Refuerzo del servidor SSH

Un servidor SSH expuesto a Internet es un objetivo constante de ataques automatizados. La configuración predeterminada deja varias puertas abiertas que los bots comprueban sin descanso.

Reforzar la seguridad significa ajustar la configuración del servidor para que, aunque los atacantes encuentren su servidor, no puedan acceder mediante fuerza bruta.

El comportamiento de SSH en el servidor se controla mediante /etc/ssh/sshd_config. Es distinto de la configuración del cliente que configuró anteriormente (~/.ssh/config).

Edítelo siempre como root y conserve una copia de seguridad antes de realizar cambios.

La cuenta root es lo primero que prueban los atacantes. Desactivar el inicio de sesión directo de root les obliga además a adivinar un nombre de usuario válido.

Establezca PermitRootLogin en no. Los administradores deben iniciar sesión como usuarios normales y utilizar sudo.

Cuando la autenticación mediante claves funcione, desactive por completo las contraseñas. Esto elimina por completo los ataques de fuerza bruta — no hay ninguna contraseña que adivinar.

Advertencia: confirme que el inicio de sesión con su clave funciona antes de aplicar este cambio o podría bloquearse el acceso.

Puede incluir en una lista permitida exactamente qué cuentas pueden utilizar SSH mediante AllowUsers o AllowGroups. Cualquier cuenta que no figure en la lista será rechazada incluso con claves válidas.

Es un control sólido y sencillo para servidores multiusuario.

Mover SSH fuera del puerto 22 no añade seguridad real, pero reduce considerablemente el ruido de los escáneres automatizados en sus registros.

Elija un puerto no estándar y recuerde abrirlo en el firewall e informar de él a sus clientes.

Varias directivas reducen el margen de acción de los atacantes:

• MaxAuthTries — intentos fallidos antes de desconectar
• LoginGraceTime — segundos permitidos para autenticarse
• MaxSessions — sesiones simultáneas por conexión

Después de editar, valide la sintaxis con sshd -t antes de reiniciar — un error tipográfico puede impedir que el servicio se inicie y dejarle sin acceso.

A continuación, vuelva a cargar el servicio. Mantenga abierta la sesión actual y pruebe una conexión nueva antes de cerrarla.

Fail2ban supervisa los registros de autenticación y bloquea temporalmente las IP que fallan demasiadas veces. Añade una capa dinámica de firewall sobre la configuración de sshd.

Instálelo y habilite la jaula de SSH; los valores predeterminados son adecuados para la mayoría de los servidores.

Confirme que el servidor ahora rechaza lo que deshabilitó. Intente conectarse con una salida detallada para ver qué métodos de autenticación ofrece el servidor.

Un servidor reforzado debería anunciar únicamente publickey y rechazar los inicios de sesión mediante contraseña y como root.

Mantenga seguro su servidor SSH con el tiempo:

• No aplique nunca PasswordAuthentication no antes de probar el inicio de sesión con clave
• Mantenga una sesión abierta mientras cambia la configuración
• Use sshd -t después de cada modificación
• Combine el endurecimiento de sshd con un firewall y Fail2ban

Compruebe sus conocimientos sobre el endurecimiento de SSH.

Ha reforzado su servidor SSH mediante /etc/ssh/sshd_config:

• Deshabilitó los inicios de sesión como root y mediante contraseña
• Incluyó usuarios en la lista permitida con AllowUsers
• Ajustó MaxAuthTries y LoginGraceTime
• Añadió Fail2ban para proteger dinámicamente contra ataques de fuerza bruta

Valide la configuración con sshd -t y pruebe siempre antes de cerrar la sesión.