{"id":2153,"date":"2010-10-20T20:09:56","date_gmt":"2010-10-21T00:39:56","guid":{"rendered":"http:\/\/blog-j.marcano.net.ve\/?p=2153"},"modified":"2011-01-20T20:27:58","modified_gmt":"2011-01-21T00:57:58","slug":"tips-de-seguridad-en-gnulinux","status":"publish","type":"post","link":"https:\/\/blog-j.marcano.net.ve\/index.php\/2010\/10\/20\/tips-de-seguridad-en-gnulinux\/","title":{"rendered":"Tips de seguridad en GNU\/Linux"},"content":{"rendered":"<p><img loading=\"lazy\" class=\"alignright size-full wp-image-2162\" title=\"padlock\" src=\"http:\/\/blog-j.marcano.net.ve\/wp-content\/uploads\/2010\/10\/padlock.png\" alt=\"\" width=\"158\" height=\"178\" \/>A muchos de nosotros nos anima la idea de tener una maquina en casa que funcione como servidor en casa, acceder a nuestros archivos desde cualquier lugar\u00a0 o desde el trabajo es algo que con frecuencia buscamos,\u00a0 en fin es muy \u00fatil y \u00a0a la vez divertido hacerlo lograrlo nosotros mismos<\/p>\n<p>En GNU\/Linux esto no tiene mucha complicaci\u00f3n y hay mucha documentaci\u00f3n en Internet la cual indica como hacerlo pero esto tiene otros aspectos que debemos tomar en cuenta:<\/p>\n<p>Cada vez que abrimos puertos en nuestro router, o hacemos nat de nuestra red local para acceder a ciertos servicios estamos fabricando \u00abpuertas\u00bb para dar acceso desde afuera a nuestro computador, las cuales las dejamos ah\u00ed para cuando NOSOTROS queramos entrar mediante un usuario y una contrase\u00f1a, esto no implica que alguna otra persona no intente vulnerar esa \u00abpuerta\u00bb para entrar y hacer quien sabe que en nuestro equipo.<script type=\"text\/javascript\">\/\/ <![CDATA[\n   google_ad_client = \"pub-1885873472356662\"; \/* HORIZONTAL ONLY TEXT non image *\/ google_ad_slot = \"5769129437\"; google_ad_width = 468; google_ad_height = 60;\n\/\/ ]]><\/script><br \/>\n<script src=\"http:\/\/pagead2.googlesyndication.com\/pagead\/show_ads.js\" type=\"text\/javascript\">\n<\/script><\/p>\n<p>\u00bfCual es la idea?<\/p>\n<p>Dejar las menores puertas posibles de entrada a nuestro sistema y lograr que sean lo mas seguras que podamos, para esto me permito dar ciertos consejos que hasta la hora me han funcionado muy bien.<\/p>\n<p><img loading=\"lazy\" class=\"alignleft\" title=\"openssh\" src=\"..\/wp-content\/uploads\/2010\/10\/openssh.gif\" alt=\"\" width=\"180\" height=\"184\" \/>Una practica muy frecuente en usuarios y administradores de sistemas  Linux es instalar un servicio de servidor ssh, esto nos da una muy buena  opci\u00f3n para el control remoto v\u00eda consola y con la posibilidad de  acceder a nuestros archivos de manera gr\u00e1fica, todo esto a trav\u00e9s de un  canal cifrado y seguro. Esto no significa que no debamos tomar ciertas  precauciones con este servicio el cual es uno de los mas utilizados,  pero no esta de mas tomar las siguientes precauciones:<\/p>\n<p>SOBRE TODO, utilizar un nombre de usuario y una contrase\u00f1a segura,  nada de 1234 ni abc. Combina letras en may\u00fascula, min\u00fasculas y n\u00fameros  si es posible<\/p>\n<ul>\n<li> Especificar que usuarios podr\u00e1n hacer \u00ablogin\u00bb\u00a0 por ssh, esto se modifica en el archivo \/etc\/ssh\/sshd_config con la linea:\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 AllowUsers \u00abtu-usuario\u00bb<\/li>\n<\/ul>\n<ul>\n<li>No permitir que root tenga permiso de hacer login por este medio, esto lo hacemos con la siguiente linea:\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 PermitRootLogin no<\/li>\n<\/ul>\n<p>Por que esto no es buena practica?\u00a0 Si alguien se llegara a  apoderar de nuestros datos de conexi\u00f3n y entra al sistema no tendr\u00e1  permisos de hacer grandes cambios mas que los de un usuario regular, no podra realizar cambios en archivos de configuraci\u00f3n etc. Pero en cambio si \u00a0nosotros realmente necesitamos hacer tareas administrativas propias de root por ssh es mejor agregar  nuestro usuario regular al archivo \/etc\/sudoers y as\u00ed, mediante el  comando \u00absudo\u00bb lograr escalar privilegios mediante una contrase\u00f1a predefinida y  nuestro usuario tendr\u00e1 los permisos necesarios. Otra practica  recomendada es cambiar el puerto de escucha del servidor ssh (22) por otro puerto distinto.<\/p>\n<p><a href=\"..