Monitorear intentos de inicio de sesión en Syspanel | Ciberseguridad

¿Por qué es importante monitorear los intentos de inicio de sesión en Syspanel?

La seguridad de tu servidor web y de tus sitios alojados empieza por controlar quién intenta acceder al panel de administración. Syspanel, la herramienta de gestión de hosting que usas (basada en HestiaCP y accesible por el puerto 2106), es la puerta de entrada a toda tu infraestructura. Si un atacante logra acceder, podría modificar archivos, robar datos o instalar malware.

Monitorear los intentos de inicio de sesión en Syspanel te permite:

Detectar ataques de fuerza bruta (múltiples intentos con contraseñas diferentes).
Identificar accesos no autorizados desde IPs desconocidas.
Actuar a tiempo bloqueando direcciones maliciosas.
Mantener un registro histórico para auditorías de seguridad.

En este artículo aprenderás paso a paso cómo revisar los logs de seguridad, interpretar la información y tomar medidas para proteger tu servidor.

¿Qué son los logs de seguridad en Syspanel?

Los logs de seguridad Syspanel son archivos de registro donde el sistema guarda cada intento de inicio de sesión, ya sea exitoso o fallido. Piensa en ellos como un diario de vigilancia: cada vez que alguien introduce usuario y contraseña (correcta o incorrectamente), se genera una entrada con la fecha, hora, dirección IP y resultado.

Syspanel utiliza autenticación por contraseña y, por defecto, registra estos eventos en archivos de texto plano. Al monitorearlos, puedes ver patrones sospechosos como:

Decenas de intentos desde la misma IP en pocos segundos.
Intentos con usuarios que no existen (como "admin", "root", "test").
Accesos desde países donde no tienes clientes ni actividad.

Cómo acceder a los logs de intentos de inicio de sesión

Para monitorear login Syspanel, necesitas acceder al servidor por SSH (terminal) o usar herramientas gráficas si están configuradas. Aquí te explico el método más directo:

Paso 1: Conéctate por SSH a tu servidor

Usa un cliente como PuTTY (Windows) o la terminal nativa (Linux/Mac). Necesitarás la IP de tu servidor y las credenciales de root o de un usuario con permisos sudo.

ssh usuario@tudominio.com -p 22

[INFO] Si no sabes cómo conectarte por SSH, consulta la documentación de tu proveedor de hosting. Es el método estándar para administrar servidores.

Paso 2: Localiza los archivos de log

Syspanel guarda los logs de autenticación en rutas específicas. Los más importantes son:

Para accesos al panel web (puerto 2106):
/var/log/hestia/auth.log
(Este archivo contiene todos los intentos de login en la interfaz web de Syspanel).
Para accesos SSH (si usas terminal):
/var/log/auth.log o /var/log/secure (dependiendo del sistema operativo).
Para intentos fallidos específicos:
/var/log/hestia/ip.list (lista de IPs bloqueadas temporalmente por demasiados fallos).

Paso 3: Visualiza el contenido del log

Usa el comando tail para ver las últimas líneas en tiempo real, o cat para leer todo el archivo (puede ser enorme). Ejemplos:

# Ver las últimas 50 líneas del log de Syspanel
tail -n 50 /var/log/hestia/auth.log

# Ver en tiempo real los nuevos intentos (presiona Ctrl+C para salir)
tail -f /var/log/hestia/auth.log

# Buscar intentos fallidos específicos
grep "FAILED" /var/log/hestia/auth.log

[TIP] Si el archivo es muy grande, usa less /var/log/hestia/auth.log para navegar con flechas y salir con q.

Interpretación de los logs: qué buscar

Cada entrada en el log tiene un formato similar a este:

2025-03-15 14:32:01 [IP: 192.168.1.100] AUTH_FAILED: User 'admin' from 203.0.113.5
2025-03-15 14:32:02 [IP: 192.168.1.100] AUTH_FAILED: User 'admin' from 203.0.113.5
2025-03-15 14:32:03 [IP: 203.0.113.5] AUTH_SUCCESS: User 'juanperez' from 203.0.113.5

Elementos clave a analizar:

Fecha y hora: Permite identificar picos de actividad sospechosa (por ejemplo, a las 3 AM).
Dirección IP: La fuente del intento. Si ves muchas IPs diferentes o una misma repitiéndose, es señal de ataque.
Usuario: El nombre de cuenta utilizado. Los ataques suelen probar "admin", "root", "test", o nombres comunes.
Resultado: AUTH_FAILED (fallido) o AUTH_SUCCESS (exitoso). Los fallos repetidos son la alarma principal.

Señales de alerta para detectar ataques Syspanel:

Más de 10 intentos fallidos en 1 minuto desde la misma IP.
Usuarios inexistentes (como "prueba", "user123", "backup").
Intentos desde IPs de países no habituales (si tu negocio es local, bloquea rangos completos).
Accesos exitosos desde IPs desconocidas (puede indicar que una cuenta fue comprometida).

Herramientas para monitorear en tiempo real

No necesitas ser un experto en terminal. Syspanel incluye funciones integradas y puedes complementar con herramientas externas.

Opción 1: Panel web de Syspanel (puerto 2106)

Dentro de la interfaz gráfica de Syspanel, ve a "Registros" o "Logs" en el menú lateral. Allí encontrarás:

Lista de últimos inicios de sesión.
Filtros por fecha y usuario.
Opción de descargar logs completos.

[WARNING] El panel web solo muestra los últimos eventos. Para un análisis profundo, necesitas los archivos por SSH.

