Implantación de la arquitectura de confianza cero en Enterprise Linux: Guía de seguridad

Los modelos de seguridad tradicionales asumen que todo lo que está dentro de la red interna es de confianza, pero ese enfoque ya no funciona. Proteger los entornos empresariales modernos exige algo más que las defensas de ciberseguridad tradicionales. Esto significa adaptar las medidas de seguridad para contrarrestar las amenazas que han evolucionado más allá de las utilizadas para las defensas perimetrales.

Por eso, las empresas se están pasando a la arquitectura de confianza cero (ZTA). Pero, ¿cómo implantar la seguridad de confianza cero en Linux? Esta guía proporciona pasos prácticos, desde la aplicación de autenticación multifactor y la microsegmentación a la supervisión continua, para que pueda bloquear sus sistemas Linux de forma eficaz. Empecemos.

¿Qué es la arquitectura de confianza cero?

 

La Arquitectura de Confianza Cero (ZTA) es un modelo de seguridad que se basa en el principio de "nunca confíes, siempre verifica". Esto significa esencialmente que los usuarios, dispositivos y aplicaciones no reciben confianza implícita, independientemente de si operan dentro o fuera de la red de la empresa.

A diferencia de los perímetros de seguridad tradicionales, la ZTA "pone el muro" a nivel de recurso individual en lugar de a nivel de toda la red. Los principios básicos son el acceso con mínimos privilegios, la microsegmentación y la autenticación continua. En los entornos empresariales Linux, esto se traduce en bloquear el acceso, aplicar controles basados en funciones y segmentar las redes para impedir el movimiento lateral. Al requerir la verificación continua de cada solicitud de acceso, ZTA elimina la confianza ciega, mitigando los riesgos asociados con las malas configuraciones, el software obsoleto y las vulnerabilidades de escalada de privilegios. vulnerabilidades de escalada de privilegios.

 

Pasos prácticos para implantar la confianza cero en las empresas Linux

 

Zero Trust sólo es eficaz si se aplica correctamente a nivel de sistema. Los siguientes pasos proporcionan medidas prácticas de implementación y ejemplos para ayudar a los administradores de sistemas a integrar la arquitectura de confianza cero en sus infraestructuras Linux.

1. Reforzar la identidad y el control de acceso

 

El refuerzo de la gestión de identidades y accesos impide que usuarios no autorizados accedan a sistemas críticos.

Aplicar la autenticación multifactor (MFA) para SSH

MFA mejora significativamente la seguridad al requerir múltiples factores de autenticación. A continuación te explicamos cómo implementarlo con Google Authenticator:

 

Paso 1: Instalar Google Authenticator

 

En Debian/Ubuntu:

 

sudo apt install libpam-google-authenticator

 

En RHEL/AlmaLinux/Rocky Linux:

 

sudo dnf install google-authenticator

A continuación, ejecute este comando para configurar el Autenticador de Google.

 

sudo google-authenticator

 

Debería ver el siguiente mensaje. Escriba y y pulse Intro. 

 

¿Desea que los tokens de autenticación se basen en el tiempo?

 

Genera un código QR y una clave secreta. Escanea el código QR con el autenticador de tu aplicación como Google Authenticator e introduce el código de la app en el terminal. A continuación, responde al resto de preguntas para completar el proceso.

Paso 2: Habilitar MFA en SSH

 

Edite /etc/pam.d/sshd y añada la siguiente línea antes de otras líneas similares:

 

auth requerido pam_google_authenticator.so nullok

 

Edite el archivo con su editor de texto favorito. 

 

sudo nano /etc/pam.d/sshd

Paso 3: Configurar SSH para requerir MFA

 

Edite /etc/ssh/sshd_config y cambie a yes en esta línea para habilitar la autenticación desafío-respuesta:

 

KbdInteractiveAuthentication sí

Por último, reinicie SSH para aplicar los cambios.

