Ciberseguridad: 5 consejos sencillos para proteger tu servidor contra hackers

Resumen

Esta semana hackearon a uno de mis clientes y me pidió ayuda urgente para proteger la infraestructura de sus servidores. Era un servidor web con sitios WordPress sobre Apache (con PHP/MySQL), entre ellos varias tiendas online con datos de clientes. Este hackeo se habría evitado fácilmente con las siguientes buenas prácticas. ¿Y tu servidor? ¿Es seguro?

Texto completo

1) Instala menos software

La ciberseguridad ya es bastante difícil, así que no te lo compliques más: instala menos software. Menos programas, servicios y plugins significan menos cosas de las que preocuparte. En el argot de la ciberseguridad, esto se llama reducir la superficie de ataque.

Reduce tu superficie de ataque así:

• empieza con un sistema base mínimo: no arranques con un sistema operativo enorme e hinchado, empieza con lo mínimo posible y apunta lo que vas añadiendo
• instala solo lo que de verdad necesitas: herramientas, plugins, complementos y programas que realmente (¡realmente!) necesites. Sé duro y firme: ¡menos es más!
• comprueba las dependencias de lo que instalas: si instalas algo, mira bien sus dependencias; el software suele necesitar otro software (que quizá no quieras)

2) Cierra todos los puertos de red y filtra los que no puedas bloquear

Los cortafuegos sirven para filtrar el tráfico de red y vienen de serie en la mayoría de los sistemas operativos. Reduce las puertas que tienen los hackers para llegar a tu servidor.

La configuración del cortafuegos debería:

• bloquear por defecto: la mayoría de los sistemas operativos lo permiten todo por defecto. Dale la vuelta y bloquea todo, salvo el tráfico que esperas y necesitas.
• controlar la entrada y la salida: filtra el tráfico de red entrante y saliente. Así a los hackers les cuesta mucho más entrar (y salir, si por desgracia consiguen hackearte).
• filtrar los puertos abiertos: protege los puertos abiertos filtrando el tráfico según el origen (dirección IP) y/o el estado; permite solo el tráfico que venga de donde esperas.

3) Oculta toda la información de versión

El software de tu servidor tiene versiones, a menudo un número que indica la fecha exacta de su compilación. Los hackers pueden usar esa información para buscar problemas de seguridad, vulnerabilidades y puntos débiles conocidos.

Deja de ayudar a los hackers y elimina la información de versión de:

• servidores web: Apache, NGINX, Microsoft Internet Information Services, etc. Comprueba tu servidor analizando las cabeceras HTTP.
• servidores de correo: Postfix, Exim, Dovecot, Sendmail, etc. Muchas veces estos servidores dicen su versión en un "banner de bienvenida", que aparece justo al conectar por SMTP, IMAP o POP3.
• lenguajes web: PHP, .NET, Java, etc. A veces estos frameworks y lenguajes de scripting añaden su propia cabecera HTTP ("x-powered-by") con la versión.
• WordPress: plugins, temas, formularios, galerías, tiendas online, etc. La información de versión suele aparecer en el HTML o en los nombres de archivo de CSS, JavaScript e imágenes.
• servidores de archivos: FTP, SFTP, WebDAV, etc. Estos servidores comunican su versión en el saludo, justo al conectar y a menudo antes de autenticarte.
• SSH: ¿Sabías que OpenSSH comunica por defecto la versión del sistema operativo?

4) Usa certificados o claves en lugar de contraseñas

Si se permite iniciar sesión con contraseña, los hackers pueden intentar entrar al servidor una y otra vez. Con la potencia de cálculo actual, es fácil automatizar esas pruebas y probar combinación tras combinación hasta dar con la contraseña correcta (fuerza bruta).

Asegura la autenticación así:

• usa autenticación con clave SSH: una clave SSH es mucho más larga que una contraseña normal y contiene caracteres distintos de las letras y números corrientes. Eso da muchas más combinaciones posibles y hace exponencialmente más difícil que un hacker dé con la clave correcta.
• limita la frecuencia de intentos: ralentiza a propósito la comprobación de contraseñas o claves para frenar las pruebas automáticas.
• bloquea las pruebas automáticas: excluye las direcciones IP que hayan fallado al iniciar sesión.

5) Revisa y actualiza con regularidad

Hoy en día casi todo el hackeo está automatizado: los bots escanean sin parar todos los servidores y sitios web en busca de fallos que explotar. La cuestión no es SI te encontrarán, sino CUÁNDO.

Cuida tu servidor:

• revisando sus registros: los problemas suelen verse antes de que pase algo realmente grave. Revisa los registros del servidor en busca de errores y anomalías; a menudo son las primeras señales de problemas.
• buscando actualizaciones: desde el propio software de tu servidor o en la web del fabricante o del software.
• actualizando con regularidad: no esperes a que sea demasiado tarde, instala las actualizaciones cuanto antes (¡pero después de probarlas!)

Conclusión

Si aplicas estas medidas, mejorarás mucho la ciberseguridad de tu servidor. Proteger tu servidor significa más seguridad para tu negocio, tu organización y los datos de tus clientes.

Ningún consultor de seguridad (con dos dedos de frente) te dará garantías: con recursos y determinación suficientes, siempre será posible hackear algo. Prepárate haciendo copias de seguridad y cifrando tus datos.

Ojalá estos consejos te sirvan. Si necesitas más ayuda, aquí tienes mis datos de contacto, o echa un vistazo a mis servicios de ciberseguridad.