Auditoría de seguridad en DirectAdmin | Guía para principiantes

¿Por qué es importante una auditoría de seguridad en DirectAdmin?

Realizar una auditoría seguridad DirectAdmin es como hacer una revisión médica a tu servidor. Así como un chequeo regular puede prevenir enfermedades graves, una revisión periódica de tu panel de control puede evitar que tu sitio web sea hackeado, infectado con malware o utilizado para enviar spam. DirectAdmin es un panel potente y seguro por defecto, pero la seguridad también depende de cómo lo configures y mantengas.

En esta guía, te enseñaré paso a paso cómo hacer una auditoría básica para proteger servidor y mantener a raya las vulnerabilidades hosting. No necesitas ser un experto en cibersguridad; solo seguir estas instrucciones con calma.

[INFO] Esta auditoría está pensada para usuarios con acceso a DirectAdmin como administrador (reseller o root). Si solo tienes acceso a tu cuenta de usuario, algunas opciones no estarán disponibles.

Preparación antes de empezar

Antes de sumergirnos en los pasos, asegúrate de tener a mano tu contraseña de administrador de DirectAdmin y, si es posible, acceso SSH (aunque no es obligatorio para esta auditoría básica). También te recomiendo hacer una copia de seguridad completa del servidor o al menos de los archivos críticos, por si algo sale mal durante los cambios.

[WARNING] No realices cambios drásticos sin entenderlos. Si algo no te queda claro, consulta con tu proveedor de hosting o un técnico.

Paso 1: Verificar la versión de DirectAdmin y actualizaciones

Lo primero es asegurarte de que tu panel esté actualizado. Las versiones antiguas pueden tener fallos de seguridad conocidos.

Inicia sesión en DirectAdmin como administrador.
Ve a Admin Level (Nivel Administrador) > Update / Upgrade.
Revisa la versión actual y haz clic en Check for updates.
Si hay una actualización disponible, instálala. DirectAdmin suele ser muy estable, pero las actualizaciones corrigen vulnerabilidades.

[TIP] Activa las actualizaciones automáticas si es posible. En la misma sección encontrarás una opción para ello.

Paso 2: Revisar usuarios y permisos

Un servidor seguro comienza con usuarios y contraseñas fuertes. Aquí revisaremos quién tiene acceso y con qué nivel de privilegios.

2.1 Listar usuarios del servidor

En Admin Level, ve a User Manager.
Revisa la lista de usuarios. ¿Hay cuentas que no reconoces? ¿Usuarios inactivos? Elimina los que no sean necesarios.
Cada usuario debe tener una contraseña robusta (mínimo 12 caracteres, con mayúsculas, minúsculas, números y símbolos). Puedes forzar el cambio desde User Manager > editar usuario > Change Password.

2.2 Verificar permisos de archivos

Los archivos y carpetas de los sitios web no deben tener permisos demasiado abiertos.

Accede a Admin Level > File Editor o usa un cliente FTP.
Los archivos deben tener permisos 644 (lectura/escritura para el propietario, solo lectura para el grupo y otros).
Las carpetas deben tener 755 (lectura/ejecución para todos, escritura solo para el propietario).
Presta especial atención a archivos como wp-config.php (en WordPress) o archivos de configuración. Si ves algo como 777, cámbialo inmediatamente.

[WARNING] Nunca pongas permisos 777 a archivos o carpetas a menos que sea absolutamente necesario (y temporal). Es una puerta abierta para atacantes.

Paso 3: Revisar servicios y puertos abiertos

Un servidor expone muchos servicios (SSH, FTP, correo, etc.). Cada servicio es un posible punto de entrada. Debes asegurarte de que solo estén abiertos los necesarios.

3.1 Acceder a la configuración de servicios

En Admin Level, ve a Service Manager.
Verás una lista de servicios (Apache, MySQL, Exim, Dovecot, etc.). Los que están en verde están activos.
Pregúntate: ¿realmente necesito todos estos servicios? Por ejemplo, si no usas correo en tu servidor, puedes detener Exim y Dovecot.
Para detener un servicio, haz clic en el botón rojo correspondiente. Ten cuidado: detener servicios esenciales puede dejar tu sitio web caído.

3.2 Comprobar puertos desde fuera

Puedes usar herramientas online como "WhatIsMyIP" o "ShieldsUP" para escanear tu IP pública y ver qué puertos están abiertos. También desde SSH puedes usar netstat -tulpn (si tienes acceso).

