Cómo mantener su VPS seguro: hardening, Lynis y una rutina de mantenimiento
Con Proteger su VPS: los primeros cinco minutos establece la base: actualizaciones, inicio de sesión con clave, un cortafuegos y fail2ban. Pero un servidor nunca está terminado. El software se queda obsoleto, los certificados caducan y los discos se llenan. Aquí descubrirá cómo seguir reforzando su servidor paso a paso (hardening), cómo revisarlo con Lynis y qué ritmo de mantenimiento le ayuda.
Cuatro principios
- Una superficie de ataque pequeña. Lo que no existe no puede tener fugas. Elimine los servicios y paquetes que no utilice y mantenga abiertos desde fuera solo los puertos que realmente necesite. Consulte ¿Qué servicios escuchan en su VPS y qué es accesible desde fuera?
- Privilegios mínimos. Nada de trabajo diario como root, servicios con su propio usuario y nunca
chmod 777. Consulte Leer y configurar correctamente los permisos de archivos en su VPS. - Defensa en capas. Parta de la base de que una medida fallará. Una base de datos que solo escucha en
127.0.0.1, está detrás de un cortafuegos y tiene una contraseña segura sigue siendo segura si falla una de esas tres medidas. - Ver lo que ocurre. Registros, monitorización y copias de seguridad. Sin esas tres cosas, no notará un problema hasta que sea demasiado tarde.
Los CIS Benchmarks en resumen
El Center for Internet Security (CIS) elabora los CIS Benchmarks: listas de configuraciones recomendadas por producto, también para Debian y Ubuntu. Se dividen en Level 1 (medidas básicas sin grandes inconvenientes, el objetivo para la mayoría de los servidores) y Level 2 (más estrictas, pueden costar funciones o velocidad). Utilícelos como referencia: comprenda una recomendación antes de aplicarla, cambie una cosa cada vez y anote por qué decide conscientemente no hacer algo. Tenga cuidado con los scripts ya preparados que aplican "todo el CIS" de una sola vez: con ellos es fácil quedarse sin acceso.
Revisar con Lynis
Lynis es un programa gratuito de código abierto que revisa su servidor desde dentro. No cambia nada por sí mismo, solo informa.
sudo apt install lynis sudo lynis audit system
En AlmaLinux y Rocky Linux se instala desde EPEL con sudo dnf install lynis. El resultado se interpreta así:
- Los Warnings debe revisarlos de verdad, por ejemplo paquetes con vulnerabilidades conocidas (en ese caso hay actualizaciones pendientes).
- Las Suggestions son consejos. Muchas son útiles, algunas no encajan con su servidor. Una sugerencia para desactivar
AllowTcpForwarding, por ejemplo, rompe sus túneles SSH. No las siga a ciegas. - Cada aviso tiene un código entre corchetes, como
[SSH-7408]. Con él puede buscar en/var/log/lynis.logqué se ha comprobado exactamente. - El hardening index (un número hasta 100) es una orientación, no una nota que haya que perseguir.
Cree una snapshot antes de cambiar algo a raíz de Lynis, consulte Snapshots y copias de seguridad de su VPS, y sepa cómo abrir la consola por si aun así se queda sin acceso.
Un ritmo de mantenimiento
Un ejemplo para un servidor pequeño. Adáptelo a su propia situación y anote los momentos en su agenda.
| Cuándo | Qué |
|---|---|
| Cada semana | Revisar los avisos de su monitorización; systemctl --failed; reiniciar si existe /var/run/reboot-required |
| Cada mes | apt list --upgradable (¿se queda algo atascado?); actualizar los contenedores; espacio en disco; errores en el registro con journalctl -p err --since "1 month ago" |
| Cada trimestre | Restaurar una copia de seguridad de prueba; revisar los usuarios y authorized_keys; volver a ejecutar Lynis |
| Cada año | Consultar la fecha de fin de soporte de su versión y planificar una actualización; actualizar security.txt si lo tiene; actualizar el expediente de su servidor |
Ayuda con cada parte: Actualizaciones y actualizaciones automáticas, Monitorización desde fuera y desde dentro, Copias de seguridad con restic a otra ubicación, Revocar el acceso SSH a su VPS a un antiguo empleado o tras perder un portátil y Actualizar su VPS a una nueva versión de Debian o Ubuntu.
Un expediente del servidor
Redacte un documento breve por servidor y guárdelo fuera del servidor, por ejemplo en su gestor de contraseñas:
- nombre, direcciones IP, sistema operativo y la fecha de fin de soporte de esa versión;
- qué se ejecuta (servicios, contenedores, sitios web) y qué puertos están abiertos para ello;
- dónde están las copias de seguridad, cómo se restauran y cuándo lo probó por última vez;
- qué secretos hay en el servidor (no los secretos en sí, sino cuáles son y dónde se sustituyen);
- quién tiene acceso y qué hizo conscientemente de forma distinta al estándar.
Ese expediente le ayuda ante una incidencia, en una actualización y cuando otra persona asume la administración.
timedatectl que el reloj está sincronizado: con una hora incorrecta, los registros no sirven y los certificados pueden considerarse no válidos.Su VPS es totalmente autogestionado: el hardening y el mantenimiento dentro del servidor corren de su cuenta. Nosotros le ayudamos con la parte de WebOké, como la pantalla del VPS, la red, las snapshots y las copias de seguridad diarias.
¿Quiere aprender más? Siga el curso gratuito VPS y administración de servidores Linux, lección 10.1 Hardening y principios CIS o lección 10.4 Revisión final: su servidor a examen.