Fortalecimiento del sistema operativo: parches, configuración base y referencias CIS

El hardening del sistema operativo es el proceso de reducir la superficie de ataque de un sistema operativo eliminando funciones innecesarias, aplicando configuraciones de seguridad y manteniendo el sistema actualizado con parches. Un sistema operativo recién instalado no es seguro de forma predeterminada: prioriza la facilidad de uso y habilita servicios y funciones que muchos usuarios pueden querer, pero que la mayoría de los servidores empresariales no necesitan. Cada servicio habilitado, puerto abierto y credencial predeterminada constituye un posible punto de entrada para los atacantes. El hardening cierra sistemáticamente estos puntos de entrada antes de que el sistema pase a producción.

La gestión de parches es el proceso de identificar, probar y aplicar actualizaciones de software que corrigen vulnerabilidades de seguridad. Un sistema sin parches es uno de los objetivos más fáciles de explotar: muchas brechas importantes (Equifax en 2017, WannaCry en 2017) aprovecharon vulnerabilidades conocidas para las que ya existían parches, pero que las organizaciones simplemente no habían aplicado. Un proceso maduro de gestión de parches define: identificación de parches (suscribirse a avisos de proveedores y fuentes de CVE), clasificación de criticidad (Emergencia/Crítica/Alta/Media), plazos de prueba (en muchos marcos, los parches críticos deben aplicarse en un plazo de 48-72 horas) y verificación del despliegue.

Cada servicio en ejecución constituye un posible vector de ataque. El hardening del sistema operativo comienza con una auditoría de servicios: enumere todos los servicios en ejecución, identifique su propósito y desactive los que no sean necesarios para la función del sistema. En Windows Server, roles como Print Spooler, Remote Registry y LLMNR se desactivan con frecuencia en servidores que no los necesitan. En Linux, servicios como rpcbind, cups (impresión) y avahi (mDNS) suelen ser candidatos. El principio es el siguiente: si no lo necesita, desactívelo.

El software instalado que no se utiliza representa un riesgo innecesario. Cada paquete introduce posibles vulnerabilidades; incluso el software bien mantenido tiene CVE. El hardening del sistema operativo incluye: eliminar entornos de ejecución de lenguajes que las aplicaciones no necesiten (Python, Perl, Ruby en servidores web), eliminar herramientas de desarrollo (compiladores y depuradores en sistemas de producción) y eliminar paquetes de aplicaciones predeterminados que se incluyen con las imágenes del sistema operativo (servidores FTP, clientes telnet y agentes SNMP). Por la misma razón, las imágenes de contenedor deben utilizar imágenes base mínimas (Alpine, scratch, distroless).

Las cuentas predeterminadas con nombres de usuario y contraseñas conocidos son de las primeras cosas que prueban los atacantes. Medidas de refuerzo: deshabilite la cuenta Administrator integrada (Windows) y cámbiele el nombre si no es posible deshabilitarla; cambie el nombre de la cuenta root o restrinja el inicio de sesión SSH de root (Linux); cambie todas las contraseñas predeterminadas de dispositivos, bases de datos y aplicaciones antes de ponerlos en producción; elimine las cuentas de invitado; y deshabilite las cuentas de servicio que no requieran un inicio de sesión interactivo. Una herramienta de análisis como Nessus marcará las credenciales predeterminadas como hallazgos críticos.

Los permisos seguros del sistema de archivos aplican el principio de mínimo privilegio en el sistema operativo. Los procesos del servidor web no deben tener acceso de escritura a los directorios que sirven. Las cuentas de las aplicaciones no deben tener acceso de lectura a los archivos de configuración que contienen credenciales. En Linux, los binarios setuid y setgid deben auditarse porque se ejecutan con privilegios elevados independientemente de quién los ejecute. En Windows, los permisos NTFS y la auditoría de DACL garantizan que los directorios sensibles (la sección SAM, las copias de sombra y los almacenes de credenciales) solo sean accesibles para procesos autorizados.

