¿Son seguros sus Servidores? – Tres consejos de Seguridad

Las empresas invierten miles de dólares al año en asegurarse que la información esté a salvo.
En la era actual en la que el dato se transforma en información y la información en herramienta para la toma de decisiones, surgen diversas herramientas que simplifican el  análisis de esta información, lo que exige que la información esté siempre a salvo, sea cual sea la circunstancia.

Las Empresas que poseen sus propios servidores (Datacenter On Premises) o en la Nube, saben que la seguridad depende de dos componentes que interactúan entre sí.

Estos componentes son:

  • Equipo de Desarrollo
  • Administradores de la red / Administradores de Sistemas / DevOps

Cuando se utilizan servidores Linux en las organizaciones es importante destacar determinadas buenas prácticas que deben seguirse para cubrir, al menos en un porcentaje amplio, cualquier hueco de seguridad que pueda existir.

A continuación podemos ver algunos problemas de seguridad más frecuentes:

  • Seguridad a Nivel de Red Global -sin firewall local-
    Este tipo de seguridad es básico en sí mismo y previene muy levemente cualquier tipo de intrusión no deseada, ya sea desde la red externa a la organización (WAN, MAN, VPNs, etc.) o desde la propia red (LAN).
  • Un único usuario de administración
    Generalmente en sistemas operativos Linux/BSD/Unix se utiliza el usuario “root” como administrador general del servidor y esto expone enormemente a cometer errores en la administración y expone, en forma drástica, el acceso a la información.
    Lo mismo ocurre en otros sistemas operativos -por ejemplo Windows Server-, en donde un único usuario “Administrador” realiza las tareas de mantenimiento y de tuning del servidor, sin estar en forma clara y ordenada quién realiza qué tarea.
  • Puertos y Servicios por defecto
    Un gran número de distribuciones Linux y hasta los Windows Server traen muchísimos servicios que son innecesarios -habitualmente- para el fin que fueran instalado, exponiendo la seguridad del servidor -ya que cuanto más cantidad de servicios hay activos, más son la cantidad de puertos por la que se puede ingresar y por ende, añade complejidad para mantener actualizados todos los archivos de configuración y el versionado.
  • Acceso Físico irrestricto
    Si todos tienen acceso al dispositivo físico, es un grave problema. Alcanzaría con un destornillador y con un poco de conocimiento de hardware para poder vulnerar la información y eventualmente, hacer uso o abuso de ella.

tres consejos imprescindibles de seguridad

1. Diversifique y limite las tareas

Son muchas las Empresas que sostienen que todos los empleados del área de tecnología deben realizar todas las tareas.

Esto es un gravísimo error que expone a la organización a grandes riesgos.
No todos los profesionales de tecnología realizan las mismas tareas, como no todos los médicos realizan todas las cirugías.

Los especialistas conocen perfectamente el alcance que va a tener determinada acción llevada a cabo y cuál es el impacto que generará esta acción en la organización.

Este primer consejo tiene tres partes:

  • No personalice: la persona no es el puesto que ocupa.
  • Limite las tareas: quienes manipulan equipos de red o realizan soporte nivel cero, conviene que sólo se dediquen a estas tareas.
  • Invierta en capacitación: si las tareas están limitadas y existen especialistas en determinadas áreas, es muy recomendable invertir en capacitar a sus empleados para que profundicen su conocimiento.

2. Unifique Sistemas Operativos y Versiones

Partamos de una base. Hay cosas más fáciles de lograr en determinado sistema operativo que en otro y/o en determinada distribución -en el caso de Linux-, que en otra.

Sin embargo poseer demasiados sistemas operativos y con diferentes versiones exige una demanda alta de administración y de actualizaciones, debiendo analizar impactos respecto de librerías que se utilizan o configuraciones de servicios.

Por esto es recomendable que unifique al máximo sistemas operativos, distribuciones y versiones.

En la actualidad es posible virtualizar en contenedores -o dockerizar, si utilizamos docker- diversas aplicaciones y servicios con absolutamente todas las dependencias resueltas para su correcto desempeño.

Por ejemplo, puede dockerizar:

  • Servidor DHCP
  • Servidor de e-mail
  • Apache Tomcat

Y cada uno de estos, convenientemente, ser la misma distribución de base -Linux- en este caso y mismo versionado, aunque con diferentes dependencias funcionales para cada caso en particular. Esto significa que un servidor de correo requiere determinados paquetes y puertos que un servidor de contenido web no y viceversa.

3. La seguridad también debe ser local

Quienes administran servidores o redes suelen dejar la seguridad de uno o de otro lado, ya sea de los System Administrators / DevOps o del lado de los Network Administrators creyendo que, de esta forma, están protegidos.

Es el equivalente a no estudiar para un exámen porque nuestro compañero de al lado posee un Master en dicho campo.

Los sistemas operativos son, por excelencia, muy flexibles en términos de los servicios que pueden ofrecernos y en cómo administrar la seguridad local.

En el caso de los servidores que corren Windows Server existen innumerables políticas y buenas prácticas a realizar luego de una instalación limpia.
En el caso de los servidores que corren Linux o Unix hay una gran parte de las tareas de seguridad -también conocidas como prácticas de hardening- que vienen hechas por defecto.

Sin embargo, elijamos el sistema operativo que elijamos, es recomendable seguir estas buenas prácticas:

  • Los usuarios pueden ser usuarios administradores, pero el usuario administrador o root debe ser sólo uno.
  • Utilice el firewall local del Sistema Operativo y restrinja las conexiones que provienen desde redes no confiables o individualice los hosts desde los cuales se puede conectar
  • Exija métodos de autenticación y encriptación apropiados
  • Utilice contraseñas altamente cifradas, complejas y que, en lo posible, deban ser modificadas.
  • Realice las mayores tareas con un usuario con pocos privilegios. Si se equivoca o su usuario es vulnerado, corre menos riesgos.

Leave a Reply

how can we help you?

Contact us at the Consulting WP office nearest to you or submit a business inquiry online.

see our gallery

Looking for a First-Class Business Plan Consultant?