El hardening es el proceso de reducir la superficie de ataque de sus servidores eliminando todo lo que no es necesario. Esta guía práctica cubre los controles esenciales para ambas plataformas.
Imagine que su servidor es una fortaleza medieval. Cuando sale de fábrica —recién instalado, con configuración predeterminada— esa fortaleza tiene docenas de puertas abiertas, ventanas sin seguro y guardias que usan la misma contraseña para todo. El hardening es el proceso de ir puerta por puerta, ventana por ventana, cerrando todo lo que no se necesita y reforzando lo que sí se usa.
Este proceso no es opcional: es la base de cualquier postura de seguridad seria. Un servidor sin hardening es un servidor que espera ser comprometido.
¿Por qué los servidores recién instalados son inseguros por defecto?
Los sistemas operativos se diseñan para ser funcionales y compatibles con la mayor cantidad de escenarios posibles. Esto significa que vienen con servicios habilitados que quizás usted nunca usará, puertos abiertos, cuentas de usuario predeterminadas y configuraciones optimizadas para comodidad, no para seguridad.
Los atacantes conocen estos valores predeterminados perfectamente. Existen bases de datos públicas con las credenciales y configuraciones por defecto de prácticamente todos los sistemas operativos y aplicaciones del mercado. Un escaneo automatizado puede identificar un servidor sin hardening en segundos y explotar sus configuraciones predeterminadas en minutos.
Hardening en servidores Linux
1. Actualización inmediata del sistema
El primer paso, antes de conectar el servidor a producción, es aplicar todas las actualizaciones de seguridad disponibles. En sistemas basados en Debian/Ubuntu:
apt update && apt upgrade -y && apt dist-upgrade -yEn sistemas basados en RHEL/CentOS/AlmaLinux:
dnf update -yConfigure actualizaciones automáticas de seguridad con unattended-upgrades (Debian) o dnf-automatic (RHEL). Las actualizaciones manuales que "se harán después" son las que nunca se hacen.
2. Gestión de usuarios y privilegios
Deshabilite el login de root por SSH. El usuario root tiene acceso total al sistema y es el objetivo número uno de los ataques de fuerza bruta. Cree un usuario administrador con nombre no predecible y otórguele privilegios sudo:
adduser adminoperaciones
usermod -aG sudo adminoperacionesLuego en /etc/ssh/sshd_config:
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yesUse autenticación por llave pública (SSH keys) en lugar de contraseñas. Una llave criptográfica de 4096 bits es matemáticamente imposible de descifrar por fuerza bruta. Una contraseña, no importa cuán compleja, puede ser comprometida.
3. Firewall con política de denegación por defecto
Configure el firewall del sistema operativo (iptables/nftables o UFW en Ubuntu) con una regla de oro: todo lo que no está explícitamente permitido está prohibido.
ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp comment 'SSH desde IPs autorizadas'
ufw allow 443/tcp comment 'HTTPS'
ufw enableNunca abra el puerto SSH al mundo entero. Restrinja el acceso SSH únicamente a las IPs de su equipo de administración o use una VPN como puerta de entrada obligatoria.
4. Eliminación de servicios innecesarios
Cada servicio activo es una superficie de ataque potencial. Audite qué está corriendo y deshabilite todo lo que no tiene propósito específico:
systemctl list-units --type=service --state=runningServicios comunes que frecuentemente pueden deshabilitarse en servidores de producción especializados: cups (impresión), avahi-daemon (descubrimiento de red), bluetooth, servicios de interfaz gráfica si el servidor es headless.
5. Configuración de auditd para trazabilidad
El subsistema de auditoría de Linux (auditd) registra eventos críticos del sistema: cambios de privilegios, modificaciones de archivos sensibles, intentos de acceso fallidos. Sin esta trazabilidad, si ocurre un incidente usted no podrá determinar qué pasó ni cuándo.
apt install auditd
systemctl enable auditd
systemctl start auditdReglas básicas de auditoría a implementar: monitoreo de /etc/passwd, /etc/sudoers, /etc/ssh/sshd_config, y cualquier directorio de datos sensibles.
6. Fail2Ban: protección automática contra fuerza bruta
Fail2Ban monitorea los logs del sistema y bloquea automáticamente las IPs que realizan múltiples intentos fallidos de autenticación. Es esencial para cualquier servicio expuesto a internet:
apt install fail2ban
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.localConfigure una política que bloquee IPs tras 5 intentos fallidos por 24 horas. Este simple control elimina la gran mayoría de los ataques de fuerza bruta automatizados.
7. Cifrado de particiones y datos en reposo
Si un servidor físico es robado, o si un atacante obtiene acceso a los discos, el cifrado de datos en reposo garantiza que la información no sea legible. Use LUKS para cifrado de particiones en Linux y cifre explícitamente bases de datos y directorios con información sensible.
8. Gestión de parches del kernel con Livepatch
Las vulnerabilidades del kernel son especialmente peligrosas porque afectan a todo el sistema. Servicios como Ubuntu Livepatch permiten aplicar parches críticos del kernel sin reiniciar el servidor, eliminando la excusa de "no puedo reiniciar en producción".
