# Una base de endurecimiento de Linux VPS que puede mantener | SwissOctet Insights https://swissoctet.com/es/insights/linux-vps-hardening-baseline/ SwissOctet / Perspectivas / Operaciones del día dos Operaciones del día dos Aplicado · 6 min de lectura Una base de endurecimiento de Linux VPS que pueda mantener Administre de forma segura, exponga solo los servicios necesarios y establezca actualizaciones y recuperación sin quedarse fuera. Por SwissOctet Editorial Guardar guía Copiar enlace EN ESTA PÁGINA 01 Establezca un punto de partida de confianza 02 Haga deliberado el acceso a SSH 03 Exponga la aplicación, no toda la máquina 04 Planifique las actualizaciones como un proceso operativo 05 Restrinja el acceso a la aplicación y proteja la recuperación 06 Una secuencia de primer despliegue que se mantiene revisable Su lista de verificación práctica Fuentes y lecturas adicionales Volver a la biblioteca LA RESPUESTA DIRECTA Comience con acceso verificado y una ruta de recuperación y, después, configure la administración individual, claves SSH probadas, un cortafuegos restrictivo, software mantenido y copias de seguridad independientes. Aplique los cambios de forma incremental y verifique una sesión nueva antes de cerrar la anterior. 01 Establezca un punto de partida de confianza Antes de cambiar la máquina, confirme el sistema operativo previsto, el método de acceso y la ruta de recuperación. Verifique la identidad del host SSH a través de la información aprobada por el operador en lugar de aceptar una clave inesperada sin investigarla. Mantenga privadas las credenciales temporales y sustitúyalas mediante el proceso previsto. Registre qué persona es responsable del mantenimiento y qué opciones de recuperación están realmente disponibles para este servicio. Mantenga abierta una sesión de administración funcional mientras realiza cambios de acceso. Una receta de endurecimiento copiada puede eliminar el único inicio de sesión utilizable cuando presupone una distribución o una disposición de cuentas diferentes. Aplique un cambio a la vez, compruebe su resultado efectivo y conserve una ruta de vuelta. El objetivo es un sistema que pueda mantener de forma segura, no una configuración que parezca estricta pero no pueda administrarse. 02 Haga deliberado el acceso a SSH Cree acceso administrativo individual con el privilegio adecuado en lugar de compartir un único inicio de sesión root permanente. Instale y pruebe la clave pública prevista, manteniendo la clave privada en el endpoint autorizado. La documentación de Ubuntu OpenSSH explica la configuración del servidor y las opciones de autenticación. Lea la configuración efectiva de su distribución, incluidos los archivos incluidos, antes de asumir que editar una sola opción ha cambiado todo el servicio. Pruebe el acceso por clave a través de una segunda sesión antes de cambiar la autenticación por contraseña o las reglas de inicio de sesión privilegiado. Asegúrese de que la nueva cuenta pueda realizar la administración que necesita. Revise cualquier automatización que dependa del método anterior y reemplace su acceso de forma deliberada. Una clave es una credencial de acceso, así que use una ubicación de almacenamiento privada y un proceso de rotación en lugar de dejar copias dentro de los directorios de la aplicación. 03 Exponga la aplicación, no toda la máquina Inventaríe los servicios en escucha e identifique cuáles deben ser públicos. Una aplicación web puede necesitar HTTP y HTTPS, mientras que su base de datos puede permanecer accesible solo a través de la ruta interna prevista. Ubuntu documenta UFW como herramienta de configuración de firewall, pero la política útil es independiente de la herramienta: permita el tráfico requerido y restrinja la administración a las fuentes aprobadas cuando sea práctico. Compruebe los controles tanto a nivel de host como de proveedor si el servicio los incluye. Antes de habilitar un conjunto de reglas restrictivas, permita la ruta de administración probada y verifique el acceso desde otra sesión. No asuma que mover SSH a un puerto diferente reemplaza la autenticación o el parcheo. Mantenga las reglas de firewall comprensibles para que la resolución de problemas futura no lleve a abrir todos los puertos como solución alternativa. Cambio Comprobar antes de aplicar Comprobar después Nueva clave SSH Cuenta y clave pública correctas La segunda sesión autenticada por clave funciona Firewall restringido Rutas de servicio y recuperación requeridas La aplicación pública funciona; los puertos no previstos están cerrados Actualización de software Implicaciones de copia de seguridad y reinicio Los servicios se reinician y las pruebas de la aplicación pasan Cambio de permisos del servicio Rutas de lectura y escritura requeridas La aplicación funciona sin un acceso más amplio al sistema 04 Planifique las actualizaciones como un proceso operativo Mantenga el sistema y las dependencias de la aplicación actualizados. La guía de actualizaciones automáticas de Ubuntu describe las actualizaciones desatendidas, los orígenes permitidos y el comportamiento de reinicio. Un repositorio de terceros no queda cubierto automáticamente solo porque se haya añadido a la máquina. Revise qué incluye realmente el proceso de actualización configurado y dé a las aplicaciones instaladas por separado su propia ruta de mantenimiento. Decida cómo se gestionarán los reinicios de servicios y los reinicios del sistema. Aplicar una actualización de paquete no siempre significa que todos los procesos en ejecución estén usando el nuevo código. Use una ventana de mantenimiento cuando la carga de trabajo lo requiera y realice una comprobación sencilla de la aplicación después. Si un paquete necesita pasos de migración manuales, documéntelos en lugar de deshabilitar todas las actualizaciones indefinidamente y olvidar la exposición resultante. 