LecturaQué es endurecer un sistema
Cuando usted instala Windows o Linux por primera vez, el sistema llega configurado para que todo funcione sin fricción: servicios encendidos por si acaso, cuentas genéricas, puertos abiertos y opciones cómodas antes que seguras. Esa configuración de fábrica está pensada para el mayor número de personas posible, no para su empresa ni para sus datos. Endurecer un sistema, o hacer hardening, es el trabajo de ajustar esa configuración para que el equipo haga solo lo que necesita hacer y nada más.
Qué es el hardening
En una frase: el hardening es el conjunto de cambios de configuración que reducen las formas en que un sistema puede ser atacado o mal usado. La palabra viene del inglés to harden, "endurecer". No se trata de comprar una herramienta mágica, sino de tomar decisiones concretas:
- Quitar o desactivar lo que no se usa: programas, servicios, cuentas y puertos.
- Configurar de forma segura lo que sí se usa: contraseñas, permisos, cifrado y registros.
- Mantener el sistema al día con parches y revisar que los cambios sigan vigentes.
Piense en una casa nueva: usted cambia la cerradura, pone rejas en la ventana del patio y no deja abierta la puerta del garaje. La casa es la misma; lo que cambia es lo fácil que resulta entrar.
Una idea previa: el sistema operativo (Windows, Linux) es el programa base que administra el hardware y ejecuta los demás. Casi todo lo que endurecerá son ajustes suyos.
Breve historia: de las configuraciones abiertas a las baselines
Durante años los sistemas se entregaban "abiertos" por comodidad, y varios incidentes famosos enseñaron que la configuración por defecto y la falta de parches son un riesgo real:
| Año | Hito |
|---|---|
| 1988 | El gusano Morris infecta miles de equipos Unix aprovechando, entre otras cosas, el modo de depuración de sendmail y contraseñas débiles |
| 2000 | Se funda el Center for Internet Security (CIS), que luego publicará los CIS Benchmarks |
| 2001 | El gusano Code Red ataca servidores web IIS para los que ya existía un parche |
| 2003 | SQL Slammer explota una falla parcheada seis meses antes; ese mismo año Microsoft inicia el Patch Tuesday |
| 2004 | Windows XP SP2 trae el firewall activado por defecto |
| 2007 | Windows Vista introduce el Control de cuentas de usuario (UAC) |
| 2017 | WannaCry se propaga por SMBv1 en equipos sin el parche publicado dos meses antes |
La mayoría de esos daños se habrían evitado con parches al día y servicios innecesarios apagados. De ahí nacieron las guías de configuración segura de este curso.
Por qué importa en ciberseguridad y en el trabajo
Muchos incidentes que atiende un SOC empiezan con algo aburrido: un servidor sin parches, un escritorio remoto expuesto a internet o una cuenta de administrador con contraseña débil. Los atacantes automatizan la búsqueda de esos descuidos y los encuentran en minutos.
Cada servicio que usted apaga es una puerta menos que vigilar; cada cuenta innecesaria que elimina, una credencial menos que robar; cada registro que habilita, una pista más para quien investigue. Lo usan administradores de sistemas, ingenieros de nube, analistas de vulnerabilidades, auditores y analistas de SOC, que consultan la baseline para saber qué es normal.
Endurecer tampoco es bloquearlo todo: un sistema tan cerrado que nadie puede trabajar empuja a los usuarios a atajos inseguros. La pregunta guía es qué necesita hacer este equipo.
Dónde se aplica
| Lugar | Ejemplo de hardening |
|---|---|
| Servidores Linux y Windows | SSH solo con llaves, servicios mínimos, firewall local |
| Laptops y estaciones de trabajo | Cuenta estándar, disco cifrado, antivirus con protección contra alteraciones |
| Nube | Imágenes de máquina ya endurecidas, puertos cerrados por defecto |
| Contenedores | Imágenes mínimas que no se ejecutan como root |
| Equipos de red y celulares | Cambiar contraseñas de fábrica, desactivar servicios de administración remota |
Conceptos clave
| Concepto | Qué significa |
|---|---|
| Superficie de ataque | La suma de puntos por donde alguien podría entrar o abusar del sistema |
| Mínimo privilegio | Dar a cada cuenta o programa solo los permisos que necesita |
| Baseline | La configuración segura documentada que deben cumplir todos los equipos de un tipo |
| CIS Benchmark | Guía pública con recomendaciones de configuración verificables por producto |
| Parche | Actualización que corrige una vulnerabilidad u otro fallo |
| Deriva de configuración | Cambios que con el tiempo alejan a un equipo de su baseline |
| Excepción | Control que no se aplica, documentado con justificación, responsable y fecha de vencimiento |
Cómo leer las fichas de comandos
En el curso usará comandos de Linux y de PowerShell. Cada herramienta nueva trae una ficha con su sintaxis general, que se lee así:
comando [OPCIONES] ARCHIVO...- Lo que va entre corchetes es opcional.
- Lo que va en MAYÚSCULAS lo reemplaza usted por un valor real.
- Los tres puntos indican que puede repetir ese elemento.
Si olvida una opción, pida ayuda al propio sistema: en Linux, man ufw abre el manual completo y ufw --help muestra un resumen; en PowerShell, Get-Help Get-LocalUser -Examples muestra ejemplos de uso.