Hardening de sistemas

El hardening o endurecimiento de sistemas es el proceso de reducir las posibilidades de que un sistema sea comprometido mediante una configuración más segura y la eliminación o limitación de elementos innecesarios.

No consiste en aplicar una única herramienta. Es un conjunto de medidas que afectan al sistema operativo, servicios, cuentas, permisos, aplicaciones, red, registros y mantenimiento.

Sistema inicial
↓
Eliminar lo innecesario
↓
Configurar de forma segura
↓
Limitar privilegios
↓
Actualizar y monitorizar
↓
Sistema endurecido

El objetivo no es conseguir un sistema absolutamente invulnerable, sino reducir su exposición y limitar las consecuencias de posibles incidentes.

Antes de modificar una configuración conviene conocer la función del sistema y los componentes que necesita para prestarla.

Un inventario básico puede identificar:

• sistema operativo y versión;
• aplicaciones instaladas;
• servicios activos;
• puertos necesarios;
• usuarios y grupos;
• permisos especiales;
• dependencias;
• mecanismos de administración;
• datos que deben protegerse.

Deshabilitar componentes sin conocer sus dependencias puede provocar fallos. El hardening debe reducir la exposición sin impedir que el sistema realice correctamente su función.

Una configuración predeterminada busca normalmente facilitar la instalación o garantizar compatibilidad con diferentes entornos. Esto no significa que sea la configuración adecuada para todos los escenarios.

Después de instalar un sistema o servicio conviene revisar aspectos como:

• cuentas y permisos iniciales;
• servicios habilitados;
• interfaces accesibles;
• opciones de administración;
• mecanismos de autenticación;
• registro de eventos;
• funciones que no se utilizan.

La configuración debe responder a las necesidades reales del entorno y al nivel de riesgo asociado al sistema.

El principio de mínimo privilegio establece que usuarios, servicios y procesos deben disponer únicamente de los permisos necesarios para realizar su función.

Esto ayuda a limitar las consecuencias de errores, configuraciones incorrectas o compromisos de cuentas.

Función necesaria
↓
Permisos necesarios
↓
Acceso concedido
↓
Revisión periódica

Las tareas administrativas deberían realizarse únicamente con los privilegios necesarios y durante el tiempo requerido.

También conviene revisar periódicamente cuentas antiguas, permisos heredados y privilegios que ya no responden a una necesidad real.

Un sistema debería exponer únicamente los servicios de red necesarios para cumplir su función.

La revisión puede considerar:

• qué servicios están escuchando;
• qué puertos necesitan ser accesibles;
• desde qué redes debe permitirse el acceso;
• qué interfaces administrativas están expuestas;
• si existen servicios que pueden limitarse a redes internas;
• qué reglas de filtrado son necesarias.

Servicio necesario
↓
Puerto necesario
↓
Origen autorizado
↓
Regla de acceso
↓
Registro y revisión

La protección de red complementa al hardening del propio sistema. Ninguna de las dos medidas sustituye a la otra.

Un sistema endurecido también necesita ofrecer visibilidad suficiente para detectar problemas y analizar eventos relevantes.

Los registros pueden ayudar a conocer:

• inicios de sesión;
• errores de autenticación;
• cambios de configuración;
• acciones administrativas;
• fallos de servicios;
• eventos relevantes para la seguridad.

Registrar todos los eventos posibles sin un criterio definido puede generar demasiado volumen y dificultar el análisis. Conviene decidir qué información resulta relevante, cuánto tiempo debe conservarse y quién puede acceder a ella.

Evento
↓
Registro
↓
Monitorización
↓
Detección
↓
Revisión o respuesta

Cuando existen varios sistemas similares, puede resultar útil definir una configuración base o baseline que establezca los valores de seguridad esperados.

Una baseline puede describir, por ejemplo:

• servicios permitidos;
• configuración de cuentas;
• políticas de acceso;
• requisitos de registro;
• configuración de red;
• software autorizado;
• parámetros de seguridad.

Baseline definida
↓
Sistema configurado
↓
Comparación periódica
↓
Desviación detectada
↓
Revisión y corrección

Esto facilita la consistencia entre equipos y ayuda a detectar desviaciones respecto a la configuración prevista.

Como referencia inicial, una revisión de hardening puede comprobar los siguientes puntos:

• inventario del sistema actualizado;
• software innecesario retirado;
• servicios innecesarios deshabilitados;
• puertos expuestos revisados;
• configuraciones predeterminadas revisadas;
• cuentas innecesarias desactivadas;
• privilegios administrativos limitados;
• permisos de archivos revisados;
• actualizaciones gestionadas;
• registros relevantes habilitados;
• monitorización disponible;
• copias de seguridad protegidas y verificadas;
• configuración documentada;
• revisión periódica planificada.

Esta lista es una referencia conceptual. Los controles concretos deben adaptarse al sistema operativo, servicio, función y riesgo de cada entorno.

El hardening se relaciona directamente con otros aspectos de la protección de sistemas:

• Fundamentos de ciberseguridad — activos, amenazas, riesgos y controles de seguridad.
• Autenticación y control de acceso — identidades, permisos, MFA y mínimo privilegio.
• Seguridad de redes — exposición, segmentación y filtrado de comunicaciones.
• Vulnerabilidades, CVE y CVSS — identificación y priorización de vulnerabilidades.