Esta es una guía que he desarrollado para un cliente, por lo tanto hay aspectos que se adaptan a sus necesidades (como iptables). Pero ha grandes rasgos puede ser utilizada en cualquier ámbito. También he desarrollado un script modular que automatiza todo el proceso, para más información ir a este post: Script modular para el bastionado de GNU/Linux

1.     Principios genéricos

A la hora de instalar, configurar y administrar un servidor, se debe:

• Cifrar todos los datos que se transmiten a través de la red, son particularmente importante los datos relativos a nombres de usuario y contraseñas
• Minimizar la cantidad de programas y servicios instalados y en ejecución para minimizar el riesgo potencial ante vulnerabilidades
• Utilizar medidas de seguridad adicionales como: SELinux, IPtables, Apparmor
• Auditar los elementos críticos y/o de mayor riesgo de cada servidor
• Minimizar la instalación de varios servicios en un mismo servidor, para reducir el riesgo de que un servicio comprometido afecte a otros servicios
• Realizar un buen seguimiento de las cuentas de usuario, crear una política de contraseñas sólida y forzar su uso así como eliminar las cuentas de usuarios innecesarias o que ya no se utilicen
• Revisar los logs de sistema y de aplicación de manera rutinaria. Enviar los logs a un servidor de logs
• Evitar el inicio de sesión con el usuario root. Los administradores deben usar el comando sudo para ejecutar comandos como root. Utilizar el comando visudo para editar el archivo /etc/sudoers, este comando comprueba la sintaxis del archivo antes de guardarlo
• Utilizar la metodología del menor privilegio en todos los ámbitos

2.     Instalación básica

2.1.    Entorno de instalación seguro

El entorno ideal sería instalar el SO desde DVD sin que esté conectado a la red hasta que se hayan completado los pasos de esta guía, sin embargo habrán ocasiones en las que esto no sea posible, en esos casos se debe asegurar que:

• El servidor debe estar protegido por un cortafuegos (Firewall)
• No debe ser accesible desde Internet
• No debe tener acceso a Internet, los parches de actualizaciones se instalarán desde un repositorio interno
• Si existe algún servidor comprometido en el mismo segmento de red, no se debe realizar la instalación hasta que se haya solucionado la incidencia o se desconecte de la red el servidor comprometido o el servidor a instalar

2.2.    Particionado

Se deben mantener en particiones independientes los directorios en los que pueden escribir los usuarios, esto evita, entre otras cosas, la creación de links duros (hardlink) a programas con el setuid activado y permite un control granulado de las opciones de mount, además las particiones deben realizarse sobre LVM (gestor de volúmenes lógicos) sobre ext4 de esta forma su tamaño puede variar en caliente sin ser necesario desmontar la partición ni mover datos o apagar el servidor. Se deben asignar los privilegios mínimos a través de las opciones de mount:

• Noexec en todo lo posible (evita la ejecución de binarios, aunque no de scripts)
• Nodev en todos los puntos de montaje excepto en la raíz “/” o “/dev” (evita el uso de dispositivos en el punto de montaje)
• Nosetui en todos los puntos de montaje excepto en la raíz “/” (previene el uso del bit setuid en el punto de montaje)
• Monta /var/tmp con la opción bind a /tmp o crea un enlace simbólico

En el archivo /etc/fstab se suele utilizar la opción defaults que equivale a las opciones: rw, suid, dev, exec, auto, nouser y async (Estas opciones pueden variar según la distribución utilizada, para más información ejecuta man fstab y localiza la descripción de las opciones incluidas por la opción defaults.)

Es importante crear una partición exclusiva para /var/log/audit

Un archivo /etc/fstab de ejemplo:

2.3.    Instalación de paquetes imprescindibles del sistema

Se debe realizar una instalación del sistema base, sin seleccionar ningún grupo de paquetes durante la instalación, e instalar a posteriori los paquetes requeridos. De esta forma evitamos que se instalen programas, librerías o extensiones que no hagan falta.

