Guía práctica para asegurar servicios web en Linux con HTTPS, WAF y monitoreo

Idea clave: la seguridad web en Linux debe implementarse por capas: sistema operativo, firewall, servidor web, TLS, WAF, aplicación, logs, monitoreo y respuesta a incidentes.

# Debian / Ubuntu
sudo apt update
sudo apt upgrade -y

# RHEL / Rocky / AlmaLinux
sudo dnf upgrade -y

# Ver servicios activos
systemctl --type=service --state=running

# Ver puertos abiertos
sudo ss -tulpen

Error común: publicar un servicio web sin revisar si existen bases de datos, paneles administrativos, puertos de desarrollo o servicios antiguos expuestos a Internet.

# Configuración básica con UFW
sudo apt install ufw -y

sudo ufw default deny incoming
sudo ufw default allow outgoing

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# SSH solo desde una IP administrativa
sudo ufw allow from 203.0.113.10 to any port 22 proto tcp

sudo ufw enable
sudo ufw status verbose

Leer más: Cómo configurar un firewall en Linux para proteger tu infraestructura paso a paso

# Instalar Nginx
sudo apt install nginx -y
sudo systemctl enable --now nginx

# Verificar configuración
sudo nginx -t

# Instalar Apache
sudo apt install apache2 -y
sudo systemctl enable --now apache2

# Verificar estado
systemctl status nginx
systemctl status apache2

Buenas prácticas iniciales

• Eliminar sitios de prueba o páginas por defecto.
• Separar cada sitio en su propio virtual host.
• Configurar logs por dominio o aplicación.
• Evitar listar directorios públicamente.
• Limitar métodos HTTP innecesarios.
• Proteger paneles administrativos por IP, VPN o autenticación adicional.
• No ejecutar aplicaciones con permisos excesivos.

# Certbot para Nginx
sudo apt install certbot python3-certbot-nginx -y
sudo certbot --nginx -d ejemplo.com -d www.ejemplo.com

# Certbot para Apache
sudo apt install certbot python3-certbot-apache -y
sudo certbot --apache -d ejemplo.com -d www.ejemplo.com

# Probar renovación automática
sudo certbot renew --dry-run

Recomendación: verifica siempre que la renovación automática funcione. Un certificado vencido puede dejar fuera de servicio aplicaciones, APIs, pagos, formularios y paneles internos.

# Ejemplo Nginx: redirección HTTP a HTTPS
server {
    listen 80;
    server_name ejemplo.com www.ejemplo.com;
    return 301 https://$host$request_uri;
}

# Ejemplo Apache: redirección HTTP a HTTPS
<VirtualHost *:80>
    ServerName ejemplo.com
    ServerAlias www.ejemplo.com
    Redirect permanent / https://ejemplo.com/
</VirtualHost>

Cabeceras recomendadas

• Strict-Transport-Security: fuerza uso de HTTPS.
• X-Content-Type-Options: reduce riesgos por interpretación incorrecta de tipos MIME.
• X-Frame-Options: ayuda contra clickjacking.
• Content-Security-Policy: limita fuentes permitidas de scripts, estilos e imágenes.
• Referrer-Policy: controla información enviada como referente.
• Permissions-Policy: restringe APIs del navegador.

# Ejemplo de cabeceras en Nginx
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;

Cuidado: Content-Security-Policy puede romper scripts, formularios, fuentes o integraciones si se aplica sin pruebas. Primero configúrala en modo controlado y valida el sitio.

Qué aporta un WAF

• Bloqueo de patrones comunes de ataque.
• Protección adicional mientras se corrigen vulnerabilidades.
• Registro de solicitudes sospechosas.
• Control por reglas y niveles de paranoia.
• Mayor visibilidad sobre ataques a aplicaciones web.
• Reducción de exposición ante fallos conocidos.

# Apache en Debian/Ubuntu
sudo apt install libapache2-mod-security2 -y
sudo a2enmod security2
sudo systemctl restart apache2

# Instalar reglas OWASP CRS desde paquetes disponibles
sudo apt install modsecurity-crs -y

Recomendación: inicia el WAF en modo detección, revisa falsos positivos, ajusta exclusiones por aplicación y recién después habilita bloqueo en producción.

Ruta recomendada para activar CRS

1. Modo detección: registrar eventos sin bloquear.
2. Revisión de logs: identificar reglas que generan falsos positivos.
3. Ajustes por aplicación: crear exclusiones específicas, no desactivar todo.
4. Pruebas funcionales: validar login, formularios, pagos, APIs y carga de archivos.
5. Activación gradual: pasar a bloqueo por secciones o rutas críticas.
6. Monitoreo continuo: revisar alertas y ajustar según cambios de aplicación.

# Nginx: limitar tamaño de carga
client_max_body_size 20M;

# Nginx: bloquear métodos no usados
if ($request_method !~ ^(GET|POST|HEAD)$) {
    return 405;
}

Error común: permitir carga de archivos sin validar extensión, tipo MIME, tamaño, ubicación, permisos y análisis posterior. Las cargas deben tratarse como entradas no confiables.

