Guía definitiva de seguridad en Linux: más de 100 prácticas para proteger servidores y estaciones de trabajo

Linux es una de las plataformas más confiables para servidores, nube, estaciones de trabajo, laboratorios, desarrollo, ciberseguridad y sistemas críticos. Pero ningún sistema operativo es seguro solo por estar instalado. La seguridad depende de configuración, actualizaciones, control de accesos, monitoreo, respaldo, auditoría y respuesta ante incidentes.

Esta guía reúne más de 100 prácticas concretas para proteger servidores y estaciones Linux. Está pensada para administradores, estudiantes, docentes, empresas, técnicos de soporte, DevOps y responsables de TI que necesitan una ruta clara para endurecer sus sistemas sin perder control operativo.

1. Principios básicos antes de endurecer Linux

Antes de aplicar controles, conviene entender tres principios: reducir superficie de ataque, aplicar mínimo privilegio y mantener evidencia. En la práctica, esto significa instalar menos, permitir menos, registrar más y revisar continuamente.

2. Checklist maestro: 120 prácticas de seguridad Linux

La siguiente lista está organizada por capas. No todas aplican igual para una laptop personal, un servidor web, un servidor de base de datos o una estación corporativa. La recomendación es aplicar primero lo esencial y luego avanzar según criticidad.

A. Inventario, gobierno y planificación

1. Identifica todos los servidores, estaciones, máquinas virtuales y contenedores Linux.
2. Registra sistema operativo, versión, kernel, dirección IP, responsable y función.
3. Clasifica los sistemas por criticidad: producción, pruebas, desarrollo o laboratorio.
4. Define responsables técnicos para cada servidor o estación.
5. Documenta puertos, servicios, usuarios administrativos y dependencias.
6. Define una política mínima de hardening por tipo de equipo.
7. Separa ambientes de producción, pruebas y desarrollo.
8. Establece un calendario de mantenimiento y actualización.
9. Define criterios de respaldo, retención y restauración.
10. Usa marcos como CIS Controls o NIST para ordenar controles de seguridad.

B. Instalación segura y reducción de superficie

11. Instala desde imágenes oficiales de la distribución.
12. Verifica checksum o firma cuando la distribución lo proporcione.
13. Elige instalación mínima para servidores.
14. No instales entornos gráficos en servidores que no los requieren.
15. Elimina paquetes innecesarios después de instalar.
16. Desactiva servicios que no se usan.
17. Evita repositorios desconocidos o no mantenidos.
18. Usa repositorios oficiales o confiables.
19. Separa particiones críticas cuando sea necesario: /home, /var, /tmp, /var/log.
20. Configura zona horaria, NTP y nombre de host correctamente.

C. Actualizaciones y gestión de vulnerabilidades

21. Aplica actualizaciones de seguridad con regularidad.
22. Activa actualizaciones automáticas de seguridad cuando el escenario lo permita.
23. Reinicia cuando el kernel o bibliotecas críticas lo requieran.
24. Revisa avisos de seguridad de tu distribución.
25. Evita mantener versiones sin soporte.
26. Retira software abandonado o sin mantenimiento.
27. Escanea vulnerabilidades de paquetes instalados.
28. Prioriza vulnerabilidades explotadas activamente o expuestas a Internet.
29. Documenta excepciones cuando no puedas actualizar.
30. Prueba parches primero en sistemas no críticos si el servicio es sensible.

D. Usuarios, grupos y privilegios

31. Deshabilita o bloquea cuentas que no se usan.
32. Evita usar root para tareas diarias.
33. Usa sudo con usuarios nominales.
34. No compartas cuentas administrativas.
35. Aplica mínimo privilegio en grupos y permisos.
36. Revisa periódicamente usuarios con sudo.
37. Configura expiración o bloqueo para cuentas temporales.
38. Usa contraseñas robustas o autenticación centralizada.
39. Aplica MFA cuando la infraestructura lo soporte.
40. Revisa archivos /etc/passwd, /etc/shadow, /etc/group y /etc/sudoers.

E. SSH seguro

41. Usa autenticación por llave pública para administración remota.
42. Deshabilita acceso directo de root por SSH.
43. Deshabilita autenticación por contraseña si ya usas llaves y MFA.
44. Permite SSH solo desde redes o IP autorizadas.
45. Usa AllowUsers o AllowGroups cuando corresponda.
46. Protege las llaves privadas con passphrase.
47. Rota llaves cuando cambien administradores o proveedores.
48. Registra accesos exitosos y fallidos.
49. Limita intentos de autenticación y sesiones inactivas.
50. Prueba cambios de SSH en una sesión abierta antes de cerrar la conexión.

sudo sshd -t
sudo systemctl status ssh
sudo journalctl -u ssh --since "1 hour ago"

F. Firewall, red y servicios expuestos

51. Permite solo puertos necesarios.
52. Bloquea tráfico entrante por defecto cuando sea posible.
53. Usa ufw, firewalld, nftables o reglas corporativas equivalentes.
54. No expongas SSH a Internet sin controles adicionales.
55. Separa redes de administración, usuarios, bases de datos y backups.
56. Usa VPN para administración remota.
57. Deshabilita servicios de descubrimiento innecesarios.
58. Revisa puertos abiertos con ss.
59. Monitorea conexiones sospechosas.
60. Documenta toda excepción de firewall.