05 Restrinja el acceso a la aplicación y proteja la recuperación Ejecute los servicios con los permisos que necesitan y separe el contenido público de los secretos y los metadatos de despliegue. Un proceso web no debería poder reescribir cada configuración del sistema. Mantenga los secretos de entorno fuera de los directorios servidos públicamente y evite incluirlos en registros, exportaciones de soporte o copias de seguridad generales sin una política de protección intencionada. Elimine los paquetes y servicios no utilizados cuando no tengan ningún propósito operativo. Mantenga una copia de seguridad independiente y pruebe la restauración de la aplicación en un entorno aislado. Restrinja las credenciales de copia de seguridad para que una aplicación comprometida no pueda eliminar automáticamente todas las copias de recuperación. Supervise la capacidad del disco, la antigüedad de las copias de seguridad y los fallos de servicio. El registro debe responder a preguntas operativas definidas, con acceso y retención controlados; no debe convertirse en una copia ilimitada de solicitudes sensibles. 06 Una secuencia de primer despliegue que se mantiene revisable Para un nuevo VPS, primero verifique el acceso y la recuperación, luego establezca la cuenta administrativa y la clave probada. Configure el firewall, aplique las actualizaciones y despliegue la aplicación bajo su cuenta de servicio prevista. Confirme el comportamiento público desde otro entorno, compruebe que los archivos privados no se puedan recuperar y realice una restauración de copia de seguridad. Mantenga notas sobre cada decisión y la ruta para revertir un cambio de acceso. Vector VPS, Pulse NVMe y determinados planes dedicados presentan opciones de Linux en el catálogo de SwissOctet. Confirme la imagen elegida y el reparto del trabajo de mantenimiento antes de realizar el pedido. Ningún nombre de imagen de Linux demuestra que el endurecimiento, las actualizaciones o las copias de seguridad ya estén gestionados. La línea base es el conjunto de controles que usted configura, verifica y sigue manteniendo a medida que el proyecto cambia. CONVIÉRTALO EN ACCIÓN Su lista de verificación práctica. ✓ Verifique la identidad del host SSH y la ruta de recuperación. ✓ Pruebe el acceso individual por clave en una segunda sesión. ✓ Restrinja los servicios en escucha y las reglas de firewall. ✓ Revise la cobertura de actualizaciones y el comportamiento de reinicio. ✓ Separe los secretos de los archivos públicos y los permisos de servicio. ✓ Pruebe una copia de recuperación independiente. Descargar lista de verificación PREGUNTAS FRECUENTES Los detalles que importan. ¿Debo deshabilitar el inicio de sesión por contraseña de inmediato? + Primero establezca y pruebe el acceso por clave de reemplazo y la ruta de recuperación. Después cambie la autenticación según su configuración compatible. ¿Un cambio de puerto de SSH reemplaza el endurecimiento? + No. No reemplaza la autenticación fuerte, el acceso restringido, las actualizaciones ni el privilegio de cuenta adecuado. ¿Bastan las actualizaciones automáticas para todas las aplicaciones? + No. Compruebe los repositorios permitidos, los requisitos de reinicio y el software instalado fuera del proceso de actualización del sistema. REFERENCIAS PRINCIPALES Vaya a la fuente. Estas referencias respaldan los conceptos técnicos de esta guía. Consulte la documentación actual antes de cambiar un sistema de producción. Servidor Ubuntu: servidor OpenSSH ubuntu.com Servidor Ubuntu: firewalls ubuntu.com Servidor Ubuntu: actualizaciones automáticas ubuntu.com Orientación editorial de SwissOctet. Los ejemplos son ilustrativos. Las especificaciones del servicio, las opciones disponibles y las condiciones contractuales deben verificarse por separado. CONECTE EL CONOCIMIENTO Infraestructura relacionada. Vector VPS Suiza Pulse NVMe Suiza Metal EPYC Suiza MANTENGA EL HILO Sus próximas notas de campo. Explore todas las guías NOTA DE CAMPO / 01 + Operaciones del día dos Aplicado Cree una copia de seguridad que realmente pueda restaurar Elija un objetivo de recuperación, proteja una copia independiente y practique la restauración antes de que un incidente fuerce la situación. 4 min de lectura Lea la guía NOTA DE CAMPO / 02 + Operaciones del día dos Aplicado Un modelo de amenazas práctico para su proyecto alojado Trace activos y límites de confianza, elija algunos escenarios de fallo realistas y conviértalos en controles que pueda probar. 6 min de lectura Lea la guía NOTA DE CAMPO / 03 + Operaciones del día dos Aplicado Administración segura de Windows RDP sin perder el acceso Separe la accesibilidad de red, la autenticación y los privilegios, y luego verifique una ruta de recuperación antes de restringir el acceso remoto. 6 min de lectura Lea la guía