No hace falta una auditoría completa para elevar de forma significativa la postura de seguridad de un servidor. Estas son las medidas de mayor efecto.
Acceso: eliminar la contraseña como método
El acceso remoto autenticado por contraseña es el vector más explotado en servidores expuestos. Sustituirlo por claves, deshabilitar el acceso directo del usuario administrador y restringir el origen a direcciones conocidas elimina de golpe la mayor parte del ruido de ataque automatizado.
Añadir un segundo factor para las cuentas con privilegios cubre el escenario en que una clave privada se ve comprometida.
Reducir la superficie expuesta
Todo servicio escuchando en una interfaz pública es una puerta. La revisión periódica de qué puertos están abiertos y por qué es una de las tareas de mayor retorno y menor esfuerzo.
Bases de datos, paneles de administración e interfaces de gestión no deberían ser accesibles desde internet: se alcanzan a través de una red privada o un túnel autenticado.
Parches: definir la ventana y cumplirla
No es realista aplicar toda actualización de inmediato, pero sí definir un compromiso explícito: parches de seguridad críticos dentro de un plazo corto y documentado, el resto en una ventana programada.
Las actualizaciones de seguridad automáticas para el sistema base son adecuadas en la mayoría de servidores; los componentes de aplicación conviene actualizarlos con verificación previa en un entorno equivalente.
Registro y detección
Los registros deben salir del servidor hacia un destino centralizado. Un atacante con privilegios puede borrar los registros locales; los ya enviados quedan fuera de su alcance.
Con ese registro centralizado, tres alertas cubren la mayoría de casos: intentos de acceso fallidos en volumen anómalo, uso de escalada de privilegios fuera de horario, y modificación de archivos en directorios que no deberían cambiar.