Prevenir ataques de fuerza bruta en DirectAdmin

Imagina que tu servidor es como la puerta de tu casa. Cada día, miles de personas (bots automatizados) intentan girar la manija para ver si la dejaste abierta. Si usas una contraseña débil o no tienes medidas de seguridad, es cuestión de tiempo que alguien entre. Eso es, en esencia, un ataque fuerza bruta DirectAdmin. No es magia negra, es un programa que prueba combinaciones de usuario y contraseña una y otra vez hasta acertar.

En este artículo, voy a explicarte paso a paso cómo prevenir fuerza bruta en tu panel de control. No necesitas ser un hacker ni un ingeniero de sistemas; solo seguir estas pautas con calma. Al final, tu servidor estará mucho más seguro.

¿Qué es un ataque de fuerza bruta y por qué te afecta?

Un ataque de fuerza bruta es como tener a un robot probando llaves en tu cerradura 24/7. En el contexto de seguridad DirectAdmin, el atacante busca adivinar tu contraseña de administrador, de un usuario FTP o de una base de datos. Si lo consigue, puede robar información, instalar malware o usar tu servidor para enviar spam.

¿Por qué es tan común? Porque es fácil de ejecutar. Existen herramientas gratuitas que, en cuestión de horas, pueden probar millones de combinaciones. Si tu contraseña es "admin123" o "password", estás regalando la llave de tu casa.

Señales de que estás siendo atacado

No siempre te darás cuenta hasta que sea tarde. Pero hay pistas:

• El servidor se vuelve lento de repente.
• Ves muchos intentos de inicio de sesión fallidos en los logs de DirectAdmin.
• Recibes alertas de tu firewall o de tu proveedor de hosting.
• Aparecen archivos extraños en tu cuenta.

Paso 1: Fortalece tus contraseñas (la base de todo)

Parece obvio, pero es el primer filtro. Una contraseña fuerte es larga, con mezcla de mayúsculas, minúsculas, números y símbolos. Olvídate de fechas de cumpleaños o nombres de mascotas.

Regla de oro: Usa una contraseña única para DirectAdmin, otra para el FTP y otra para cada base de datos. Si una se filtra, las demás siguen seguras.

Cómo crear una contraseña segura:

1. Elige una frase larga, por ejemplo: "MiGatoSaltaMuyAlto2024!".
2. Añade símbolos: "MiGato#Salta$Muy%Alto2024!".
3. No la escribas en un post-it pegado al monitor. Usa un gestor de contraseñas como Bitwarden o KeePass.

[TIP] Cambia tus contraseñas cada 3 meses. DirectAdmin te permite forzar el cambio periódico desde la configuración de usuarios.

Paso 2: Activa el bloqueo por IP después de intentos fallidos

DirectAdmin incluye una herramienta llamada Brute Force Monitor. Es tu primera línea de defensa. Lo que hace es contar cuántas veces alguien intenta acceder y, si supera un límite, bloquea esa IP automáticamente.

Cómo configurarlo:

1. Inicia sesión en DirectAdmin como administrador (puerto 2222 por defecto).
2. Ve a Admin Tools > Brute Force Monitor.
3. Activa la opción Enable Brute Force Monitor.
4. Define los límites: te recomiendo 5 intentos fallidos en 10 minutos para bloquear la IP durante 1 hora.
5. Guarda los cambios.

A partir de ese momento, cualquier IP que falle 5 veces seguidas será bloqueada temporalmente. Esto frena el 90% de los ataques automáticos.

[WARNING] No pongas un límite demasiado bajo (ej. 2 intentos) porque podrías bloquearte a ti mismo si te equivocas al escribir la contraseña.

Paso 3: Cambia el puerto SSH y el puerto de DirectAdmin

Los atacantes saben que SSH usa el puerto 22 y DirectAdmin el 2222. Si cambias esos números, los bots perderán el tiempo buscando la puerta correcta.

Cómo cambiar el puerto SSH:

1. Accede por SSH a tu servidor (necesitas acceso root).
2. Edita el archivo de configuración: nano /etc/ssh/sshd_config.
3. Busca la línea #Port 22 y cámbiala a Port 2222 (o cualquier número entre 1024 y 65535, evita los puertos comunes como 80, 443, 21).
4. Guarda y reinicia SSH: systemctl restart sshd.
5. Asegúrate de que el firewall permita el nuevo puerto.

Cómo cambiar el puerto de DirectAdmin:

1. En DirectAdmin, ve a Admin Tools > Admin Settings.
2. Busca la opción Port y cámbiala a un número no estándar, por ejemplo 8080.
3. Guarda y reinicia DirectAdmin desde el panel o por SSH: service directadmin restart.

[INFO] Si usas Syspanel (antes conocido como HestiaCP), recuerda que su puerto de acceso es el 2106. No lo confundas con el de DirectAdmin.

