{"id":192,"date":"2026-03-22T09:58:06","date_gmt":"2026-03-22T09:58:06","guid":{"rendered":"https:\/\/juliobrasa.com\/blog\/securiza-tu-servidor-linux-en-30-minutos\/"},"modified":"2026-05-16T11:28:20","modified_gmt":"2026-05-16T11:28:20","slug":"securiza-tu-servidor-linux-en-30-minutos","status":"publish","type":"post","link":"https:\/\/juliobrasa.com\/blog\/securiza-tu-servidor-linux-en-30-minutos\/","title":{"rendered":"Securiza tu Servidor Linux en 30 Minutos"},"content":{"rendered":"<p>He gestionado infraestructura Linux durante m\u00e1s a\u00f1os de los que confieso. En Sered ten\u00edamos cientos de servidores con miles de clientes encima, y la diferencia entre un servidor bien securizado y uno mal securizado se mide en horas perdidas tras un incidente. Aprend\u00ed a securizar r\u00e1pido porque cuando un servidor te llega de un cliente nuevo a las tres de la ma\u00f1ana, no tienes media tarde para hacerlo. Tienes treinta minutos.<\/p>\n<p>El kit gratuito que enlazo abajo es lo que destila esos a\u00f1os de pr\u00e1ctica. No es teor\u00eda. Son los scripts y checklist que he aplicado en cientos de servidores reales y que aplico hoy en los servidores de Grupo Novalca.<\/p>\n<p>Securizar un servidor Linux no tiene por qu\u00e9 llevar horas. Con nuestro <strong>Kit de Hardening Linux gratuito<\/strong>, puedes aplicar las mejores pr\u00e1cticas de seguridad en menos de 30 minutos.<\/p>\n<h2>\u00bfQu\u00e9 incluye el kit?<\/h2>\n<p>El kit contiene <strong>10 scripts bash idempotentes<\/strong>, 5 checklists de seguridad y un playbook Ansible. Todo compatible con Debian 11\/12 y Ubuntu 22.04\/24.04.<\/p>\n<h2>Scripts de hardening<\/h2>\n<h3>harden-ssh.sh \u2014 Securizar SSH<\/h3>\n<p>Desactiva el login como root, fuerza autenticaci\u00f3n por clave p\u00fablica, cambia el puerto SSH y configura fail2ban autom\u00e1ticamente. Ejemplo de uso:<\/p>\n<pre><code>sudo bash scripts\/harden-ssh.sh --check    # Verificar sin cambios\nsudo bash scripts\/harden-ssh.sh --port 2222  # Aplicar<\/code><\/pre>\n<h3>harden-firewall.sh \u2014 Firewall con nftables<\/h3>\n<p>Configura reglas nftables (con fallback a iptables) que solo abren SSH, HTTP y HTTPS. Todo lo dem\u00e1s se bloquea por defecto.<\/p>\n<h3>harden-kernel.sh \u2014 Par\u00e1metros del kernel<\/h3>\n<p>Aplica par\u00e1metros sysctl de seguridad: desactiva redirects, activa tcp_syncookies y rp_filter, protecci\u00f3n contra ICMP attacks.<\/p>\n<h3>harden-ssl-tls.sh \u2014 TLS moderno<\/h3>\n<p>Desactiva TLS 1.0\/1.1, configura cipher suites seguras, HSTS y OCSP stapling tanto para Nginx como Apache.<\/p>\n<h3>scan-vulnerabilities.sh \u2014 Escaneo r\u00e1pido<\/h3>\n<p>Detecta puertos abiertos, servicios expuestos, certificados expirados y headers de seguridad faltantes.<\/p>\n<h3>detect-backdoors.sh \u2014 Detector de backdoors<\/h3>\n<p>Verifica checksums de binarios del sistema, busca crons sospechosos, procesos ocultos y archivos SUID peligrosos.<\/p>\n<h2>Checklists incluidas<\/h2>\n<ul>\n<li><strong>Server Launch Checklist<\/strong> \u2014 30+ items pre-producci\u00f3n<\/li>\n<li><strong>WordPress Security<\/strong> \u2014 Permisos, plugins, headers, backups<\/li>\n<li><strong>Email Server<\/strong> \u2014 SPF, DKIM, DMARC, TLS, greylisting<\/li>\n<li><strong>Security Audit<\/strong> \u2014 50+ items de auditor\u00eda completa<\/li>\n<li><strong>Incident Response<\/strong> \u2014 Playbook paso a paso ante compromiso<\/li>\n<\/ul>\n<h2>Lo que aprend\u00ed securizando servidores en Sered durante una d\u00e9cada<\/h2>\n<p>Cuatro cosas que valen m\u00e1s que cualquier curso de ciberseguridad:<\/p>\n<p><strong>Primera, la mayor\u00eda de los ataques no son sofisticados.