Rootkits / malware
Rastros de rootkits, puertas traseras y procesos ocultos: los indicios de máxima prioridad de un compromiso ya existente.
- Rastros de rootkits conocidos Presencia de archivos, rutas o firmas de rootkits conocidos.
- Inyección en ld.so.preload Bibliotecas compartidas cargadas a la fuerza vía /etc/ld.so.preload o LD_PRELOAD.
- Procesos ocultos Discrepancia entre el listado de ps y /proc (PID ocultos).
- Módulos de kernel sospechosos Módulos de kernel cargados sin firmar o desconocidos.
- Interfaz en modo promiscuo Interfaces de red en modo promiscuo.
- Resultado del escáner de rootkits Avisos de rkhunter o chkrootkit cuando están instalados.
Parches / actualizaciones
Actualizaciones de seguridad aplicadas y estado de fin de vida: exposición a vulnerabilidades conocidas.
- Actualizaciones de seguridad pendientes Número de actualizaciones de seguridad sin aplicar (yum / apt).
- Sistema operativo sin soporte Si la versión del sistema operativo ha llegado al fin de su vida útil.
- Reinicio de kernel pendiente El kernel en ejecución difiere del más reciente instalado (reinicio pendiente).
Configuración SSH
Fortificación de la puerta de acceso remoto: inicio de sesión como root, autenticación por contraseña, contraseñas vacías.
- Inicio de sesión directo como root Ajuste PermitRootLogin de sshd.
- Contraseñas vacías en SSH Ajuste PermitEmptyPasswords de sshd.
- Autenticación por contraseña en SSH PasswordAuthentication de sshd (se prefiere autenticación por clave).
- Algoritmos débiles en SSH Uso de protocolo heredado o de KEX, cifrados o MAC débiles.
- Límite de intentos en SSH Valor MaxAuthTries de sshd.
Cuentas / privilegios
Superficie de escalada de privilegios: UID0 duplicados, cuentas sin contraseña, sudo demasiado amplio.
- UID 0 duplicado Cuentas con UID 0 distintas de root.
- Cuentas sin contraseña Cuentas con contraseña vacía en /etc/shadow.
- sudo sin contraseña Reglas sudo NOPASSWD demasiado amplias (p. ej. ALL).
- Caducidad de contraseñas Si hay configurada una antigüedad máxima de contraseña.
- Shells de cuentas de sistema Cuentas de sistema con shell de inicio de sesión.
Exposición de red
Servicios expuestos al exterior, protocolos heredados y puertos de base de datos públicos.
- Servicios heredados en texto claro telnet, rsh, rlogin o ftp en texto claro activos.
- Puertos de base de datos expuestos MySQL / PostgreSQL / Redis / Mongo escuchando en 0.0.0.0.
- Servicios a la escucha expuestos Servicios escuchando en 0.0.0.0 / ::.
Permisos del sistema de archivos
Permisos de escritura para todos, SUID y archivos sensibles: caminos de escalada local de privilegios.
- Permisos de /etc/shadow Propietario y permisos del archivo shadow (640 / 000).
- Archivos escribibles por todos Archivos o directorios escribibles por todos y sin sticky bit.
- Inventario SUID/SGID Binarios SUID/SGID inesperados.
- Permisos de /etc/passwd Permisos del archivo passwd (644, propiedad de root).
- Restricción de ejecución en /tmp Si /tmp está montado con noexec / nosuid.
Fortificación del sistema
Ajustes del kernel y de los módulos de seguridad: ASLR, SELinux, SYN cookies y otros fundamentos.
- SELinux / AppArmor Si el control de acceso obligatorio está en modo enforcing.
- ASLR Valor de kernel.randomize_va_space (se recomienda 2).
- SYN cookies de TCP net.ipv4.tcp_syncookies activado.
- Reenvío de IP net.ipv4.ip_forward (0 salvo que sea un router).
- Límites de volcado de memoria Restricciones de volcado para procesos setuid y a nivel global.
Servicios / cortafuegos
Cortafuegos de host activo y servicios innecesarios: reducción de la superficie de ataque.
- Cortafuegos del host firewalld / ufw / nftables activo.
- Servicios innecesarios Demonios activados sin necesidad.
Auditoría / registro
auditd y syslog: el requisito previo para el rastreo y el análisis forense tras una brecha.
- Demonio de auditoría (auditd) Si auditd está en ejecución.
- Registro del sistema Si rsyslog / journald está en ejecución.
Controla estas versiones en tus propios servidores
InfraGuard recopila las versiones de software instaladas en cada servidor y señala las que tienen vulnerabilidades conocidas. Autoalojado: nada sale de tu red.