Hardening en servidores Windows Server
1. Windows Update y WSUS
Active las actualizaciones automáticas de seguridad o implemente un servidor WSUS (Windows Server Update Services) para gestionar las actualizaciones de todos sus servidores Windows desde un punto centralizado. Establezca una ventana de mantenimiento mensual para aplicar parches y reinicios programados.
2. Deshabilitar SMBv1 de inmediato
El protocolo SMBv1 es responsable de la propagación de WannaCry y otros ataques devastadores de los últimos años. No existe ninguna razón legítima para tenerlo habilitado en 2026. Deshabilítelo con PowerShell:
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force3. Política de contraseñas robusta vía Group Policy
Configure mediante Group Policy Object (GPO) una política de contraseñas que exija: mínimo 14 caracteres, combinación de mayúsculas, minúsculas, números y símbolos, historial de las últimas 12 contraseñas para evitar reutilización, bloqueo de cuenta tras 5 intentos fallidos.
4. Privilegio mínimo con Active Directory
Aplique el principio de mínimo privilegio: cada usuario y cada aplicación debe tener únicamente los permisos que necesita para su función específica, y nada más. Las cuentas de servicio deben ser cuentas de servicio administradas (gMSA), no cuentas de usuario normales con la contraseña guardada en texto plano en un script.
5. Windows Firewall con reglas estrictas
El Firewall de Windows Defender debe estar activo en todos los perfiles (Dominio, Privado, Público) con política de denegación por defecto para tráfico entrante. Documente y justifique cada excepción. Un firewall con 50 reglas de "permitir todo" es equivalente a no tener firewall.
6. BitLocker para cifrado de volúmenes
Active BitLocker en todos los volúmenes de datos. Almacene las llaves de recuperación en Active Directory y en un lugar seguro fuera del servidor. En entornos virtualizados, considere que el hipervisor también necesita sus propios controles de cifrado.
7. Auditoría y Event Viewer
Configure la política de auditoría de Windows para registrar: inicios y cierres de sesión, cambios en políticas de seguridad, uso de privilegios elevados, acceso a objetos sensibles. Integre estos logs con una solución SIEM o al menos con un servidor de logs centralizado que preserve los registros por un mínimo de 90 días.
8. PowerShell Constrained Language Mode
Los atacantes aman PowerShell porque es poderoso, nativo y frecuentemente no es bloqueado por los controles de seguridad. Configure PowerShell en Constrained Language Mode y habilite el logging completo de todos los scripts ejecutados. Cualquier intento de ejecutar código malicioso quedará registrado.
9. Deshabilitar RDP si no es estrictamente necesario
El Protocolo de Escritorio Remoto (RDP) en el puerto 3389 es uno de los vectores de ataque más explotados globalmente. Si su operación no requiere acceso remoto gráfico, deshabilítelo. Si lo requiere, restrinja el acceso únicamente a través de VPN y habilite autenticación multifactor obligatoria.
Controles comunes a ambas plataformas
Gestión de vulnerabilidades continua
El hardening inicial no es un evento único: es el punto de partida. Implemente escaneos de vulnerabilidades periódicos (mínimo mensuales) con herramientas como OpenVAS o soluciones comerciales equivalentes. Cada escaneo debe generar un informe de remediación con plazos definidos.
Gestión de accesos privilegiados (PAM)
Las cuentas de administrador son el objetivo más valioso para un atacante. Implemente una solución de Privileged Access Management que rotación automática de contraseñas de cuentas privilegiadas, grabación de sesiones de administración, y alertas en tiempo real cuando una cuenta privilegiada realiza acciones inusuales.
Inventario actualizado de activos
No se puede proteger lo que no se conoce. Mantenga un inventario actualizado de cada servidor, su función, los servicios que corre, quién lo administra y cuándo fue el último ciclo de actualización y revisión de seguridad.
El hardening como proceso, no como proyecto
El error más costoso en hardening es tratarlo como un proyecto con fecha de inicio y fin. Las amenazas evolucionan, los sistemas se actualizan y las configuraciones cambian. El hardening debe ser un proceso continuo con revisiones periódicas, documentado en una línea base de configuración segura que se audita regularmente.
Implementar esta guía no elimina el 100% del riesgo —ningún control lo hace— pero reduce dramáticamente la superficie de ataque de sus servidores y convierte a su infraestructura en un objetivo mucho menos atractivo para los atacantes automatizados que representan la gran mayoría de las amenazas actuales.
En Structa Defense, ofrecemos servicios de hardening y revisión de configuración segura para infraestructuras Linux y Windows, con entregables documentados y alineados a los marcos NIST y CIS Benchmarks. Su defensa, nuestra estructura.
Artículos relacionados
¿Te resultó útil este artículo? Consulta la guía completa de servicios de ciberseguridad para empresas o solicita una evaluación gratuita del estado de seguridad de tu empresa.