--- title: "Ciberseguridad: 5 consejos sencillos para proteger tu servidor contra hackers" date: 2018-03-10 language: es topics: ["SSH", "cloud", "cyber-security", "data", "hacking", "howto", "linux", "networking", "programming", "server", "web", "work"] source_url: https://willem.com/es/2018-03-10_ciberseguridad-5-consejos-sencillos-para-proteger-tu-servidor-contra-hackers/ --- # Ciberseguridad: 5 consejos sencillos para proteger tu servidor contra hackers *Buenas prácticas de endurecimiento de servidores para Windows y Linux* > Esta semana hackearon a uno de mis clientes y me pidió ayuda urgente para proteger la infraestructura de sus servidores. Era un servidor web con sitios WordPress sobre Apache (con PHP/MySQL), entre ellos varias tiendas online con datos de clientes. Este hackeo se habría evitado fácilmente con las siguientes buenas prácticas. ¿Y tu servidor? ¿Es seguro? ![El centro de datos es donde vive tu servidor. Aunque esté físicamente protegido, ¡revisa también su software!](https://willem.com/global/images/4a3f2a7449c7.webp) ## 1) Instala menos software La ciberseguridad ya es bastante difícil, así que no te lo compliques más: instala menos software. Menos programas, servicios y plugins significan menos cosas de las que preocuparte. En el argot de la ciberseguridad, esto se llama reducir la superficie de ataque. ### Reduce tu superficie de ataque así: - **empieza con un sistema base mínimo:** no arranques con un sistema operativo enorme e hinchado, empieza con lo mínimo posible y apunta lo que vas añadiendo - **instala solo lo que de verdad necesitas:** herramientas, plugins, complementos y programas que realmente (¡realmente!) necesites. Sé duro y firme: ¡menos es más! - **comprueba las dependencias de lo que instalas:** si instalas algo, mira bien sus dependencias; el software suele necesitar otro software (que quizá no quieras) ## 2) Cierra todos los puertos de red y filtra los que no puedas bloquear Los cortafuegos sirven para filtrar el tráfico de red y vienen de serie en la mayoría de los sistemas operativos. Reduce las puertas que tienen los hackers para llegar a tu servidor. ### La configuración del cortafuegos debería: - **bloquear por defecto:** la mayoría de los sistemas operativos lo permiten todo por defecto. Dale la vuelta y bloquea todo, salvo el tráfico que esperas y necesitas. - **controlar la entrada y la salida:** filtra el tráfico de red entrante y saliente. Así a los hackers les cuesta mucho más entrar (y salir, si por desgracia consiguen hackearte). - **filtrar los puertos abiertos:** protege los puertos abiertos filtrando el tráfico según el origen (dirección IP) y/o el estado; permite solo el tráfico que venga de donde esperas. ## 3) Oculta toda la información de versión El software de tu servidor tiene versiones, a menudo un número que indica la fecha exacta de su compilación. Los hackers pueden usar esa información para buscar problemas de seguridad, vulnerabilidades y puntos débiles conocidos. ### Deja de ayudar a los hackers y elimina la información de versión de: - **servidores web:** Apache, NGINX, Microsoft Internet Information Services, etc. Comprueba tu servidor analizando las cabeceras HTTP. - **servidores de correo:** Postfix, Exim, Dovecot, Sendmail, etc. Muchas veces estos servidores dicen su versión en un "banner de bienvenida", que aparece justo al conectar por SMTP, IMAP o POP3. - **lenguajes web:** PHP, .NET, Java, etc. A veces estos frameworks y lenguajes de scripting añaden su propia cabecera HTTP ("x-powered-by") con la versión. - **WordPress:** plugins, temas, formularios, galerías, tiendas online, etc. La información de versión suele aparecer en el HTML o en los nombres de archivo de CSS, JavaScript e imágenes. - **servidores de archivos:** FTP, SFTP, WebDAV, etc. Estos servidores comunican su versión en el saludo, justo al conectar y a menudo antes de autenticarte. - **SSH:** ¿Sabías que OpenSSH comunica por defecto la versión del sistema operativo? ## 4) Usa certificados o claves en lugar de contraseñas Si se permite iniciar sesión con contraseña, los hackers pueden intentar entrar al servidor una y otra vez. Con la potencia de cálculo actual, es fácil automatizar esas pruebas y probar combinación tras combinación hasta dar con la contraseña correcta (fuerza bruta). ### Asegura la autenticación así: - **usa autenticación con clave SSH:** una clave SSH es mucho más larga que una contraseña normal y contiene caracteres distintos de las letras y números corrientes. Eso da muchas más combinaciones posibles y hace exponencialmente más difícil que un hacker dé con la clave correcta. - **limita la frecuencia de intentos:** ralentiza a propósito la comprobación de contraseñas o claves para frenar las pruebas automáticas. - **bloquea las pruebas automáticas:** excluye las direcciones IP que hayan fallado al iniciar sesión. ## 5) Revisa y actualiza con regularidad Hoy en día casi todo el hackeo está automatizado: los bots escanean sin parar todos los servidores y sitios web en busca de fallos que explotar. La cuestión no es *SI* te encontrarán, sino *CUÁNDO*. ### Cuida tu servidor: - **revisando sus registros:** los problemas suelen verse antes de que pase algo realmente grave. Revisa los registros del servidor en busca de errores y anomalías; a menudo son las primeras señales de problemas. - **buscando actualizaciones:** desde el propio software de tu servidor o en la web del fabricante o del software. - **actualizando con regularidad:** no esperes a que sea demasiado tarde, instala las actualizaciones cuanto antes (¡pero *después* de probarlas!) ![Revisa tu servidor con regularidad, o busca a alguien que lo haga por ti.](https://willem.com/global/images/82d99c9ffa6b.webp) ## Conclusión Si aplicas estas medidas, mejorarás mucho la ciberseguridad de tu servidor. Proteger tu servidor significa más seguridad para tu negocio, tu organización y los datos de tus clientes. Ningún consultor de seguridad (con dos dedos de frente) te dará garantías: con recursos y determinación suficientes, siempre será posible hackear algo. Prepárate haciendo copias de seguridad y cifrando tus datos. Ojalá estos consejos te sirvan. Si necesitas más ayuda, aquí (https://willem.com) tienes mis datos de contacto, o echa un vistazo a mis servicios_de_ciberseguridad (http://digidef.nl).