Sigue el asistente de instalación hasta que llegues a las siguientes pantallas:

RedHat

Seguir la instalación hasta el selector de grupos de paquetes

Donde debes seleccionar la opción Mínimo (Minimal en inglés)

Debian

Seguir la instalación hasta la pantalla de Selección de software

Donde debes seleccionar la opción de sistema estándar (Standard System en inglés)

2.4.    Política de robustez en las contraseñas

Hay que asegurar que se cumplen los requisitos de la política de contraseñas de la organización a fin de dificultar ataques de:

• Predicción
• Diccionario
• Fuerza bruta

2.5.    Configuración de las interfaces de red (NIC)

No se debe utilizar DHCP para realizar la configuración de las interfaces de red. Esto evita el riesgo de posibles vulnerabilidades en el protocolo y de ser susceptibles a un ataque de carrera por un servidor DHCP malicioso

Estos son los pasos a seguir si el sistema ya está instalado y usa DHCP:

RedHat

Hay que ejecutar el comando

Y seguir los pasos del asistente Configuración del dispositivo > (interfaz deseada y especificar los parámetros de conexión, debe ser algo parecido a esto

Debian

Hay que editar el archivo /etc/network/interfaces cuyo contenido para la interfaz eth0 y el ejemplo anterior sería este:

Los DNS hay que especificarlos en el archivo /etc/resolv.conf

3.     Protección de la red

La estrategia a seguir para la configuración de red es:

• Minimizar los protocolos utilizados
• Minimizar las direcciones de red a las que escucha el servidor
• Minimizar los puertos en los que escucha el servidor

Seguir los siguientes pasos

3.1.    Parámetros de sistema que mejoran la seguridad en las comunicaciones

Linux permite su configuración mediante parámetros de control del sistema (sysctl). Se utilizarán algunos de ellos para proteger al sistema ante situaciones que introducen riesgo en las comunicaciones. El archivo /etc/sysctl.conf debe contener las siguientes líneas:

4.     Sincronización de la fecha y hora

A la hora de investigar acciones que suceden en más de una máquina, es necesario que sus tiempos estén sincronizados, hay que configurar un servidor de tiempo que sea el mismo para todos los servidores. Para configurar un servidor de tiempo hay que seguir estos pasos

5.     Verificar los permisos de algunos archivos importantes

Hay que verificar los permisos de los archivos: passwd, shadow, group y gshadow mediante los comandos. Si en la instalación por defecto estos archivos tienen permisos más restrictivos, no deben modificarse.

6.     Control de acceso

Debe evitarse el uso del usuario root en favor del comando sudo ya que el usuario root es compartido restando sentido al auditado del sistema.

Las acciones a realizar son las siguientes:

• Impedir el inicio de sesión al usuario root tanto en local como en remoto
• La limitación del uso del comando su,
• La configuración de sudo para mejorar el auditado del acceso como root
• Que cada administrador tenga su usuario y no lo comparta nunca
• Reemplazar el algoritmo MD5 por SHA512 para los hashes de las contraseñas
• Impedir el uso de contraseñas antiguas y realizar varias comprobaciones para asegurar que la nueva contraseña diverge suficiente de la antigua (pam_unix)

Los pasos a seguir son:

1-      Ejecutarel siguiente comando para cada usuario que requiera privilegios de administrador

Donde usuario es el nombre de usuario de cada administrador.

2-      Editar el archivo /etc/pam.d/su y asegurarse de que contiene la línea

3- Limitar el uso de sudo a miembros de un grupo de administradores, editando el archivo /etc/sudoers mediante el comando visudo (este comando comprueba la sintaxis del archivo antes de guardarlo) y asegurarse de que contiene la línea

A partir de ahora todos los usuarios que requieran la ejecución de los comandos su y sudo deben ser miembros del grupo wheel o adm según la distribución.

4- Desactivar el inicio de sesión local al usuario root. Editar el archivo /etc/shadow y sustituir el campo de la contraseña de root por un ! los dos primeros campos de la línea deben ser iguales a los de la siguiente línea.

