Refuerzo de SSH y prácticas recomendadas de auditoría

La medida de refuerzo de SSH con mayor impacto es establecer PasswordAuthentication no en /etc/ssh/sshd_config. Esto obliga a todos los usuarios a autenticarse con claves públicas, eliminando el riesgo derivado de contraseñas débiles o reutilizadas y de los ataques de fuerza bruta. Antes de desactivar la autenticación mediante contraseña, asegúrese de que haya instalada al menos una clave autorizada para evitar bloquearse el acceso.

Las directivas AllowUsers y AllowGroups restringen el acceso SSH a usuarios específicos o a miembros de determinados grupos. Por ejemplo, AllowGroups sshusers permite el acceso únicamente a los miembros del grupo sshusers. Esto proporciona defensa en profundidad: aunque un atacante conozca un nombre de usuario y obtenga sus credenciales, se deniega el acceso SSH a menos que la cuenta esté permitida explícitamente.

Cambiar SSH del puerto 22 a un puerto con un número alto es una medida de ocultación, no de seguridad. Sin embargo, reduce considerablemente el ruido en los registros generado por los escáneres automatizados que apuntan al puerto 22. Esto facilita el análisis de los registros para detectar amenazas reales. Mantenga siempre las reglas del firewall como control de acceso principal; la ocultación del puerto es solo una medida complementaria.

Establecer PermitRootLogin no impide la autenticación directa de root mediante SSH. Los atacantes que apuntan a root tienen un nombre de usuario válido garantizado y privilegios ilimitados si logran acceder. La configuración recomendada es PermitRootLogin prohibit-password, que permite iniciar sesión como root únicamente mediante autenticación con clave pública, bloqueando la fuerza bruta de root basada en contraseñas y conservando el acceso de emergencia.

MaxAuthTries 3 limita a tres el número de intentos de autenticación por conexión. Después de tres fallos, el servidor termina la conexión. Esto ralentiza los intentos de fuerza bruta. Combinados con el retroceso exponencial de fail2ban o SSHGuard, que bloquean temporalmente las direcciones IP después de varios fallos, los ataques de fuerza bruta se vuelven inviables desde el punto de vista computacional.

LoginGraceTime especifica cuánto tiempo espera el servidor una autenticación correcta antes de desconectar. El valor predeterminado es de 120 segundos; reducirlo a 20 segundos evita los intentos de fuerza bruta lentos y reduce los recursos retenidos por conexiones no autenticadas. ClientAliveInterval y ClientAliveCountMax controlan las comprobaciones del estado de la conexión para desconectar sesiones inactivas o interrumpidas.

Las configuraciones modernas de SSH deben restringir los algoritmos a opciones sólidas y actuales. En sshd_config, establezca Ciphers en chacha20-poly1305@openssh.com,aes256-gcm@openssh.com, establezca MACs en hmac-sha2-256-etm@openssh.com y establezca KexAlgorithms en curve25519-sha256. Esto elimina algoritmos obsoletos como arcfour, DES y los MAC basados en MD5, que podrían estar disponibles por compatibilidad con versiones anteriores.

fail2ban supervisa los registros de autenticación y bloquea las direcciones IP que superan un umbral de intentos fallidos de inicio de sesión. Después de un número configurable de fallos dentro de un intervalo de tiempo, fail2ban añade una regla de iptables para descartar más paquetes de esa dirección IP. Esta respuesta automatizada hace que los ataques de fuerza bruta sean poco prácticos sin necesidad de intervención manual.

La herramienta ssh-audit se conecta a un servidor SSH y evalúa su configuración: qué algoritmos de intercambio de claves, tipos de claves de host, cifrados y MAC ofrece, y señala las opciones obsoletas o débiles. Ejecutar ssh-audit en sus servidores antes y después de reforzar la configuración proporciona una evaluación objetiva del estado anterior y posterior, además de identificar posibles deficiencias de configuración.

Los eventos de autenticación SSH se registran mediante syslog. En Linux, /var/log/auth.log (Debian) o /var/log/secure (RHEL) registra cada inicio de sesión correcto y fallido, junto con la marca de tiempo, el nombre de usuario, la IP de origen y la huella digital de la clave utilizada. Enviar estos registros a un SIEM centralizado permite detectar patrones de acceso inusuales, como inicios de sesión desde países inesperados o a horas poco habituales.

Un sshd_config reforzado combina: PasswordAuthentication no, PermitRootLogin prohibit-password, MaxAuthTries 3, LoginGraceTime 20, AllowGroups sshusers, Ciphers y MACs restringidos, X11Forwarding no y AllowTcpForwarding no (a menos que se necesite tunneling). Cada directiva elimina un vector de ataque específico y, en conjunto, forman una postura de SSH basada en la defensa en profundidad.

Lista de comprobación para reforzar SSH: desactive la autenticación mediante contraseña, restrinja el acceso con AllowGroups/AllowUsers, desactive el inicio de sesión de root o restrínjalo exclusivamente a claves, establezca MaxAuthTries 3, reduzca LoginGraceTime, restrinja los algoritmos únicamente a cifrados modernos, implemente fail2ban o SSHGuard, ejecute ssh-audit para obtener una evaluación objetiva y centralice los registros para detectar anomalías.