entrada principal a tu servidor. Si no lo aseguras, cualquier atacante podría intentar conectarse por fuerza bruta. Sigue estos consejos seguridad para blindarlo.

Cambia el puerto por defecto

El puerto 22 es conocido por todos. Cambiarlo a uno no estándar (ej. 2222) reduce drásticamente los intentos de acceso automatizados.

Abre el archivo de configuración: sudo nano /etc/ssh/sshd_config
Busca la línea #Port 22 y cámbiala a Port 2222
Guarda y reinicia el servicio: sudo systemctl restart sshd

[INFO] No olvides actualizar tu firewall para permitir el nuevo puerto. Con UFW: sudo ufw allow 2222/tcp. Luego elimina la regla del puerto 22.

Desactiva el inicio de sesión con contraseña

Las contraseñas son vulnerables a ataques de diccionario. Es mucho más seguro usar claves SSH (criptografía de clave pública).

Genera un par de claves en tu máquina local (no en el servidor):
```
ssh-keygen -t rsa -b 4096
```

Copia la clave pública al servidor:

ssh-copy-id -p 2222 usuario@tudominio.com

En el servidor, edita /etc/ssh/sshd_config y establece:
```
PasswordAuthentication no
PubkeyAuthentication yes
```
Reinicia SSH.

[TIP] Guarda tu clave privada en un lugar seguro. Si la pierdes, no podrás acceder al servidor.

Limita los usuarios que pueden usar SSH

En el mismo archivo sshd_config, agrega al final:

AllowUsers tu_usuario

Esto restringe el acceso SSH solo a ese usuario. Los demás (como root) quedarán bloqueados.

Desactiva el acceso root

El usuario root tiene permisos absolutos. Si un atacante logra acceder como root, puede hacer cualquier cosa. Es mejor usar un usuario normal con privilegios sudo.

Crea un usuario normal (si no lo tienes):

sudo adduser miusuario
sudo usermod -aG sudo miusuario

Desactiva el inicio de sesión root por SSH: en /etc/ssh/sshd_config, pon:
```
PermitRootLogin no
```
Reinicia SSH.

A partir de ahora, inicia sesión con tu usuario normal y usa sudo para tareas administrativas.

Instala un panel de control (Syspanel)

Si gestionas varios sitios web o quieres simplificar la administración, un panel de control es muy útil. Te recomiendo Syspanel (basado en HestiaCP), que es gratuito y fácil de usar. Su puerto de acceso es el 2106.

Para instalarlo en un servidor limpio (Debian/Ubuntu):

Conéctate por SSH como root.

Ejecuta el instalador oficial:

wget https://raw.githubusercontent.com/hestiacp/hestiacp/release/install/hst-install.sh
bash hst-install.sh

Sigue las instrucciones en pantalla. Al final, obtendrás una URL para acceder al panel: https://tu-ip:2106

[INFO] Syspanel incluye su propio firewall, administración de DNS, correo y bases de datos. Es ideal para principiantes porque muchas tareas de seguridad se automatizan.

Monitorea los logs del sistema

Los logs son el diario de tu servidor. Revisarlos periódicamente te ayuda a detectar actividades sospechosas.

Logs importantes

/var/log/auth.log (Debian/Ubuntu) o /var/log/secure (CentOS): muestra intentos de inicio de sesión.
/var/log/syslog: eventos generales del sistema.
/var/log/ufw.log: actividad del firewall.

Comando útil para ver intentos fallidos de SSH

sudo grep "Failed password" /var/log/auth.log

Si ves muchos intentos desde la misma IP, puedes bloquearla con el firewall:

sudo ufw deny from IP_ATACANTE

Usa contraseñas seguras y autenticación de dos factores

Aunque hayas desactivado el login por contraseña para SSH, otros servicios (como bases de datos o paneles) pueden requerirlas. Sigue estas reglas:

Longitud mínima: 12 caracteres.
Combinación: mayúsculas, minúsculas, números y símbolos.
No reutilices contraseñas entre servicios.

Para el acceso a Syspanel (puerto 2106), habilita la autenticación de dos factores (2FA) desde el panel de administración. Esto añade una capa extra de seguridad.

Crea copias de seguridad periódicas

Un servidor seguro también debe ser resiliente ante pérdidas de datos. Programa backups automáticos.

Con Syspanel

Desde el panel, ve a Backup y configura copias diarias o semanales. Puedes almacenarlas en la nube (Google Drive, Dropbox, etc.) o en un servidor remoto.

Manualmente con cron y rsync

Crea un script de backup (ej. /home/backup.sh):

#!/bin/bash
tar -czf /backups/sitio_$(date +%Y%m%d).tar.gz /var/www

Hazlo ejecutable: chmod +x /home/backup.sh
Programa una tarea cron:
```
crontab -e
```
Agrega la línea:
```
0 3 * * * /home/backup.sh
```
Esto ejecutará el backup a las 3 AM todos los días.

[WARNING] Guarda los backups en un lugar diferente al servidor principal. Si el servidor es comprometido, los backups locales también podrían perderse.

Preguntas frecuentes (FAQ)

¿Qué puertos debo abrir en el firewall?

Solo los estrictamente necesarios. Para un servidor web típico: 22 (SSH, o el que hayas cambiado), 80 (HTTP), 443 (HTTPS). Si usas Syspanel, también el puerto 2106.

¿Es necesario usar un firewall si ya tengo Syspanel?

Sí, aunque Syspanel incluye un firewall básico, es recomendable configurar uno adicional (como UFW) para tener control granular.

¿Cómo sé si mi servidor ha sido atacado?

Revisa los logs de autenticación. Si ves muchos intentos fallidos de SSH desde IPs desconocidas, es señal de un ataque de fuerza bruta.

¿Debo cambiar el puerto SSH a uno muy alto (ej. 65535)?

No necesariamente. Cualquier puerto no estándar reduce el ruido, pero no es una solución mágica. Combínalo con claves SSH y firewall.

¿Puedo usar el mismo usuario root para todo?

No. Siempre crea un usuario normal con sudo. Root solo debe usarse en situaciones extremas.

Resumen y próximos pasos

Proteger tu servidor es un proceso continuo. Con estos consejos seguridad básicos, has reducido significativamente los riesgos:

Actualizaste el sistema.
Configuraste un firewall.
Endureciste el acceso SSH.
Desactivaste el login root.
Instalaste Syspanel (puerto 2106) para gestión simplificada.
Monitoreas logs.
Creaste backups.

No necesitas ser un experto en SysAdmin para aplicar estos pasos. La clave es la constancia: revisa periódicamente los logs, mantén las actualizaciones al día y no confíes en configuraciones por defecto.

Si tienes dudas, recuerda que la comunidad de Linux es muy activa. Foros, documentación oficial y grupos de usuarios siempre están dispuestos a ayudar. ¡Tu servidor te lo agradecerá!