Hardening Avanzado en Linux: Arquitectura de Seguridad Defensiva y Kernel Tuning

Asegurar un sistema Linux en un entorno enterprise va mucho más allá de deshabilitar accesos root por SSH o configurar un firewall básico. Los actores de amenazas modernos utilizan técnicas de persistencia avanzadas, explotación de vulnerabilidades en el kernel y evasión de defensas tradicionales. Para mitigar estos riesgos, es fundamental implementar una estrategia de Hardening Avanzado basada en la defensa en profundidad.

Protección de Memoria y Ajustes del Kernel (sysctl)#

El núcleo (kernel) de Linux posee múltiples configuraciones de seguridad que, por compatibilidad, suelen venir desactivadas por defecto. Ajustar los parámetros mediante sysctl es el primer paso para proteger la memoria contra desbordamientos de búfer y escalada de privilegios.

# /etc/sysctl.d/99-security-hardening.conf

# Prevenir la lectura de dmesg por usuarios sin privilegios (evita fugas de direcciones de memoria)
kernel.dmesg_restrict = 1

# Ocultar direcciones de kernel, mitigando ataques KASLR
kernel.kptr_restrict = 2

# Restringir el uso de ptrace para evitar inyección de código y robo de credenciales en memoria
kernel.yama.ptrace_scope = 2

# Activar la mitigación de ataques de enrutamiento y suplantación de IP (Spoofing)
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

# Deshabilitar redirecciones ICMP para prevenir ataques MITM de red
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0

Tras aplicar estos cambios en el archivo, se deben cargar con el comando sysctl -p /etc/sysctl.d/99-security-hardening.conf.

Nota Importante: Modificar agresivamente los parámetros del kernel puede romper dependencias de aplicaciones antiguas, especialmente aquellas que requieren debugging intensivo (como ptrace_scope=2). Valide estas configuraciones siempre en entornos de pre-producción.

Controles de Acceso Obligatorio (MAC): AppArmor y SELinux#

El modelo de control de acceso discrecional (DAC) basado en usuarios y grupos (rwx) es insuficiente si un servicio es comprometido. Los sistemas MAC como SELinux o AppArmor confinan los procesos, dictando exactamente a qué archivos y recursos puede acceder una aplicación, incluso si se ejecuta como root.

A continuación, un perfil básico de AppArmor para un servidor Nginx, diseñado para restringir drásticamente sus capacidades:

# /etc/apparmor.d/usr.sbin.nginx
#include <tunables/global>

/usr/sbin/nginx {
  #include <abstractions/base>
  #include <abstractions/nameservice>
  #include <abstractions/openssl>

  # Capacidades de red (solo los puertos necesarios)
  network inet tcp,
  network inet6 tcp,

  # Acceso estricto de solo lectura a la configuración
  /etc/nginx/** r,
  /etc/ssl/certs/** r,

  # Directorios de contenido web
  /var/www/html/** r,

  # Acceso de escritura solo para logs
  /var/log/nginx/*.log w,

  # Prevenir la ejecución de shells desde el proceso
  deny /bin/sh x,
  deny /bin/bash x,

  # Ejecutable principal
  /usr/sbin/nginx mr,
}

Restricción de Montajes y Prevención de Ejecución#

Muchos exploits descargan payloads en directorios escribibles (como /tmp, /var/tmp o /dev/shm) y luego los ejecutan. Aislar y restringir estos puntos de montaje mediante /etc/fstab es una victoria rápida y altamente efectiva.

# Configuración en /etc/fstab para asegurar directorios temporales
tmpfs     /dev/shm     tmpfs     defaults,noexec,nosuid,nodev     0     0
/dev/mapper/vg0-tmp /tmp ext4    defaults,noexec,nosuid,nodev     0     2

• noexec: Impide la ejecución de binarios en esta partición.
• nosuid: Ignora los bits setuid o setgid.
• nodev: Impide la creación o uso de archivos de dispositivos especiales.

Auditoría Avanzada con auditd#

Tener visibilidad de qué comandos ejecutan los usuarios (especialmente los administradores) es vital para el análisis forense. Configurar auditd permite monitorizar accesos a archivos críticos y llamadas al sistema específicas.

# /etc/audit/rules.d/audit.rules

# Registrar intentos de acceso y modificación al archivo passwd/shadow
-w /etc/shadow -p wa -k shadow_mod
-w /etc/passwd -p wa -k passwd_mod

# Registrar ejecuciones de comandos con privilegios escalados (setuid/setgid)
-a always,exit -F arch=b64 -S execve -F euid=0 -F auid>=1000 -F auid!=4294967295 -k su-exec

Conclusión#

El hardening avanzado no es un estado estático, sino un proceso iterativo de reducción de la superficie de ataque. Al combinar ajustes de kernel, controles de acceso obligatorio (MAC), políticas de montaje restrictivas y auditoría profunda, las organizaciones pueden crear una arquitectura defensiva resiliente, capaz de frustrar incluso a los adversarios más persistentes.