\/wp-content\/uploads\/2010\/10\/log.png\" rel=\"lightbox[2153]\"><img loading=\"lazy\" class=\"alignright\" title=\"Intentos de accesos fraudulentos\" src=\"..\/wp-content\/uploads\/2010\/10\/log-137x300.png\" alt=\"\" width=\"137\" height=\"300\" \/><\/a><\/p>\n<p>En  este momento seguramente alguno pensara&#8230; que paranoico estoy, pero   es realmente importante.. F\u00edjense en este registro (a la derecha) de  intentos  fallidos que encontr\u00e9 en un servidor. Hay much\u00edsimos intentos  de login  fraudulentos intentando entrar como \u00abroot\u00bb y con varios usuarios  distintos, los cuales ninguno existe, solo est\u00e1n utilizando un \u00abrobot\u00bb \u00a0 el cual intenta entrar con par\u00e1metros predefinidos con una lista de usuarios comunes y contrase\u00f1as clasicas en muchas ip al rededor del mundo en el puerto 22<\/p>\n<p>Observen que en un d\u00eda puede haber miles de intentos de acceso a nuestro equipo por esta v\u00eda, para esto podemos complementar\u00a0 la seguridad instalando la herramienta fail2ban la cual examina los logs continuamente y al detectar cierto numero de intentos fallidos bloquea la ip de origen por un tiempo determinado. El sistema que pose\u00eda \u00a0este log no tenia instalada esta herramienta, por esa raz\u00f3n se aprecia gran cantidad de intentos desde mismas ip. cabe destacar que las ip que aparecen son reales y de donde han provenido dichos intentos de login<\/p>\n<p>Otras buenas practicas:<\/p>\n<ul>\n<li>Tener un Cortafuegos con las reglas b\u00e1sicas para dejar los servicios b\u00e1sicos de nuestro sistema inaccesibles desde fuera.<\/li>\n<\/ul>\n<p>Por ejemplo bloqueo de puertos 631\u00a0 (Puerto de escucha de CUPS\u00a0 &#8211; Servidor de impresi\u00f3n en Gnu\/Linux) y 515 ( Cola de impresi\u00f3n)<\/p>\n<ul>\n<li>Si utilizamos SAMBA, es conveniente denegar el acceso desde la interfaz conectada hacia afuera de nuestra red bloqueando el puerto 139 (netbios) y 445 y cualquier otro servicio el cual instalemos en la maquina, por ejemplo herramientas de administraci\u00f3n y control via web, etc<\/li>\n<\/ul>\n<ul>\n<li>La instalaci\u00f3n de servidores FTP es inseguro, ya que la contrase\u00f1a y la data viajan en texto plano por la red y cualquiera con las herramientas adecuadas puede indagar los paquetes que transmitimos o recibimos, e incluso descubrir el usuario y la contrase\u00f1a de acceso y una muy buena opci\u00f3n es nuevamente ssh, y si queremos acceder desde un equipo con win podemos utilizar winscp con \u00a0el cual hacemos transferencias de archivos v\u00eda gr\u00e1fica igualmente que un cliente ftp comun.<\/li>\n<\/ul>\n<p><strong><em>Hay mucha mas datos e informaci\u00f3n la cual ire\u00a0 escribiendo en otros art\u00edculos con temas relacionados, cualquier duda o pregunta comenta!<\/em><\/strong><\/p>\n","protected":false},"excerpt":{"rendered":"<p>A muchos de nosotros nos anima la idea de tener una maquina en casa que funcione como servidor en casa, acceder a nuestros archivos desde cualquier lugar\u00a0 o desde el trabajo es algo que con frecuencia buscamos,\u00a0 en fin es muy \u00fatil y \u00a0a la vez divertido hacerlo lograrlo nosotros mismos En GNU\/Linux esto no [&hellip;]<\/p>\n","protected":false},"author":4,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[18,5],"tags":[],"_links":{"self":[{"href":"https:\/\/blog-j.marcano.net.ve\/index.php\/wp-json\/wp\/v2\/posts\/2153"}],"collection":[{"href":"https:\/\/blog-j.marcano.net.ve\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog-j.marcano.net.ve\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog-j.marcano.net.ve\/index.php\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/blog-j.marcano.net.ve\/index.php\/wp-json\/wp\/v2\/comments?post=2153"}],"version-history":[{"count":21,"href":"https:\/\/blog-j.marcano.net.ve\/index.php\/wp-json\/wp\/v2\/posts\/2153\/revisions"}],"predecessor-version":[{"id":2464,"href":"https:\/\/blog-j.marcano.net.ve\/index.php\/wp-json\/wp\/v2\/posts\/2153\/revisions\/2464"}],"wp:attachment":[{"href":"https:\/\/blog-j.marcano.net.ve\/index.php\/wp-json\/wp\/v2\/media?parent=2153"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog-j.marcano.net.ve\/index.php\/wp-json\/wp\/v2\/categories?post=2153"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog-j.marcano.net.ve\/index.php\/wp-json\/wp\/v2\/tags?post=2153"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}