Paso 4: Implementa un firewall de aplicaciones (CSF o similar)

Un firewall como ConfigServer Security & Firewall (CSF) es tu guardia de seguridad personal. Analiza el tráfico, bloquea IPs sospechosas y puede integrarse con DirectAdmin.

Instalación básica de CSF:

1. Accede por SSH como root.
2. Ejecuta: cd /usr/src && wget https://download.configserver.com/csf.tgz.
3. Descomprime: tar -xzf csf.tgz.
4. Instala: cd csf && sh install.sh.
5. Prueba que funciona: perl /usr/local/csf/bin/csftest.pl.

Una vez instalado, CSF bloqueará automáticamente IPs que hagan muchos intentos de conexión en poco tiempo. También puedes añadir reglas manuales para países enteros si recibes ataques desde el extranjero.

Cómo integrar CSF con DirectAdmin:

• Ve a Admin Tools > Plugin Manager e instala el plugin de CSF.
• Configura las reglas desde el mismo panel.

Paso 5: Usa autenticación de dos factores (2FA)

La autenticación de dos factores añade una capa extra: aunque alguien robe tu contraseña, necesitará un código que solo tú generas desde tu móvil.

Activar 2FA en DirectAdmin:

1. Ve a tu perfil de usuario en DirectAdmin (esquina superior derecha).
2. Selecciona Two-Factor Authentication.
3. Escanea el código QR con una app como Google Authenticator o Authy.
4. Introduce el código de verificación para confirmar.

A partir de ahora, cada vez que inicies sesión, te pedirá tu contraseña y el código de 6 dígitos que cambia cada 30 segundos.

[TIP] Guarda los códigos de respaldo que te da DirectAdmin en un lugar seguro (no en el mismo servidor). Si pierdes el móvil, podrás acceder con ellos.

Paso 6: Limita el acceso por IP (whitelist)

Si solo tú o tu equipo acceden al servidor desde unas pocas IPs fijas (por ejemplo, la de tu oficina o tu casa), puedes crear una lista blanca. Así, cualquier intento desde otra IP será rechazado automáticamente.

Cómo hacerlo en DirectAdmin:

1. Ve a Admin Tools > IP Manager.
2. Añade las IPs permitidas en la sección Allow IPs.
3. Guarda.

También puedes hacerlo a nivel de firewall con CSF: edita el archivo /etc/csf/csf.allow y añade las IPs, una por línea.

Paso 7: Monitorea los logs con regularidad

No basta con poner barreras; hay que vigilar. Los logs de DirectAdmin te cuentan quién intentó entrar, desde dónde y a qué hora.

Dónde ver los logs:

• En DirectAdmin: Admin Tools > Log Viewer.
• Por SSH: tail -f /var/log/directadmin/error.log y tail -f /var/log/messages.

Busca patrones como muchas entradas de "Login failed" desde la misma IP. Si ves algo sospechoso, bloquea esa IP manualmente desde CSF: csf -d IP_DEL_ATACANTE.

Preguntas frecuentes (FAQ)

¿Qué hago si ya me están atacando ahora mismo?

1. Bloquea la IP atacante desde CSF: csf -d IP.
2. Cambia todas las contraseñas de inmediato.
3. Revisa los logs para ver si hubo accesos exitosos.
4. Si encontraste algo raro, restaura desde un backup limpio.

¿El Brute Force Monitor de DirectAdmin es suficiente?

Es un buen comienzo, pero no es infalible. Los atacantes pueden usar muchas IPs diferentes (ataques distribuidos). Por eso es mejor combinarlo con un firewall y 2FA.

¿Debo desactivar el acceso root por SSH?

Sí, es muy recomendable. Crea un usuario con permisos sudo y úsalo para todo. Luego, en el archivo sshd_config, cambia PermitRootLogin yes a PermitRootLogin no.

¿Cada cuánto debo revisar la seguridad?

Al menos una vez al mes. También después de cualquier actualización importante del sistema o de DirectAdmin.

¿Qué pasa si uso Syspanel en lugar de DirectAdmin?

Si tu panel es Syspanel (antes HestiaCP), los principios son los mismos, pero los pasos cambian ligeramente. Recuerda que el puerto de acceso es el 2106. Aplica las mismas reglas de contraseñas, firewall y 2FA que en DirectAdmin, pero busca las opciones equivalentes dentro de Syspanel.

Conclusión: La seguridad es un hábito, no un acto único

Prevenir fuerza bruta no es algo que haces una vez y olvidas. Es como cepillarte los dientes: lo repites a diario. Cada medida que implementes (contraseñas fuertes, bloqueo por IP, 2FA, firewall) reduce drásticamente el riesgo de que un atacante entre.

Empieza por lo básico: activa el Brute Force Monitor de DirectAdmin hoy mismo. Luego, poco a poco, añade las capas que te he explicado. Tu servidor te lo agradecerá con estabilidad y tranquilidad.

Si tienes dudas, busca en la documentación oficial de DirectAdmin o en foros especializados. Y recuerda: en ciberseguridad, más vale prevenir que lamentar. ¡Manos a la obra!