Seguridad de servidores Linux
Endurecimiento de SSH por clave
SSH es la puerta principal de cada servidor Linux y el servicio con más ataques de fuerza bruta en internet. La autenticación solo por clave, el root desactivado, jails de fail2ban y puertos no estándar eliminan juntos casi todas las intrusiones SSH automatizadas y mantienen rápido el acceso legítimo de administración.
Puntos clave
- Migre todas las cuentas a autenticación por clave ed25519 o RSA-4096; desactive por completo la autenticación por contraseña.
- Configure PermitRootLogin en prohibit-password o no, y administre con usuarios sudo.
- Mueva SSH a un puerto alto no estándar para eliminar el 99% de los escaneos automatizados.
- Proteja sshd con fail2ban: de 3 a 5 fallos activan bloqueos progresivos.
- Restrinja SSH con AllowUsers/AllowGroups más listas de orígenes permitidos en el firewall cuando sea posible.
- Aplique tiempos de inactividad (ClientAliveInterval) y desactive reenvíos sin uso.
- Audite authorized_keys cada trimestre y elimine de inmediato las claves del personal que se fue.
- Considere port-knocking o SSH solo por VPN para servidores de alto valor.
Nota de campo
La lección que más perdura suele ser su propio bloqueo: mantenga una sesión activa mientras migra a autenticación solo por clave, e inicie sesión desde una segunda terminal antes de cerrar nada.
Preguntas frecuentes
¿Me quedaré fuera al pasar a SSH solo por clave?
No si lo hace por etapas: añada las claves, verifique que el acceso por clave funciona y luego desactive las contraseñas, manteniendo siempre una sesión activa durante el cambio.
¿Cambiar el puerto SSH es seguridad por oscuridad?
En parte, pero elimina casi todo el ruido de bots, así los intentos reales quedan visibles en los registros.
¿Debe permitirse alguna vez el acceso root?
Solo por consola/KVM en emergencias. El root diario por SSH es un riesgo innecesario.
¿Y el doble factor para SSH?
TOTP sobre claves es excelente para bastiones y servidores de respaldo; lo desplegamos donde el flujo lo permite.
Cómo ayuda Kinetikatech con seguridad de servidores linux
Esto es lo que hacemos cada día: Endurecimiento, monitoreo y defensa de servidores CloudLinux, Rocky Linux y cPanel contra malware, fuerza bruta e intrusiones — 24/7. Nuestro servicio Seguridad de servidores Linux y Gestión de servidores lo cubre de principio a fin: evaluación, implementación, monitoreo 24/7 y respuesta de emergencia en 30 minutos.