[INFO] Los puertos comunes que deberían estar abiertos: 80 (HTTP), 443 (HTTPS), 21 (FTP si lo usas), 22 (SSH), 25 (SMTP), 587 (SMTP alternativo), 993 (IMAP SSL), 995 (POP3 SSL). Cualquier otro puerto abierto sin motivo es un riesgo.

Paso 4: Revisar la configuración de Apache/Nginx y PHP

El servidor web es el corazón de tu hosting. Una mala configuración puede exponer datos sensibles.

4.1 Proteger directorios sensibles

En Admin Level, ve a Custom HTTPD Configurations o Apache Configuration.
Asegúrate de que los directorios como /admin, /logs, /tmp no sean accesibles desde la web. Puedes añadir reglas como:
```
<Directory /home/admin/domains/example.com/public_html/admin>
    Deny from all
</Directory>
```
También puedes usar archivos .htaccess en cada carpeta para restringir acceso.

4.2 Configurar PHP de forma segura

Ve a Admin Level > PHP Configuration.
Revisa valores como:
- disable_functions: Debe incluir funciones peligrosas como exec, system, shell_exec, passthru, popen, proc_open, etc.
- allow_url_fopen: Si no lo necesitas, desactívalo (previene inclusión remota de archivos).
- expose_php: Desactívalo para que no se muestre la versión de PHP en las cabeceras HTTP.

[TIP] Si usas Syspanel (HestiaCP), el puerto de acceso es el 2106 y la configuración de PHP se encuentra en Server > Configure PHP. Allí también puedes deshabilitar funciones peligrosas.

Paso 5: Revisar logs del sistema

Los logs son el diario de todo lo que pasa en tu servidor. Revisarlos te ayuda a detectar actividad sospechosa.

5.1 Acceder a los logs en DirectAdmin

Ve a Admin Level > Log Viewer.
Revisa los logs de:
- Apache/HTTP: Busca errores 404 repetidos (posibles escaneos), intentos de acceso a archivos sensibles.
- FTP: Intentos de inicio de sesión fallidos.
- SSH: Intentos de conexión desde IPs desconocidas.
- Exim/SMTP: Correos rechazados o enviados en masa (posible spam).
Si ves muchas IPs chinas, rusas o de países donde no tienes clientes, considera bloquearlas con un firewall.

5.2 Herramientas de análisis

Puedes instalar herramientas como fail2ban (si tienes acceso SSH) para bloquear automáticamente IPs con múltiples intentos fallidos. En DirectAdmin, también hay plugins como DirectAdmin Security que facilitan esta tarea.

[WARNING] Los logs pueden ser muy extensos. No te agobies; concéntrate en patrones inusuales: muchos errores 403 o 404, peticiones a archivos como wp-login.php sin ser WordPress, etc.

Paso 6: Revisar certificados SSL/TLS

Hoy en día, un sitio sin HTTPS es inseguro. Además, los certificados caducados o mal configurados pueden ser un riesgo.

En Admin Level, ve a SSL Certificates.
Revisa que todos los dominios tengan un certificado válido. DirectAdmin integra Let's Encrypt, así que puedes renovarlos automáticamente.
Asegúrate de que las redirecciones HTTP a HTTPS funcionen correctamente. Puedes configurarlo en Custom HTTPD Configurations o mediante un plugin.

[TIP] Activa la renovación automática de Let's Encrypt desde Admin Level > SSL Certificates > Auto Renew.

Paso 7: Revisar la configuración de correo

El correo es uno de los vectores de ataque más comunes. Un servidor mal configurado puede ser usado para enviar spam.

7.1 Limitar el envío de correos

Ve a Admin Level > Email Manager > Mail Queue.
Revisa si hay correos en cola sospechosos (muchos correos a direcciones que no conoces).
Configura límites de envío por hora y por usuario en Exim Configuration o DirectAdmin Email Settings.

7.2 Proteger contra SPAM

Activa SPF, DKIM y DMARC para tus dominios. DirectAdmin permite configurarlos desde DNS Management o Email Manager.
Estos registros ayudan a que tus correos no sean marcados como spam y evitan que otros falsifiquen tu dominio.

[INFO] Si no usas correo en tu servidor, considera desactivar los servicios de correo (Exim, Dovecot) para reducir la superficie de ataque.

Paso 8: Revisar la configuración de FTP

FTP es un protocolo antiguo y poco seguro. Si es posible, usa SFTP (SSH File Transfer Protocol) en su lugar.