# Logs típicos en Nginx
/var/log/nginx/access.log
/var/log/nginx/error.log

# Logs típicos en Apache
/var/log/apache2/access.log
/var/log/apache2/error.log

# Revisar eventos recientes
sudo tail -f /var/log/nginx/access.log
sudo tail -f /var/log/nginx/error.log

Eventos que debes revisar

• Errores 401, 403, 404, 429 y 500 repetitivos.
• Intentos contra rutas administrativas.
• Parámetros con patrones de inyección.
• Solicitudes hacia archivos inexistentes o sensibles.
• Uso de user-agents sospechosos.
• Bloqueos del WAF.
• Cambios inesperados en el volumen de tráfico.

# Métricas básicas del servidor Linux con Node Exporter
# Puerto por defecto: 9100
curl http://localhost:9100/metrics

# En Prometheus, ejemplo de target
scrape_configs:
  - job_name: "linux-web"
    static_configs:
      - targets:
          - "192.168.10.20:9100"

Métricas críticas para servicios web

• Disponibilidad HTTP y HTTPS.
• Tiempo de respuesta.
• Códigos 4xx y 5xx.
• Uso de CPU, RAM y disco.
• Conexiones activas.
• Errores de Nginx o Apache.
• Fecha de vencimiento del certificado TLS.
• Eventos bloqueados por el WAF.
• Uso de ancho de banda.
• Estado de backups.

Leer más: Las mejores herramientas de monitoreo para servidores Linux y entornos empresariales

Alertas recomendadas

• Servicio web caído.
• Certificado TLS por vencer.
• Errores 5xx elevados.
• Tiempo de respuesta alto.
• Disco con menos del 15% libre.
• CPU o RAM saturada de forma sostenida.
• Incremento de bloqueos del WAF.
• Muchos errores 401, 403 o 404 desde una misma IP.
• Backups fallidos.
• Puertos inesperados abiertos.

Tip operativo: cada alerta debe tener responsable, severidad, posible causa, acción recomendada y canal de escalamiento.

Medidas recomendadas

• Restringir acceso por IP o VPN.
• Activar doble factor cuando sea posible.
• Usar contraseñas únicas y robustas.
• Evitar usuarios genéricos compartidos.
• Registrar accesos administrativos.
• Bloquear intentos repetidos.
• No publicar paneles de administración en rutas obvias si se puede evitar.
• Mantener CMS, plugins y extensiones actualizados.

Qué respaldar

• Archivos del sitio o aplicación.
• Base de datos.
• Configuración de Nginx o Apache.
• Configuración de PHP, Node.js, Python, Java u otro stack.
• Reglas del WAF y exclusiones.
• Certificados y configuración TLS.
• Scripts de despliegue.
• Documentación de restauración.

Leer más: Cómo implementar copias de seguridad automáticas en Linux para evitar la pérdida de datos

• Linux actualizado.
• Servicios innecesarios deshabilitados.
• Firewall activo con puertos mínimos.
• SSH restringido por IP o VPN.
• HTTPS activo con certificado válido.
• Renovación automática de certificados probada.
• HTTP redirigido a HTTPS.
• TLS configurado con parámetros modernos.
• Cabeceras de seguridad aplicadas.
• WAF instalado y probado en modo detección.
• OWASP CRS ajustado para la aplicación.
• Logs habilitados y protegidos.
• Monitoreo de disponibilidad y rendimiento.
• Alertas de certificados, errores, disco y servicio caído.
• Backups automáticos y restauración probada.

Errores que debes evitar

• Dejar HTTP activo sin redirección a HTTPS.
• No probar renovación de certificados TLS.
• Exponer paneles administrativos sin restricción.
• Activar WAF en bloqueo sin revisar falsos positivos.
• No revisar logs del WAF.
• Permitir métodos HTTP innecesarios.
• No limitar carga de archivos.
• No monitorear vencimiento de certificados.
• No tener backups de configuración.
• No documentar cambios de seguridad.

• Cómo configurar un firewall en Linux para proteger tu infraestructura paso a paso
• Cómo configurar acceso remoto seguro a servidores Linux mediante SSH
• Cómo implementar copias de seguridad automáticas en Linux para evitar la pérdida de datos
• Las mejores herramientas de monitoreo para servidores Linux y entornos empresariales
• Guía práctica de ciberseguridad: cómo proteger servidores Linux frente a ataques comunes

Tip final: empieza por lo básico y medible: HTTPS funcionando, firewall restringido, WAF en modo detección, logs revisados y monitoreo con alertas. Luego mejora TLS, cabeceras, dashboards, reglas CRS y procesos de respuesta.

Resumen final

Para asegurar servicios web en Linux, actualiza el sistema, cierra servicios innecesarios, configura firewall, protege SSH, instala Nginx o Apache, activa HTTPS con Certbot, redirige HTTP a HTTPS, endurece TLS, aplica cabeceras de seguridad, implementa ModSecurity con OWASP CRS, revisa logs, configura monitoreo con Prometheus y Grafana, crea alertas accionables y mantén backups probados. La seguridad efectiva combina prevención, detección y recuperación.