5- Mejorar el sistema de contraseñas: hash, recordar contraseñas antiguas y realizar comprobaciones a las nuevas cuando se cambie una de ellas. Editar el archivo /etc/pam.d/system-auth (en RedHat) o /etc/pam.d/common-password (en Debian) y asegurarse de que contiene la línea

Editar el archivo /etc/login.defs y asegúrar que contiene las siguientes líneas

En RedHat el archivo /etc/libuser.conf debe contener la línea

También puede ser interesante el uso de algunos módulos pam (plugable authentication modules):

• Pam_tally2 desactiva una cuenta de usuario tras varios intentos consecutivos de autenticación fallidos
• Pam_limits limita el número de sesiones concurrentes
• Pam_inicio de sesiónuid impide el inicio de sesión si no está iniciado el servicio de auditoría auditd
• Pam_access impide el inicio de sesión por origen, consola o cuenta de usuario
• Pam_time impide el inicio de sesión por horario

6.1.    Establecer el mensaje corporativo de inicio de sesión

Todos los servidores corporativos deberán  mostrar el siguiente mensaje cuando un usuario intente iniciar sesión en ellos

AGREGAR AQUÍ EL TEXTO DESEADO
Para configurarlo copiar el texto en el archivo /etc/motd

6.2.    Crear usuarios sin SHELL o inicio de sesión

En determinadas circunstancias es útil tener usuarios que puedan iniciar sesión pero no tengan acceso a una SHELL, por ejemplo para usuarios de FTP. Para crear usuario sin Shell hay que ejecutar el comando

Donde -M indica que no se creará el directorio HOME del usuario, si es necesario que tenga HOME hay que quitar este parámetro del comando, y -s indica la SHELL que se le asigna al usuario, al especificar /sbin/nologin se asigna una SHELL que impide el inicio de sesión en el sistema

7.     Enviar los registros del sistema (logs) a un servidor remoto

El envío de logs a un servidor remoto evita el borrado de evidencias en caso de que un ataque exitoso consiga acceso root o con privilegios suficientes para modificar logs

En caso de usar syslogd el archivo /etc/syslog.conf debe contener la siguiente línea

Si se ha denegado la salida del tráfico mediante reglas de iptables habrá que permitir la salida al puerto 514 UDP mediante el comando

En caso de usar rsyslogd el archivo /etc/rsyslogd.conf debe contener la siguiente línea

Si se ha denegado la salida del tráfico mediante reglas de iptables habrá que permitir la salida al puerto 514 TCP mediante el comando

NOTA: Si el puerto utilizado para rsyslog no es el 514 o el 6514, en RedHat se debe permitir el uso del puerto al binario rsyslog desde las políticas de SELinux.

8.     At y Cron

Permitir el uso de cron y at tan solo al usuario root ejecutando los siguientes comandos

9.     SSHD

Para mejorar la  seguridad del servicio SSH se deben realizar las siguientes acciones:

• Permitir tan solo el protocolo ssh2
• Si el servidor tiene más de una IP pensar bien en cuantas debe escuchar
• Impedir el inicio de sesión como root
• Impedir el uso de contraseñas en blanco
• Impedir el uso de autenticación basada en host
• Establecer un límite de tiempo para el inicio de sesión
• Establecer un número máximo de intentos antes de bloquear la sesión
• Establecer un tiempo de sesión inactiva a 5 minutos
• Ignorar los archivos rhosts y shosts
• Limitar el  inicio de sesión a un grupo de usuarios del sistema
• Separar los privilegios de los procesos de SSH
• Configurar el mensaje de inicio de sesión

Editar el archivo /etc/ssh/sshd_config y asegurarser de que contiene las líneas

Donde ip_del_servidor es la dirección ip en la que escuchará el servicio SSH, la dirección  para que escuche en todas es es 0.0.0.0, aunque no es lo recomendable.

Para configurar el mensaje de inicio de sesión hay que editar el archivo /etc/ssh/ssh_banner e insertar el texto

AGREGAR AQUÍ EL TEXTO DESEADO

10.  Auditar el sistema

El auditado del sistema es una herramienta muy potente, pero que mal utilizada puede volver inservible el servidor más potente, así que hay que utilizarla con precaución y planificación. Los pasos genéricos que debemos seguir son:

• Instalar el paquete auditd
• Localizar los archivos críticos y/o de mayor riesgo para los servicios que ofrece el servidor
• Configurar auditd para que se inicie junto al sistema
• Configurar el núcleo para que audite procesos que se inician antes que el servicio auditd
• Añadir los archivos críticos al servicio auditd

Al configurar auditd hay que:

• Tener /var/log/audit en su una partición propia
• Ajustar max_log_file y num_logs para que usen el máximo posible del espacio de la partición de logs
• Ajustar space_left de forma que permita al administrador tener tiempo para liberar espacio ante una alerta de poco espacio disponible
• En el caso de que se llene el disco se ejecutará la acción definida por disk_full_action, todos los accesos deben ser terminados ya que no hay capacidad de auditar