<\/strong> Son bots automatizados probando contrase\u00f1as comunes en puertos por defecto. Cambiar el puerto SSH y desactivar el login root con contrase\u00f1a detiene el noventa y nueve por ciento de intentos automatizados. No te protege de un atacante motivado, pero te quita el ruido de fondo y te deja ver las amenazas reales.<\/p>\n<p><strong>Segunda, las actualizaciones tard\u00edas cuestan m\u00e1s que las prevenciones.<\/strong> En Sered tuvimos un incidente serio porque un servidor no se actualiz\u00f3 a tiempo despu\u00e9s de una CVE cr\u00edtica. Desde entonces, automatizaci\u00f3n de updates de seguridad es no negociable.<\/p>\n<p><strong>Tercera, los backups que nadie ha restaurado nunca son backups imaginarios.<\/strong> Hacer backup es f\u00e1cil. Probar que se puede restaurar es lo que de verdad protege. Tenemos drill cuatrimestral de restore en infraestructura cr\u00edtica. La primera vez que lo hicimos, descubrimos que los backups de un servidor llevaban dos meses corruptos sin que nadie lo supiera.<\/p>\n<p><strong>Cuarta, los logs solo sirven si alguien los mira.<\/strong> Centralizamos logs en un sistema separado del servidor productivo. Si un atacante compromete el servidor, no puede borrar los logs porque est\u00e1n en otra m\u00e1quina.<\/p>\n<p>\u00bfCu\u00e1ntos servidores tienes ahora mismo con SSH en puerto 22 y autenticaci\u00f3n por contrase\u00f1a? Si la respuesta no es cero, ese es tu primer trabajo del fin de semana. Te leo en comentarios si tienes dudas sobre alguno de los scripts.<\/p>\n<h2>Descarga gratuita<\/h2>\n<p>El kit completo est\u00e1 disponible como ZIP descargable con licencia MIT (libre para uso comercial y personal).<\/p>\n<p><a href=\"https:\/\/soltia.net\/herramientas\/kit-hardening-linux.html\"><strong>\u2192 Descargar Kit de Hardening Linux<\/strong><\/a><\/p>\n<p>Tambi\u00e9n puedes probar nuestro <a href=\"https:\/\/scanner.soporteclientes.net\">Esc\u00e1ner de Seguridad Web gratuito<\/a> para verificar SSL, DNS y Security Headers de cualquier dominio.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>He gestionado infraestructura Linux durante m\u00e1s a\u00f1os de los que confieso. En Sered ten\u00edamos cientos de servidores con miles de clientes encima, y la diferencia entre un servidor bien securizado y uno mal securizado se mide en horas perdidas tras un incidente. Aprend\u00ed a securizar r\u00e1pido porque cuando un servidor te llega de un cliente&#8230;<\/p>\n","protected":false},"author":6,"featured_media":188,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"rank_math_title":"","rank_math_description":"","rank_math_focus_keyword":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post-192","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/posts\/192","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/comments?post=192"}],"version-history":[{"count":2,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/posts\/192\/revisions"}],"predecessor-version":[{"id":457,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/posts\/192\/revisions\/457"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/media\/188"}],"wp:attachment":[{"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/media?parent=192"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/categories?post=192"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/juliobrasa.com\/blog\/wp-json\/wp\/v2\/tags?post=192"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}