La superficie de ataque, punto por punto
Cada servicio de más, cada permiso de sobra y cada secreto mal guardado es una puerta. Las cierro.
SSH y accesos
Claves en vez de contraseñas, root sin acceso directo, 2FA donde toca y bloqueo de fuerza bruta. El punto más atacado del servidor.
Firewall y exposición
Firewall (nftables) con política restrictiva, y solo los puertos imprescindibles abiertos. Paneles y servicios de gestión, fuera de internet.
Mínimo privilegio
Usuarios y procesos con lo justo para funcionar, nada más. Si algo cae, el daño queda contenido.
Actualizaciones
Actualizaciones de seguridad al día y automatizadas donde se puede, para cerrar vulnerabilidades conocidas antes de que las usen.
Gestión de secretos
Contraseñas, claves y tokens fuera del código y de los ficheros de configuración, con permisos y rotación.
Contenedores
Imágenes mínimas, contenedores sin privilegios, límites de recursos y secretos bien inyectados. Docker mal montado es una vía de entrada.
Con acceso acordado y cambios reversibles
Revisión
Con acceso acordado, reviso la configuración actual contra buenas prácticas reconocidas (CIS) y anoto qué conviene cambiar y con qué prioridad.
Endurecimiento
Aplico los cambios de forma ordenada y reversible, sin interrumpir el servicio, dejando todo documentado por si hay que volver atrás.
Verificación
Compruebo que la superficie se ha reducido y que nada legítimo se ha roto. Terminas con un sistema más difícil de atacar y documentado.
Un sistema más duro y documentado
- Revisión de la configuración frente a buenas prácticas reconocidas (CIS), priorizada por riesgo.
- Cambios aplicados de forma ordenada y reversible, sin cortar el servicio.
- Documentación de qué se cambió y por qué, para que tu equipo lo mantenga.
- Gestión de secretos y de actualizaciones dejada en orden y sostenible.
- Re-test al terminar: evidencia de que la superficie de ataque se ha reducido.
El blindaje de la parte interna
El hardening es la pata de "blindaje" del Nivel 2: no solo encontrar los fallos, sino dejar el sistema endurecido.
Lo que suelen preguntarme
¿Vais a tocar mi servidor en producción?
Solo con acceso acordado por escrito y de forma reversible. Los cambios se hacen de manera ordenada, documentando cada paso, y siempre con la posibilidad de volver atrás si algo no encaja con tu operativa.
¿Necesito parar mi servicio durante el hardening?
En general no. La mayoría de cambios se aplican sin interrupción. Si alguno requiere un reinicio o una ventana, se acuerda contigo de antemano.
Trabajo con Docker, ¿también lo cubrís?
Sí. Reviso imágenes, privilegios de los contenedores, redes, límites de recursos y gestión de secretos. Un Docker mal configurado es una vía de entrada frecuente.
¿Qué estándar seguís?
Me apoyo en buenas prácticas reconocidas (CIS Benchmarks) adaptadas a tu caso, en vez de aplicar una lista genérica a ciegas.
¿Endurecemos tus sistemas?
Déjame tu email o tu teléfono y vemos por dónde reducir tu superficie de ataque. La primera toma de contacto es gratis y sin compromiso.
Te respondo en menos de 24 h.
Al enviar aceptas el tratamiento de tus datos según la política de privacidad.