Una vez instalado y configurado hay que revisar el resultado del comando aureport regularmente

Para instalar y arrancar auditd durante el inicio del sistema ejecutar estos comandos

yum install auditd

chkconfig auditd on

apt-get install auditd

update-rc.d auditd default

Una vez obtenido el listado de los archivo a auditar hay que agregarlos al archivo /etc/audit/audit.rules

-w ruta_completa_del_archivo -p permisos -k palabra_clave

Debe existir una línea de este tipo para cada archivo a auditar. Debe existir una partición independiente para los logs de auditd, si no existe añádela y asegúrate que esté montada en /var/log/audit mediante el comando

Editar el archivo /etc/audit/auditd.conf y asegurarse de que:

• La multiplicación de max_log_file * num_logs es menor que el tamaño de la partición de /var/log/audit o de la partición que contenga el punto de montaje /var
• El valor de space_left no sea demasiado bajo y permita un tiempo razonable para intervenir en caso de fallo en la rotación de logs
• Establecer la acción a realizar en caso de que se llene la partición de logs de audit mediante la variable disk_full_action, los valores más interesantes son:
  • halt: apaga el servidor
  • suspend: auditd deja de agregar datos a los logs
  • syslog: inserta un mensaje de alerta en los logs del sistema

Para auditar los procesos que se inician antes del servicio auditd, hay que modificar las opciones de inicio del núcleo editando las opciones del gestor de arranque GRUB, en RedHat y Grub1 hay que editar el archivo /etc/grub.conf y asegurarse de que la línea del kernel contiene la variable audit=1, ejemplo:

En Debian y Grub 2 hay que editar el archivo /etc/default/grub y asegurarse de que existe la siguiente línea:

GRUB_CMD_LINUX_DEFAULT=”quiet splash audit=1”

Una vez editado este archivo hay que ejecutar el comando

grub-mkconfig

A partir de aquí hay que familiarizarse con el comando aureport y ejecutarlo con regularidad

11.  Mantener el sistema actualizado

Hay que asegurar que los servidores cumplen con la política de aplicación de actualizaciones de la compañía

12.  Deshabilitar los dispositivos innecesarios

Si existen dispositivos que no van a ser utilizados la mejor opción es desactivarlos para prevenir posibles errores en sus módulos, también hay que desactivar el soporte a medios extraíbles (usb, firewire). Para ello se deben desactivar los dispositivos innecesarios impidiendo la carga de su módulo por parte del SO

Ejecutarlos comandos

lspci –v

lsusb

….

….

….

:e para el eventoegore.chivos tienen permisos restrictivosEstudiar su resultado y decidir qué dispositivos son innecesarios. localizar sus módulos y agrégarlos, uno por línea, al archivo /root/rmmodules, ahora ejecutar el comando

Este comando desactiva la carga automática de los módulos pero no impide que se puedan cargar manualmente, para evitar su carga manual la mejor opción es eliminar los módulos, para eso ejecutar el comando

mkdir /root/modulos-innecesarios && for module in $(cat /root/rmmodules); do ruta=$(find /lib/modules/$(uname -r) -name $module\*) && mv $ruta /root/modulos-innecesarios && echo $ruta >> /root/modulos-innecesarios/rutas.txt; done

Este comando mueve los módulos al directorio /root/modulos-innecesarios una vez se esté seguro de que los módulos no son necesarios se puede eliminar.

13.  Deshabilitar servicios innecesarios

La mayoría de instalaciones tendrán servicios instalados que no sean necesarios, esto se debe a que se adaptan a un público genérico, pero si el servidor cumple una función específica no los necesitará. También podemos encontrar servidores antiguos que tengan instalados servicios obsoletos y cuyo uso es totalmente desaconsejable. Hay que localizar todos los servicios que existen en el servidor y eliminar los que no necesitemos, en caso de duda no hay que eliminar el servicio.

