Hardening Linux

Apriete el protocolo Secure Shell

SSH da al usuario una conexin a un ordenador remoto; los administradores de
sistemas suelen utilizar SSH para conectarse a sus servidores desde un equipo
remoto para realizar tareas administrativas y de mantenimiento. A pesar de que
SSH proporciona un mayor nivel de seguridad que los protocolos que reemplaz,
puede hacer algunas cosas para hacerlo ms seguro.
La seguridad por oscuridad
Uno de los mtodos ms comunes para el endurecimiento de SSH es cambiar el
nmero de puerto utilizado para acceder a ella. La teora es que un atacante
usando el puerto por defecto o TCP 22 para establecer una conexin de acceso
ser denegado debido a que el servicio se est ejecutando en un puerto seguro.
Sin embargo, este enfoque impide daos de la escritura de atacar SSH con
herramientas automatizadas dedicadas a la bsqueda de TCP abierto 22 puertos,
y los atacantes impacientes puede cansarse de escaneo de su servidor si no
encuentran SSH se ejecuta en el primer rango de puertos que se escanean.

permisos de entrada de la raz

El usuario root en todas las distribuciones de Ubuntu est desactivada, pero se
puede activar esta cuenta. Si est utilizando SSH, debe negar el permiso de la
cuenta root para iniciar sesin en el servidor de forma remota en caso de que
usted o un atacante tiene activada esta cuenta. Mientras que usted tiene el editor
abierto, desplcese hacia abajo a la lnea que dice PermitRootLogin . El valor por
defecto es s.
los usuarios de la lista blanca
Otro paso que puede tomar para endurecer SSH en el servidor es para permitir
que slo ciertas personas para utilizar este servicio. Este proceso se conoce como
listas blancas. Para crear una lista blanca, primero tiene los nombres de usuario

de las personas que tienen autorizacin para usar SSH para acceder al servidor
de forma remota. A continuacin, realice los siguientes pasos:
Aadir esta lnea a su archivo sshd_config:

Escribir reglas de firewall

Se puede denegar el acceso a su servidor a travs del cortafuegos. Ubuntu Server
utiliza un servidor de seguridad sin complicaciones llamada servidor de seguridad
(UFW), que es una herramienta de gestin para iptables . Iptables filtra los
paquetes de red basados en reglas escribe el administrador de sistemas. Iptables
puede ser complicado para los principiantes, pero UFW lo simplifica.

Las reglas de firewall por puerto y protocolo

La forma ms fcil - y ms comn - manera de escribir una regla de firewall es
bloquear el trfico en un puerto especfico. Por ejemplo, si desea permitir el trfico
entrante en el puerto 80, tiene que escribir este comando en el terminal:
sudo ufw permite 80
Tambin tiene la opcin de especificar qu protocolo est permitido. Si no se
especifica ningn protocolo, a continuacin, TCP y Protocolo de datagramas de
usuario (UDP) estn cubiertos por la regla. Sin embargo, slo para permitir el
trfico TCP en el puerto 80, el comando es:
sudo ufw permitir 80 / tcp
Para permitir el trfico entrante en el puerto 80 para UDP, se aplica la misma
sintaxis:
sudo ufw permitir 80 / UDP

Para denegar el trfico para todos estos ejemplos, entre:

sudo ufw negar 80
sudo ufw negar 80 / tcp
sufo ufw negar 80 / UDP

Las reglas de firewall por servicio

Las reglas de firewall tambin se pueden escribir para gobernar todo un servicio.
Por ejemplo, si desea denegar el trfico SSH, la regla sera el siguiente:
sudo ufw negar ssh
Para permitir el trfico SSH, estado este hecho escribiendo:
sudo ufw permite ssh
Detencin del servidor de seguridad
En el caso de que necesite para deshacer una regla de firewall que usted ha
escrito, se puede eliminar la regla de la siguiente manera:
sudo ufw eliminar negar ssh
Para detener el servidor de seguridad completo, usted tiene la opcin de
desactivar usando:
desactivar la UFW sudo

La desactivacin de un servidor de seguridad que se ejecuta servicios esenciales

o casas de datos sensibles es aconsejable. Incluso teniendo esta proteccin hacia
abajo por un momento podra abrir el servidor y sus recursos a las amenazas.

Tripwire
Tripwire establece una lnea de base de los binarios del sistema normales para su
equipo. A continuacin, informa de cualquier anomala en contra de esta lnea de
base a travs de una alerta de correo electrnico oa travs de un registro. En
esencia, si los binarios del sistema han cambiado, usted sabr sobre l. Si una
instalacin legtima causa un cambio tal, no hay problema. Pero si los binarios son
alterados como resultado de una instalacin de tipo caballo de Troya, que tiene un
punto de partida para investigar el ataque y solucionar los problemas.

Comandos para la revisin del estado del servicio