Tema: hardening
-
Preparación para la recuperación antes de un cambio de endurecimiento: acceso a consola, una copia de seguridad, una reversión automática programada y un registro de cambios
Una metodología para que cualquier cambio de endurecimiento sea reversible antes de aplicarlo: confirmar el acceso fuera de banda, hacer una copia de seguridad de lo que va a cambiar, armar una reversión programada que se dispare si nada confirma el éxito, y registrar el cambio, de modo que un error de red o de autenticación se autocorrija en lugar de requerir una visita al sitio.
-
Monitorización de integridad de archivos con AIDE: construir la línea base, comparar contra ella y mantener la base de datos fuera del host
AIDE compara el sistema de archivos en vivo contra una base de datos que construyó antes; aide --init crea esa base de datos, un operador debe moverla a su lugar, y aide --check solo es fiable si un atacante que alteró el host no pudo también alterar la línea base almacenada.
-
Instalación y refuerzo de seguridad del servidor OpenSSH integrado en Windows Server
Add-WindowsCapability instala la función OpenSSH Server; sshd_config se encuentra en %ProgramData%\ssh, las claves autorizadas de un administrador deben ir en administrators_authorized_keys con una ACL restringida, o el servidor las ignora, y DefaultShell determina qué ejecuta realmente una sesión SSH.
-
CIS Benchmarks y DISA STIG como base de hardening: qué son y cómo aplicarlos de forma selectiva
Los CIS Benchmarks y las DISA STIG son dos conjuntos de recomendaciones de configuración mantenidos de forma independiente; ambos ofrecen niveles de perfil seleccionables en lugar de un único objetivo fijo. Aplicar un perfil completo sin registrar las excepciones es una forma habitual de que el trabajo de hardening interrumpa un servicio en producción.
-
Análisis de un host Linux frente a una línea base con OpenSCAP
oscap xccdf eval ejecuta un perfil de SCAP Security Guide contra un host en funcionamiento o una imagen sin conexión y genera un informe legible; revisar el script de remediación generado antes de ejecutarlo evita que un análisis automatizado acabe en una caída automatizada.
Legible por máquina: JSON