G. Permisos, archivos y sistema de archivos

61. Aplica permisos restrictivos en archivos sensibles.
62. Evita permisos 777 salvo casos temporales y justificados.
63. Revisa archivos con SUID y SGID.
64. Controla escritura en /tmp y directorios compartidos.
65. Usa opciones de montaje como noexec, nodev o nosuid donde aplique.
66. Protege archivos de configuración de servicios.
67. Evita almacenar secretos en texto plano.
68. Revisa propietarios incorrectos en directorios críticos.
69. Controla permisos de logs y backups.
70. Usa control de integridad con AIDE o herramientas equivalentes.

H. AppArmor, SELinux y aislamiento

71. Mantén AppArmor habilitado en distribuciones que lo usan por defecto.
72. Mantén SELinux en enforcing cuando uses RHEL, Fedora, Rocky o AlmaLinux.
73. No desactives AppArmor o SELinux para “resolver rápido” sin investigar.
74. Revisa eventos AVC o denegaciones de AppArmor antes de cambiar políticas.
75. Usa perfiles de aplicación para servicios expuestos.
76. Aísla servicios con usuarios dedicados sin login.
77. Usa systemd sandboxing cuando sea posible.
78. Evalúa contenedores solo como una capa más, no como seguridad absoluta.
79. Aplica límites de recursos a servicios críticos.
80. Evita ejecutar aplicaciones desconocidas con privilegios elevados.

I. Logs, auditoría y monitoreo

81. Centraliza logs de servidores críticos.
82. Monitorea autenticaciones exitosas y fallidas.
83. Activa auditd en servidores sensibles.
84. Audita cambios en archivos críticos.
85. Revisa eventos de sudo.
86. Monitorea cambios en servicios systemd.
87. Envía alertas cuando falle un servicio crítico.
88. Usa Wazuh, SIEM o plataforma equivalente para correlación.
89. Define retención de logs según criticidad y cumplimiento.
90. Protege logs contra borrado o modificación no autorizada.

J. Cifrado, secretos y datos

91. Cifra discos en laptops y estaciones móviles.
92. Cifra servidores cuando el riesgo físico lo justifique.
93. Usa TLS en servicios web y APIs.
94. Evita certificados vencidos o autofirmados en producción pública.
95. Guarda secretos en gestores especializados, no en scripts.
96. Rota contraseñas, tokens y llaves comprometidas.
97. No subas claves privadas a repositorios Git.
98. Protege bases de datos con usuarios de mínimo privilegio.
99. Cifra backups sensibles.
100. Controla quién puede leer archivos de configuración con credenciales.

K. Backups, recuperación y continuidad

101. Aplica la regla 3-2-1: varias copias, distintos medios y una fuera del sitio.
102. Automatiza backups de servidores críticos.
103. Prueba restauraciones periódicamente.
104. No guardes el único backup en el mismo servidor.
105. Protege backups contra ransomware y borrado accidental.
106. Documenta procedimientos de recuperación.
107. Define RPO y RTO para servicios críticos.
108. Incluye configuraciones, bases de datos, certificados y scripts en los respaldos.
109. Verifica integridad de backups.
110. Ensaya recuperación ante desastre al menos una vez al año.

L. Estaciones de trabajo Linux

111. Usa bloqueo automático de pantalla.
112. Cifra el disco si el equipo puede salir de la oficina o casa.
113. Actualiza navegador, extensiones y cliente de correo.
114. No instales paquetes de fuentes desconocidas.
115. Separa usuario diario y usuario administrativo.
116. Activa firewall local si no necesitas servicios entrantes.
117. Controla dispositivos USB en entornos corporativos.
118. Usa contraseñas robustas y gestor de contraseñas confiable.
119. Respalda documentos importantes.
120. Capacita al usuario contra phishing, adjuntos sospechosos y enlaces falsos.

3. Herramientas recomendadas para auditoría y hardening

Linux cuenta con herramientas maduras para auditoría, integridad, cumplimiento y monitoreo. La clave es usarlas como apoyo, no como reemplazo del criterio técnico.

sudo ss -tulpn
sudo systemctl --failed
sudo journalctl -p warning --since "24 hours ago"
sudo find / -perm -4000 -type f 2>/dev/null
sudo lynis audit system

4. Seguridad por tipo de sistema

5. Errores comunes al proteger Linux

Preguntas clave

Recomendamos

En resumen

Proteger Linux exige disciplina, no improvisación. La seguridad empieza con instalación mínima, usuarios controlados, actualizaciones, SSH seguro, firewall, permisos correctos, AppArmor o SELinux, logs centralizados, auditoría, monitoreo, copias de seguridad y respuesta ante incidentes.

Las más de 100 prácticas de esta guía no deben aplicarse como una receta ciega. Deben adaptarse al riesgo real, al tipo de sistema, a la criticidad del servicio y a la capacidad del equipo. Un servidor público, una laptop docente, un servidor de base de datos y una estación de desarrollo no requieren exactamente el mismo nivel de control.