Hardening Avanzado en Sistemas Linux Debian/Ubuntu
1. Configuración de la Seguridad Básica
1.1. Actualización del Sistema
> [!IMPORTANT]
Antes de comenzar a harden el sistema, es importante asegurarse de que esté actualizado con los últimos parches de seguridad.
bash
sudo apt update && sudo apt full-upgrade -y
1.2. Configuración de la Política de Firewall
> [!TIP]
La política de firewall se utiliza para controlar el tráfico de red entrante y saliente.
bash
sudo ufw enable
1.3. Configuración de la Autenticación
> [!WARNING]
La autenticación es crucial para evitar accesos no autorizados al sistema.
bash
sudo useradd -m -s /bin/false nobody
sudo usermod -aG nobody www-data
2. Configuración de la Seguridad Avanzada
2.1. Configuración de la Seguridad del Kernel
> [!IMPORTANT]
La seguridad del kernel es fundamental para evitar ataques de tipo 0-day.
bash
sudo nano /etc/sysctl.conf
bash
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 1
net.ipv4.conf.default.secure_redirects = 1
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0
net.ipv6.conf.all.secure_redirects = 1
net.ipv6.conf.default.secure_redirects = 1
2.2. Configuración de la Seguridad de la Memoria
> [!TIP]
La seguridad de la memoria es crucial para evitar ataques de tipo 0-day.
bash
sudo nano /etc/sysctl.conf
bash
vm.mmap_min_addr = 65536
vm.discard_core = 1
2.3. Configuración de la Seguridad de la Red
> [!WARNING]
La seguridad de la red es fundamental para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/hosts.deny
bash
sshd: ALL
3. Configuración de la Seguridad de Aplicaciones
3.1. Configuración de la Seguridad de Apache
> [!IMPORTANT]
La seguridad de Apache es crucial para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/apache2/apache2.conf
bash
<Directory />
Options FollowSymLinks
AllowOverride None
Require all denied
</Directory>
<Directory /var/www/>
Options Indexes FollowSymLinks MultiViews
AllowOverride All
Require all granted
</Directory>
3.2. Configuración de la Seguridad de MySQL
> [!TIP]
La seguridad de MySQL es fundamental para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/mysql/mysql.conf.d/mysqld.cnf
bash
bind-address = 127.0.0.1
4. Configuración de la Seguridad de Monitoreo
4.1. Configuración de la Seguridad de Syslog
> [!WARNING]
La seguridad de Syslog es crucial para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/syslog.conf
bash
auth,authpriv.*;mail.*;\
news.err;\
*.=debug;*.=info;\
*.=notice;*.=warn;\
*.=warn;*.=err;*.=crit;*.=alert;*.=emerg /dev/log
4.2. Configuración de la Seguridad de Auditing
> [!IMPORTANT]
La seguridad de Auditing es fundamental para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/audit/audit.rules
bash
-w /etc/group -p wa -k identity
-w /etc/passwd -p wa -k identity
-w /etc/gshadow -p wa -k identity
-w /etc/sudoers -p wa -k identity
5. Configuración de la Seguridad de Backup
5.1. Configuración de la Seguridad de Backup de MySQL
> [!TIP]
La seguridad de Backup de MySQL es crucial para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/mysql/debian-start
bash
mysqldump -u root -p[password] [database] > /var/backups/mysql/$(date +\%Y\%m\%d).sql
5.2. Configuración de la Seguridad de Backup de Apache
> [!WARNING]
La seguridad de Backup de Apache es fundamental para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/apache2/conf.d/backup.conf
bash
Alias /backup/ /var/backups/apache/
6. Configuración de la Seguridad de Monitoreo de Red
6.1. Configuración de la Seguridad de NTP
> [!IMPORTANT]
La seguridad de NTP es crucial para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/ntp.conf
bash
restrict default nomodify notrap nopeer noquery
6.2. Configuración de la Seguridad de SSH
> [!TIP]
La seguridad de SSH es fundamental para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/ssh/sshd_config
bash
PermitRootLogin no
7. Configuración de la Seguridad de Monitoreo de Aplicaciones
7.1. Configuración de la Seguridad de Apache
> [!WARNING]
La seguridad de Apache es crucial para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/apache2/apache2.conf
bash
<Directory />
Options FollowSymLinks
AllowOverride None
Require all denied
</Directory>
<Directory /var/www/>
Options Indexes FollowSymLinks MultiViews
AllowOverride All
Require all granted
</Directory>
7.2. Configuración de la Seguridad de MySQL
> [!IMPORTANT]
La seguridad de MySQL es fundamental para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/mysql/mysql.conf.d/mysqld.cnf
bash
bind-address = 127.0.0.1
8. Configuración de la Seguridad de Monitoreo de Sistema
8.1. Configuración de la Seguridad de Syslog
> [!TIP]
La seguridad de Syslog es crucial para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/syslog.conf
bash
auth,authpriv.*;mail.*;\
news.err;\
*.=debug;*.=info;\
*.=notice;*.=warn;\
*.=warn;*.=err;*.=crit;*.=alert;*.=emerg /dev/log
8.2. Configuración de la Seguridad de Auditing
> [!WARNING]
La seguridad de Auditing es fundamental para evitar accesos no autorizados al sistema.
bash
sudo nano /etc/audit/audit.rules
bash
-w /etc/group -p wa -k identity
-w /etc/passwd -p wa -k identity
-w /etc/gshadow -p wa -k identity
-w /etc/sudoers -p wa -k identity
La configuración de la seguridad avanzada en sistemas Linux Debian/Ubuntu requiere una gran cantidad de configuración y ajustes. Es importante recordar que la seguridad es un proceso continuo y que es necesario realizar revisiones periódicas para asegurarse de que el sistema esté protegido contra amenazas actuales y futuras.
