LFCA – Consejos útiles para proteger datos y Linux – Parte 18
Desde su lanzamiento a principios de los noventa, Linux se ha ganado la admiración de la comunidad tecnológica gracias a su estabilidad, versatilidad, personalización y una gran comunidad de desarrolladores de código abierto que trabajan las 24 horas del día para corregir errores y mejorar el sistema. Sistema operativo. En general, Linux es el sistema operativo elegido para la nube pública, servidores y supercomputadoras, y cerca del 75% de los servidores de producción con acceso a Internet se ejecutan en Linux.
Además de impulsar Internet, Linux ha encontrado su camino hacia el mundo digital y no ha disminuido desde entonces. Alimenta una amplia gama de dispositivos inteligentes, incluidos teléfonos inteligentes, tabletas, relojes inteligentes, pantallas inteligentes y muchos más con Android.
¿Es Linux tan seguro?
Linux es conocido por su seguridad de alto nivel y es una de las razones por las que es la opción favorita en entornos empresariales. Pero hay un hecho: ningún sistema operativo es 100% seguro. Muchos usuarios creen que Linux es un sistema operativo infalible, lo cual es una suposición falsa. De hecho, cualquier sistema operativo con conexión a Internet es susceptible a posibles infracciones y ataques de malware.
Durante sus primeros años, Linux tenía un grupo demográfico mucho más pequeño centrado en la tecnología y el riesgo de sufrir ataques de malware era remoto. Hoy en día, Linux impulsa una gran parte de Internet y esto ha impulsado el crecimiento del panorama de amenazas. La amenaza de ataques de malware es más real que nunca.
Un ejemplo perfecto de un ataque de malware a sistemas Linux es el ransomware Erebus, un malware de cifrado de archivos que afectó a cerca de 153 servidores Linux de NAYANA, una empresa de alojamiento web de Corea del Sur.
Por este motivo, es prudente reforzar aún más el sistema operativo para darle la seguridad tan deseada para salvaguardar sus datos.
Consejos para reforzar el servidor Linux
Proteger su servidor Linux no es tan complicado como podría pensar. Hemos compilado una lista de las mejores políticas de seguridad que debe implementar para fortalecer la seguridad de su sistema y mantener la integridad de los datos.
1. Actualice los paquetes de software con regularidad
En las etapas iniciales de la infracción de Equifax, los piratas informáticos aprovecharon una vulnerabilidad ampliamente conocida (Apache Struts) en el portal web de quejas de clientes de Equifax.
Apache Struts es un marco de código abierto para crear aplicaciones web Java modernas y elegantes desarrolladas por la Fundación Apache. La Fundación lanzó un parche para corregir la vulnerabilidad el 7 de marzo de 2017 y emitió un comunicado en ese sentido.
Se notificó a Equifax sobre la vulnerabilidad y se le recomendó parchear su aplicación, pero lamentablemente, la vulnerabilidad permaneció sin parchear hasta julio del mismo año, momento en el que ya era demasiado tarde. Los atacantes pudieron obtener acceso a la red de la empresa y extraer millones de registros confidenciales de clientes de las bases de datos. Cuando Equifax se enteró de lo que estaba sucediendo, ya habían pasado dos meses.
¿Entonces, qué podemos aprender de esto?
Los usuarios malintencionados o los piratas informáticos siempre explorarán su servidor en busca de posibles vulnerabilidades de software que luego podrán aprovechar para violar su sistema. Para estar seguro, actualice siempre su software a sus versiones actuales para aplicar parches a cualquier vulnerabilidad existente.
Si está ejecutando Ubuntu o sistemas basados en Debian, el primer paso suele ser actualizar sus listas de paquetes o repositorios como se muestra.
sudo apt update
Para comprobar todos los paquetes con actualizaciones disponibles, ejecute el comando:
sudo apt list --upgradable
Actualice sus aplicaciones de software a sus versiones actuales como se muestra:
sudo apt upgrade
Puede concatenar estos dos en un solo comando como se muestra.
sudo apt update && sudo apt upgrade
Para RHEL y CentOS actualice sus aplicaciones ejecutando el comando:
sudo dnf update ( CentOS 8 / RHEL 8 )
sudo yum update ( Earlier versions of RHEL & CentOS )
Otra opción viable es habilitar las actualizaciones de seguridad automáticas para Ubuntu y también configurar actualizaciones automáticas para CentOS/RHEL.