Los benchmarks de CIS son guías gratuitas de refuerzo, desarrolladas por la comunidad, para sistemas operativos, aplicaciones y plataformas en la nube específicos. Cada benchmark contiene cientos de recomendaciones de configuración específicas, con su justificación, pasos de corrección y comandos de auditoría. Los benchmarks de CIS utilizan dos niveles de perfil: Nivel 1 — configuraciones básicas y ampliamente aplicables que no restringen la funcionalidad; Nivel 2 — configuraciones avanzadas para entornos de alta seguridad que pueden afectar a la usabilidad. Existen benchmarks para Windows Server, Ubuntu/RHEL, macOS, Docker, Kubernetes, AWS, Azure, GCP, navegadores y bases de datos.

Una configuración de referencia de seguridad es un conjunto documentado de ajustes de configuración que todo sistema de una categoría de función debe cumplir. Las configuraciones de referencia se aplican mediante Group Policy Objects (GPOs) en Windows, Ansible playbooks, Chef cookbooks o Puppet manifests en Linux. Las herramientas de gestión de la configuración permiten detectar la desviación de la configuración: si un sistema se aparta de la configuración de referencia aprobada (por ejemplo, si se vuelve a habilitar un servicio), las alertas automatizadas y la corrección automática pueden devolverlo al cumplimiento. NIST SP 800-128 proporciona orientación sobre la gestión de la configuración centrada en la seguridad para sistemas federales.

El refuerzo no consiste únicamente en prevenir: el registro y la supervisión son igual de importantes. Configure las directivas de auditoría para capturar: eventos de autenticación (éxitos y fallos), escaladas de privilegios, accesos a objetos (lecturas de archivos sensibles), creación de procesos (con argumentos de la línea de comandos) y eventos de conexiones de red. Los registros deben reenviarse a un SIEM centralizado casi en tiempo real para que los atacantes locales con derechos de administrador no puedan ocultar sus huellas borrando los registros de eventos. Conserve los registros durante al menos 12 meses, según establecen la mayoría de los marcos de cumplimiento.

La verificación manual de los benchmarks de refuerzo en cada sistema resulta poco práctica a gran escala. Las herramientas de análisis del cumplimiento automatizan esta comprobación. OpenSCAP (código abierto) aplica contenido SCAP a sistemas Linux y genera informes HTML que muestran las comprobaciones superadas, fallidas y no aplicables. Nessus incluye directivas de benchmarks de CIS. Microsoft Security Compliance Toolkit evalúa los sistemas Windows conforme a las configuraciones de referencia de Microsoft. Estas herramientas se ejecutan con una periodicidad establecida (semanal o mensual) y las desviaciones generan tickets de corrección en el sistema de gestión de cambios.

En los dominios de Windows, los Group Policy Objects (GPOs) son el mecanismo principal para aplicar y hacer cumplir las configuraciones de referencia de seguridad a gran escala. Las plantillas de seguridad (archivos .inf predefinidos o personalizados) se pueden importar en los GPOs para configurar cientos de ajustes simultáneamente: directiva de cuentas, directiva de auditoría, asignación de derechos de usuario, opciones de seguridad y valores del registro. El complemento Security Configuration and Analysis y la herramienta de línea de comandos secedit comparan la configuración actual con una plantilla definida y generan informes de cumplimiento. Los GPOs se aplican durante el inicio y a intervalos regulares, lo que garantiza que las desviaciones de la configuración de referencia se corrijan automáticamente.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que el refuerzo del sistema operativo reduce la superficie de ataque al deshabilitar servicios, eliminar software, proteger cuentas y aplicar permisos de mínimo privilegio; la gestión de parches cierra vulnerabilidades conocidas mediante SLA basados en la criticidad; y los benchmarks de CIS proporcionan orientación de configuración de Nivel 1 (básica) y Nivel 2 (avanzada), aplicada mediante herramientas automatizadas de análisis del cumplimiento. A continuación, exploraremos la gestión de dispositivos móviles y las directivas BYOD.