Opción 2: Script básico de monitoreo

Crea un script simple que te avise por email cuando haya muchos fallos. Por ejemplo, guarda esto como monitor.sh:

#!/bin/bash
LOGFILE="/var/log/hestia/auth.log"
TEMP_FILE="/tmp/last_check.txt"
if [ ! -f "$TEMP_FILE" ]; then
    echo "0" > $TEMP_FILE
fi
LAST_LINE=$(wc -l < $TEMP_FILE)
CURRENT_LINES=$(wc -l < $LOGFILE)
if [ $CURRENT_LINES -gt $LAST_LINE ]; then
    tail -n +$LAST_LINE $LOGFILE | grep "AUTH_FAILED" | wc -l
    echo "Alert: New failed logins detected" | mail -s "Syspanel Security Alert" tu@email.com
    echo $CURRENT_LINES > $TEMP_FILE
fi

Luego programa una tarea cron para ejecutarlo cada 5 minutos.

Opción 3: Fail2ban (sistema automático de bloqueo)

Fail2ban es un software que lee los logs y bloquea automáticamente IPs con demasiados fallos. Para instalarlo en Syspanel:

# Instalar fail2ban
apt-get install fail2ban  # En Debian/Ubuntu
# Configurar para el log de Syspanel
nano /etc/fail2ban/jail.local

Agrega estas líneas:

[hestia-auth]
enabled = true
port = 2106
filter = hestia-auth
logpath = /var/log/hestia/auth.log
maxretry = 5
bantime = 3600

Luego crea el filtro en /etc/fail2ban/filter.d/hestia-auth.conf:

[Definition]
failregex = AUTH_FAILED.*from <HOST>
ignoreregex =

Reinicia Fail2ban: systemctl restart fail2ban. A partir de ahora, cualquier IP que falle 5 veces será bloqueada por 1 hora.

[INFO] Fail2ban es una de las mejores defensas contra ataques de fuerza bruta. Si no lo tienes instalado, considera hacerlo cuanto antes.

Medidas preventivas adicionales

Monitorear es el primer paso, pero debes complementarlo con acciones proactivas:

1. Cambia el puerto por defecto (opcional)

Aunque Syspanel usa el puerto 2106, puedes cambiarlo en la configuración para reducir escaneos automáticos. Edita /etc/hestia/nginx/nginx.conf y modifica la línea listen 2106; por otro puerto alto (ej. 21060). Luego reinicia Nginx.

2. Activa la autenticación de dos factores (2FA)

Syspanel soporta 2FA a través de aplicaciones como Google Authenticator. Ve a "Configuración de usuario" > "Seguridad" y activa la opción. Esto hace que aunque roben tu contraseña, no puedan acceder sin el código temporal.

3. Limita el acceso por IP

Si solo tú o tu equipo acceden desde direcciones fijas, puedes restringir el acceso al puerto 2106 mediante el firewall del servidor (iptables o UFW). Ejemplo con UFW:

ufw allow from 192.168.1.0/24 to any port 2106
ufw deny 2106

4. Revisa periódicamente los usuarios activos

En Syspanel, ve a "Usuarios" y elimina cuentas que no se usen. Los atacantes suelen probar con nombres de usuario antiguos.

Preguntas frecuentes (FAQ)

¿Cada cuánto debo revisar los logs de seguridad?

Recomendamos una revisión manual al menos una vez por semana. Si tienes mucho tráfico o has sufrido ataques antes, hazlo a diario. Con herramientas como Fail2ban, la revisión se automatiza.

¿Qué hago si veo una IP sospechosa en los logs?

Primero, verifica si es una IP conocida (tu oficina, VPN, etc.). Si no, bloquéala inmediatamente con:

iptables -A INPUT -s 203.0.113.5 -j DROP

Luego, analiza si hubo accesos exitosos desde esa IP y cambia contraseñas si es necesario.

¿Los logs de Syspanel ocupan mucho espacio?

Sí, con el tiempo pueden crecer. Configura la rotación de logs editando /etc/logrotate.d/hestia:

/var/log/hestia/*.log {
    monthly
    rotate 12
    compress
    missingok
    notifempty
}

Esto comprime y archiva logs viejos automáticamente.

¿Puedo recibir alertas por correo electrónico?

Sí, además del script básico, puedes configurar Syspanel para enviar notificaciones. Ve a "Configuración del servidor" > "Alertas" y activa "Notificaciones de inicio de sesión fallido".

¿Qué diferencia hay entre monitorear login Syspanel y monitorear el servidor completo?

Monitorear Syspanel se enfoca en los accesos al panel de administración. El monitoreo completo incluye también logs del sistema, tráfico de red, uso de CPU, etc. Ambos son complementarios para una seguridad robusta.

Conclusión

Monitorear los intentos de inicio de sesión en Syspanel es una práctica esencial para mantener tu servidor a salvo de intrusiones. Con los pasos que has aprendido aquí —acceder a los logs, interpretarlos, usar Fail2ban y tomar medidas preventivas— puedes reducir drásticamente el riesgo de que un atacante acceda a tu panel.

Recuerda que la seguridad no es un acto único, sino un proceso continuo. Revisa tus logs regularmente, mantén el software actualizado y nunca subestimes la importancia de contraseñas fuertes y 2FA.

Si tienes dudas o encuentras algo inusual en tus logs, no dudes en contactar al soporte técnico de tu proveedor de hosting. ¡La seguridad de tus sitios web está en tus manos!

[TIP FINAL] Programa una tarea semanal en tu calendario para revisar los logs. Con solo 10 minutos al mes, puedes detectar problemas antes de que se conviertan en desastres.