Guía de seguridad en Linux: cómo endurecer tu sistema
20/08/2026
El mito de la inmunidad
Linux tiene una superficie de ataque distinta a Windows, pero no es invulnerable sobre todo en servidores expuestos a internet, que son un blanco constante de bots buscando configuraciones débiles. Estas son las medidas básicas de hardening.
Mantené el sistema actualizado
sudo apt update && sudo apt upgrade (Debian/Ubuntu) o el equivalente de tu distribución debería correrse regularmente. Considerá activar actualizaciones automáticas de seguridad con unattended-upgrades.
Deshabilitá el login root por SSH
Si administrás un servidor, nunca permitas que root inicie sesión directamente por SSH. Editá /etc/ssh/sshd_config y poné PermitRootLogin no. Usá un usuario normal con sudo en su lugar.
Usá autenticación por clave SSH, no por contraseña
Las claves SSH son prácticamente imposibles de forzar por fuerza bruta comparado con una contraseña. Generá un par de claves con ssh-keygen, copiá la pública al servidor, y deshabilitá la autenticación por contraseña (PasswordAuthentication no).
Configurá un firewall
UFW (Uncomplicated Firewall) es la forma más simple en distribuciones basadas en Debian: sudo ufw enable y después permitís explícitamente solo los puertos que necesitás (sudo ufw allow 22, sudo ufw allow 443). Todo lo que no abrís explícitamente queda bloqueado.
Instalá Fail2ban
Monitorea los logs y bloquea automáticamente IPs que muestran patrones de ataque (intentos repetidos de login SSH fallidos, por ejemplo). Es una de las herramientas más efectivas por su bajo costo de configuración.
Minimizá el software instalado
Cada paquete instalado es una superficie de ataque adicional. En un servidor, instalá solo lo estrictamente necesario para su función.
Revisá permisos de archivos regularmente
Evitá permisos 777 (lectura/escritura/ejecución para todos) salvo que sea estrictamente necesario. Los directorios web, en particular, deberían tener el propietario correcto y permisos restrictivos.
Cifrá el disco con LUKS
Igual que BitLocker en Windows, LUKS cifra el disco completo relevante sobre todo en laptops, donde el riesgo de robo físico es real.
Monitoreá los logs
/var/log/auth.log (o /var/log/secure en distros basadas en RHEL) registra los intentos de acceso. Revisarlo periódicamente o usar una herramienta como Logwatch que te manda un resumen diario ayuda a detectar actividad sospechosa a tiempo.
Usá SELinux o AppArmor
Estos sistemas de control de acceso obligatorio limitan lo que cada proceso puede hacer, incluso si es comprometido. Ubuntu trae AppArmor activado por defecto en muchos paquetes; no lo desactives sin buen motivo.
Para servidores expuestos a internet
Sumá: actualizaciones automáticas de seguridad, un WAF si corrés servicios web, backups automáticos verificados (un backup que nunca probaste restaurar no es un backup confiable), y auditorías periódicas de qué puertos están realmente abiertos hacia afuera podés verificarlo en https://ciberbrigada.com/herramientas/headers para servicios web.
¡Síguenos en YouTube y Rumble, activa la campanita!