2. Eliminar servicios/protocolos de comunicación heredados
A pesar de su compatibilidad con una gran variedad de protocolos remotos, los servicios heredados como rlogin, telnet, TFTP y FTP pueden plantear enormes problemas de seguridad para su sistema. Se trata de protocolos antiguos, obsoletos e inseguros en los que los datos se envían en texto sin formato. Si existen, considere eliminarlos como se muestra.
Para sistemas basados en Ubuntu/Debian, ejecute:
sudo apt purge telnetd tftpd tftpd-hpa xinetd rsh-server rsh-redone-server
Para sistemas basados en RHEL/CentOS, ejecute:
sudo yum erase xinetd tftp-server telnet-server rsh-server ypserv
3. Cierre los puertos no utilizados en el firewall
Una vez que haya eliminado todos los servicios inseguros, es importante escanear su servidor en busca de puertos abiertos y cerrar los puertos no utilizados que potencialmente puedan ser utilizados como punto de entrada por los piratas informáticos.
Supongamos que desea bloquear el puerto 7070 en el firewall UFW. El comando para esto será:
sudo ufw deny 7070/tcp
Luego vuelva a cargar el firewall para que los cambios surtan efecto.
sudo ufw reload
Para Firewalld, ejecute el comando:
sudo firewall-cmd --remove-port=7070/tcp --permanent
Y recuerda recargar el firewall.
sudo firewall-cmd --reload
Luego verifique las reglas del firewall como se muestra:
sudo firewall-cmd --list-all
4. Protocolo SSH seguro
El protocolo SSH es un protocolo remoto que le permite conectarse de forma segura a dispositivos en una red. Si bien se considera seguro, la configuración predeterminada no es suficiente y se requieren algunos ajustes adicionales para disuadir aún más a los usuarios malintencionados de violar su sistema.
Tenemos una guía completa sobre cómo reforzar el protocolo SSH. Aquí están los principales aspectos más destacados.
- Configure el inicio de sesión SSH sin contraseña y habilite la autenticación de clave pública/privada.
- Deshabilite el inicio de sesión raíz remoto SSH.
- Deshabilite los inicios de sesión SSH de usuarios con contraseñas vacías.
- Deshabilite la autenticación de contraseña por completo y siga con la autenticación de clave pública/privada SSH.
- Limite el acceso a usuarios SSH específicos.
- Configure un límite para intentos de contraseña.
5. Instale y habilite Fail2ban
Fail2ban es un sistema de prevención de intrusiones de código abierto que protege su servidor de ataques de fuerza bruta. Protege su sistema Linux al prohibir las IP que indican actividad maliciosa, como demasiados intentos de inicio de sesión. De fábrica, viene con filtros para servicios populares como el servidor web Apache, vsftpd y SSH.
Tenemos una guía sobre cómo configurar Fail2ban para fortalecer aún más el protocolo SSH.
6. Hacer cumplir la seguridad de la contraseña mediante el módulo PAM
Reutilizar contraseñas o utilizar contraseñas débiles y simples socava en gran medida la seguridad de su sistema. Usted aplica una política de contraseñas y utiliza pam_cracklib para establecer o configurar los requisitos de seguridad de la contraseña.
Usando el módulo PAM, puede definir la seguridad de la contraseña editando el archivo /etc/pam.d/system-auth. Por ejemplo, puede establecer la complejidad de la contraseña y evitar la reutilización de contraseñas.
7. Instale un certificado SSL/TLS
Si está ejecutando un sitio web, asegúrese siempre de proteger su dominio utilizando un certificado SSL/TLS para cifrar los datos intercambiados entre el navegador de los usuarios y el servidor web.
8. Deshabilite los protocolos de cifrado y las claves de cifrado débiles
Una vez que haya cifrado su sitio, considere también desactivar los protocolos de cifrado débiles. Al momento de escribir esta guía, el protocolo más reciente es TLS 1.3, que es el protocolo más común y ampliamente utilizado. Las versiones anteriores, como TLS 1.0, TLS 1.2 y SSLv1 a SSLv3, se han asociado con vulnerabilidades conocidas.
Terminando
Ese fue un resumen de algunos de los pasos que puede seguir para garantizar la seguridad y privacidad de los datos de su sistema Linux.