En Admin Level, ve a FTP Management.
Revisa las cuentas FTP activas. ¿Hay alguna que no uses? Elimínala.
Si debes usar FTP, asegúrate de que solo esté habilitado con cifrado (FTPES) y no en texto plano.
Cambia las contraseñas de las cuentas FTP periódicamente.

[WARNING] El FTP sin cifrar envía tu contraseña en texto plano. Cualquiera en la misma red puede interceptarla.

Paso 9: Revisar bases de datos

Las bases de datos (MySQL/MariaDB) son otro punto crítico.

Ve a Admin Level > MySQL Management.
Revisa las bases de datos y usuarios. Elimina las que no uses.
Asegúrate de que cada base de datos tenga un usuario único con contraseña fuerte.
No uses contraseñas como "admin123" o "password". Genera contraseñas aleatorias largas.

[TIP] Puedes usar el generador de contraseñas integrado de DirectAdmin en User Level > Site Management > Password Generator.

Paso 10: Revisar plugins y extensiones de DirectAdmin

DirectAdmin tiene un ecosistema de plugins que pueden mejorar la seguridad, pero también pueden ser un riesgo si no se actualizan.

Ve a Admin Level > Plugin Manager.
Revisa la lista de plugins instalados. ¿Hay alguno que no reconozcas? Desactívalo o elimínalo.
Actualiza los plugins que tengan versiones más recientes.

Algunos plugins recomendados para seguridad:

DirectAdmin Security: Monitorea intentos de ataque y bloquea IPs.
ModSecurity: Firewall de aplicaciones web (WAF) para Apache/Nginx.
ClamAV: Antivirus para correo y archivos.

Conclusión y mantenimiento continuo

Realizar una auditoría seguridad DirectAdmin no es un evento único, sino un proceso continuo. La ciberseguridad cambia constantemente, y los atacantes siempre buscan nuevas formas de explotar vulnerabilidades hosting. Te recomiendo:

Programar una revisión seguridad mensual siguiendo estos pasos.
Mantener todo actualizado: sistema operativo, panel, plugins, aplicaciones web (WordPress, Joomla, etc.).
Usar contraseñas únicas y fuertes para cada servicio.
Activar la autenticación de dos factores (2FA) si tu proveedor lo permite.
Hacer copias de seguridad periódicas y almacenarlas fuera del servidor.

[INFO] Recuerda que la seguridad es responsabilidad compartida. Tu proveedor de hosting se encarga del hardware y la red, pero la configuración del panel y las aplicaciones es tuya.

Si sigues estos pasos, habrás dado un gran paso para proteger servidor y mantener a raya a los ciberdelincuentes. ¿Tienes dudas? Consulta la documentación oficial de DirectAdmin o contacta a tu soporte técnico.

Preguntas frecuentes (FAQ)

¿Cada cuánto debo hacer esta auditoría?
Al menos una vez al mes. Si manejas sitios críticos (tiendas online, datos de clientes), hazla semanalmente.

¿Qué hago si encuentro algo sospechoso en los logs?
Bloquea la IP sospechosa con un firewall (puedes usar CSF o APF en DirectAdmin) y cambia todas las contraseñas inmediatamente. Si el ataque es grave, contacta a tu proveedor.

¿Es necesario tener acceso SSH?
No para esta auditoría básica. Todo se puede hacer desde el panel de DirectAdmin. Sin embargo, SSH te da más control.

¿DirectAdmin es más seguro que Syspanel (HestiaCP)?
Ambos son seguros si se configuran correctamente. Syspanel (HestiaCP) usa el puerto 2106 y tiene características similares. La clave está en la configuración y el mantenimiento.

¿Puedo automatizar esta auditoría?
Sí, hay scripts y plugins que automatizan parte del proceso, como la revisión de permisos o la actualización de paquetes. Pero siempre revisa manualmente los logs y la configuración crítica.

¿Qué hago si mi servidor ya fue hackeado?
Desconéctalo de internet inmediatamente, restaura desde una copia de seguridad limpia y cambia todas las contraseñas. Luego, sigue esta guía para evitar futuros ataques.

¡Espero que esta guía te haya sido útil! Recuerda que la seguridad es un viaje, no un destino. Si tienes más preguntas, no dudes en dejar un comentario o contactar a tu soporte técnico. ¡Buena suerte protegiendo tu servidor!