 

sudo systemctl restart sshd

Aplicar el principio de menor privilegio

 

Puedes restringir el acceso SSH a usuarios específicos editando /etc/ssh/sshd_config:

 

sudo nano /etc/ssh/sshd_config

 

Añada la siguiente línea en el archivo:

 

PermitirUsuarios usuario1 usuario2

 

Reinicie el servicio SSH:

 

sudo systemctl restart sshd

 

Implementar el Control de Acceso Basado en Roles (RBAC) con Sudo

 

Puedes utilizar «sudo» para RBAC y disponer de un control granular sobre los privilegios administrativos.

 

Por ejemplo, cree un grupo de administración utilizando este comando:

 

sudo groupadd admins

 

Añadir usuarios al grupo de administradores:

 

sudo usermod -aG admins nombre de usuario

 

Edite el archivo Sudoers (usando visudo):

 

sudo visudo

 

Añadir Reglas Sudo Granulares (Ejemplos):

 

1. Permitir el reinicio a los usuarios del grupo "admins

 

%admins ALL=(ALL:ALL) /sbin/reboot 

 

2. Permitir a los usuarios del grupo "admins" actualizar paquetes

 

%admins ALL=(root:root) /usr/bin/apt update, /usr/bin/apt upgrade 

 

3. Permitir que un usuario específico ejecute un script específico.

 

nombre_usuario ALL=(ALL:ALL) /usr/bin/mi_script.sh 

 

Nota: Evite usar %admins ALL=(ALL) ALL ya que otorga privilegios excesivos.

 

2. Cargas de trabajo Linux seguras con microsegmentación

 

Segmentar las cargas de trabajo impide que los atacantes se desplacen lateralmente dentro de su red.

Configurar un cortafuegos para restringir el tráfico innecesario

 

Bloquea todo el tráfico entrante excepto SSH y los servicios esenciales:

 

sudo ufw default deny incoming

sudo ufw allow ssh

sudo ufw enable

 

Para usuarios de iptable:

 

sudo iptables -P INPUT DROP

 

Aplicar SELinux o AppArmor para el aislamiento de procesos

 

Activar el modo de aplicación de SELinux (RHEL/CentOS/AlmaLinux/Rocky Linux):

 

sudo setenforce 1

sudo sed -i 's/SELINUX=permissive/SELINUX=enforcing/' /etc/selinux/config

 

Comprobar violaciones de la política SELinux:

 

sudo ausearch -m avc

 

Para los usuarios de Ubuntu, utilice AppArmor:

 

sudo apparmor_status

 

AppArmor está instalado y habilitado por defecto en el sistema Ubuntu. Si está deshabilitado, ejecute estos comandos para iniciar y habilitar apparmor para que se inicie automáticamente al arrancar el sistema.

 

sudo systemctl start apparmor

sudo systemctl enable apparmor

 

3. Supervisión continua y detección de amenazas

 

Una arquitectura de confianza cero debe incluir supervisión en tiempo real para detectar y responder a las amenazas antes de que se intensifiquen. Los administradores de sistemas pueden configurar el registro de auditorías, las integraciones SIEM, la detección de intrusiones basada en host y las respuestas automatizadas para aplicar las políticas de seguridad con eficacia.

Activar el registro de auditoría con auditd

 

Instalar auditd en Debian/Ubuntu:

 

sudo apt install auditd 

 

Instale auditd en RHEL/AlmaLinux/Rocky Linux:

 

sudo yum install audit




sudo systemctl start auditd




sudo systemctl enable auditd

 

Configurar reglas (Ejemplos):

 

Monitoriza los cambios en /etc/passwd:

 

sudo auditctl -w /etc/passwd -p wa -k passwd_changes

 

Monitoriza los cambios en /etc/sudoers:

 

sudo auditctl -w /etc/sudoers -p wa -k sudoers_changes

 

Supervisar los directorios críticos:

 

sudo auditctl -w /var/log/ -p wa -k log_changes

 

Supervisar llamadas específicas del sistema (por ejemplo, execve):

 

sudo auditctl -a always,exit -F arch=b64 -S execve -k process_execution

 

Ver registros de auditoría:

 

sudo ausearch -k passwd_changes

 

Interpreta los Logs: Utiliza ausearch con varias opciones para filtrar y analizar los registros.