Algunos servicios que no deben existir en ningún caso son:

• rlogin, rsh, rexec, rcp…: Usar ssh en su lugar
• talk

Ejecutar el comando

Los siguientes servicios deben sustituirse por sus homólogos más seguros:

• telnet: Usar ssh en su lugar
• ftp, tftp: Usar sftp o ftps en su lugar, en el caso de necesitar tftp y no se pueda limitar su uso por IP intentar que tan solo esté activo el tiempo necesario para realizar la tarea requerida
• NIS: Usar openLDAP o Fedora directory server
• Anacron: usar cron nativo
• Inetd: si es posible no utilizar ninguno de estos servicios, ni no usar xinetd

14.  Desactivar el bit SUID y SGID en el máximo de programas

El uso de estos permisos es tan necesario como potencialmente peligroso, así que hay que buscar los binarios que existen en el sistema con este bit establecido y eliminarlo de todos los que sea posible, para encontrar estos ejecutables hay que ejecutar el comando:

 y para desactivar este permiso se ejecuta el comando:

Algunos ejecutables en los que se puede desactivar a no ser que se sea necesaria su función son:

15.  Asegurar la máquina físicamente

Para reducir la capacidad de acción en el caso de conseguir acceso físico al servidor se debe:

• Desactivar el arranque desde cualquier dispositivo excepto el disco duro que contiene el SO
• Establecer una contraseña para acceder a la BIOS
• Proteger el gestor de arranque GRUB mediante contraseña
• Deshabilita el arranque interactivo en el caso de que la distribución lo soporte
• En caso de que el servidor disponga de ILO o similar hay que configurarla en una VLAN propia que se utilice exclusivamente para gestión, si no se va a utilizar la ILO hay que desactivarla desde la BIOS

A parte de las acciones que se realicen desde la BIOS hay que seguir los siguientes pasos

1

Ejecutarel comando

grub-md5-crypt 

Indicar la contraseña elegida y repetirla. Editar el archivo

/etc/grub.conf

Y asegúrarse de que existe, y no está comentada, la línea

password --md5 password-hash-del-paso-anterior

Ejecuta

chmod 600 /boot/grub/grub.conf

Ejecutarel comando

grub-mkpasswd-pbkdf2

Copiar a partir de grub.pbkdf2…

Editar el archivo

/etc/grub.d/01_user_logins

Y añadir las líneas

cat<<EOF

set superusers=”bootadm”

password_pbkdf2 bootadm grub.pbkdf2…

EOF

Ejecutar los comandos:

chmod 700 / etc/grub.d/01_user_logins

2

Editar el archivo

/etc/sysconfig/init

Y asegurarse de que existe, y no está comentada, la línea

PROMPT=no

16.  SELinux y Apparmor

Tanto SELinux como Apparmor mejoran la seguridad de Linux implementando control de acceso obligatorio (MAC) limitando de esta manera el poder del usuario root y mejorando el detalle de los privilegios que se le pueden asignar a los procesos. Las distribuciones basadas en RedHat tienen SELinux configurado y activado por defecto, mientras que Ubuntu tiene Apparmor. No se deben desactivar estos sistemas de seguridad

Para comprobar que SELinux está activado ejecutar el comando

Si no devuelve ningún resultado es que SELinux está desactivado, para activarlo se deben seguir estos pasos

Editar el archivo

/etc/selinux/config

Y Asegurarse de que contiene la línea

SELINUX=enforcing

Asegurarse de que en el archivo

/etc/grub.conf

Ninguna línea de kernel contenga alguno de estos argumentos

enforcing=0

Estos valores NO deben existir

17.  Habilitar la comprobación de integridad

Tener una buena política de comprobación de integridad facilita enormemente la tarea de localizar el punto de entrada de un ataque así como los archivos modificados o a los que han tenido acceso. Utilizaremos las herramientas:

• Amtu (Abstract Machine Test Utility): Realiza comprobaciones de seguridad en CPU, HD, red y memoria
• Aide: Utilidad para la comprobar la integridad de archivos

Sigue estos pasos

apt-get install amtu

Editar el archivo

/etc/crontab

Y asegurarse de que existe, y no está comentada, la línea

23 6 * * 1 root $(which amtu) -msinp

yum insall aide

apt-get install aide

Editar el archivo

/etc/aide.conf

Y adaptarlo a las necesidades específicas

/usr/sbin/aide --init

Copiar los archivos:

/var/lib/aide/aide.db.new.gz

/etc/aide.conf

/usr/sbin/aide

A un medio de solo lectura o que no esté conectado a la red ni a un servidor de forma permanente