 

Rotación de logs: Configure la rotación de logs para /var/log/audit/audit.log usando logrotate.

 

Activar el análisis de malware con ClamAV

 

El escaneado de malware proporciona una capa adicional de defensa contra el software malicioso.

 

Instalar ClamAV en Ubuntu/Debian:

 

sudo apt install clamav clamav-daemon

 

Instalar ClamAV en RHEL/AlmaLinux/Rocky Linux:

 

sudo dnf install clamav

 

Inicie y active el servicio clamav-freshclam:

 

Una vez finalizada la instalación, ejecute este comando para actualizar las bases de datos de virus.

 

sudo freshclam

 

El comando clamscan se utiliza para escanear los archivos de los directorios especificados. Por ejemplo, este comando comprueba el directorio /home/tuxcare y muestra el resumen del análisis.

sudo clamscan --infected --remove -r /home/tuxcare

Exploraciones programadas:

 

Cree una tarea cron para ejecutar clamscan regularmente.

 

sudo crontab -e

 

Ejemplo: 0 0 * * * sudo clamscan -r / -exclude-dir="^/sys|^/proc|^/dev"

 

Toma, 

 

0 0 * * *: Esto programa el trabajo para que se ejecute a medianoche todos los días.

sudo clamscan -r /: Esto ejecuta clamscan para escanear recursivamente todo el sistema en busca de malware o virus.

-exclude-dir="^/sys|^/proc|^/dev": Esta opción indica a ClamAV que excluya ciertos directorios (/sys, /proc, /dev) del análisis. Estos directorios contienen archivos de sistema, sistemas de archivos virtuales o dispositivos que no suelen ser útiles para buscar virus.

 

4. Gestión de parches sin tiempo de inactividad

 

Las vulnerabilidades de los sistemas Linux sin parches son un vector de ataque primario. Para minimizar el riesgo, la arquitectura de confianza cero requiere la aplicación continua de parches sin tiempo de inactividad, algo con lo que los métodos tradicionales de aplicación de parches tienen dificultades en los entornos empresariales.

KernelCare Enterprise de TuxCare elimina este problema con la aplicación de parches sin reinicio, lo que le permite aplicar parches de seguridad a un núcleo en ejecución sin tener que reiniciar el sistema ni programar ventanas de mantenimiento. Automatiza el proceso de aplicación de parches, garantizando que las actualizaciones de seguridad se desplieguen inmediatamente cuando estén disponibles.

Con KernelCare instalado, los equipos pueden eliminar la ventana de vulnerabilidad provocada por la espera de un reinicio y mantener más fácilmente la conformidad en sus sistemas empresariales. KernelCare ofrece parches sin reinicio para todas las distribuciones populares de Linux para empresas, incluido RHEL, CentOS, AlmaLinuxCloudLinux, Rocky Linux, Ubuntu, Oracle Linuxy Amazon Linux.

 

Reflexiones finales

 

La implantación de la arquitectura de confianza cero en los entornos empresariales requiere un cambio de la seguridad tradicional basada en el perímetro a un enfoque dinámico basado en la identidad. Mediante la autenticación robusta, la microsegmentación, la supervisión continua y los controles de acceso estrictos, las organizaciones pueden reducir significativamente las superficies de ataque y evitar el movimiento lateral.

Sin embargo, la confianza cero no se implanta una sola vez, sino que es una estrategia continua que debe adaptarse a la evolución de las amenazas. Las auditorías periódicas, las actualizaciones de seguridad automatizadas y la aplicación estricta de las políticas son esenciales para mantener una postura de seguridad sólida. Siguiendo estas buenas prácticas, los administradores de Linux pueden proteger mejor los activos críticos frente a las ciberamenazas modernas.