Linux para Ciberseguridad: Guía Maestra de Detección de Intrusos y Análisis de Logs

¿Sabes realmente qué procesos están corriendo en tu servidor en este segundo? En el panorama actual de amenazas, dominar Linux para ciberseguridad ya no es una opción, es el requisito mínimo para cualquier analista de Blue Team. Mientras la mayoría se limita a ejecutar herramientas automáticas, en esta guía te enseñaremos a interpretar la ‘respiración’ del sistema. Aprenderás a realizar detección de intrusos desde el núcleo, analizando logs y estructuras críticas para identificar ataques que los firewalls convencionales suelen pasar por alto.

Más allá de la terminal

En el mundo de la ciberseguridad, existe un mito peligroso: creer que saber Linux es memorizar una lista de comandos. En Apuntes IT defendemos una visión diferente. Para proteger un sistema, primero debes entender cómo funciona su estructura más íntima. Un analista de Blue Team no es quien más herramientas descarga, sino quien sabe interpretar los rastros silenciosos que dejan los atacantes.

El Sistema de Archivos: El ADN de la Seguridad

En Linux, todo es un archivo. Esta premisa es la base de nuestra estrategia defensiva.

El Cerebro: /etc

Aquí reside la configuración del sistema. Archivos como /etc/passwd y /etc/shadow son los objetivos principales para la persistencia. Cualquier usuario nuevo o cambio de hash no autorizado aquí significa que el atacante ya tiene una llave de tu casa.

• /etc/passwd: El mapa de todos los usuarios del sistema. Un cambio aquí puede indicar la creación de un usuario «fantasma».
• /etc/shadow: Contiene los hashes de las contraseñas. Es el objetivo número uno para ataques de cracking.
• /etc/sudoers: Define quién tiene poder de Root. Una línea extra aquí y el atacante tiene control total.

El Fantasma: /proc

A diferencia de otros directorios, /proc no existe en el disco duro; vive en la memoria RAM. Es una radiografía en tiempo real de los procesos y el hardware. Ignorar este directorio es el error más común de los SysAdmins principiantes.

• PID (Process ID): Cada carpeta numérica es un proceso en ejecución.
• Memoria Volátil: Al vivir en la RAM, los atacantes suelen ocultar aquí malware que desaparece al reiniciar.
• Análisis de Intrusos: Revisar /proc/net nos permite ver conexiones activas que no aparecen en herramientas estándar.

Threat Hunting con Logs: El Arte de la Vigilancia

Si un hacker intenta entrar, el sistema lo escribirá en su «diario». El archivo /var/log/auth.log (o /var/log/secure en RedHat) es nuestra fuente principal de verdad.

El Ojo Vigilante: tail -f

Para detectar un ataque mientras ocurre, usamos: sudo tail -f /var/log/auth.log Este comando nos permite ver los intentos de inicio de sesión al instante. Es como tener una cámara de seguridad apuntando directamente a la puerta de enlace SSH.

Cirugía de Datos con grep y awk

No podemos leer miles de líneas manualmente. Necesitamos precisión quirúrgica. Para identificar ataques de fuerza bruta y contar cuántas veces lo intentó cada usuario, la combinación ganadora es:

sudo grep "Failed password" /var/log/auth.log | awk '{print $(NF-5)}' | sort | uniq -c | sort -nr

Este comando filtra los fallos, extrae la dirección IP (columna NF-5), las agrupa y genera un ranking de mayor a menor frecuencia de ataque.

La Amenaza Silenciosa: Permisos SUID

El permiso SUID (Set User ID) permite que un archivo se ejecute con los privilegios del propietario (generalmente Root). Los atacantes buscan archivos con este permiso mal configurados para realizar una Escalada de Privilegios.

Para auditar tu sistema en busca de estos «caballos de Troya», ejecuta: find / -perm -4000 2>/dev/null

Una vez encontrados, los atacantes suelen consultar sitios como GTFOBins para verificar si esos binarios permiten escapar a una shell de root.

Laboratorio Práctico: Simulando un Ataque Real

Para que tu aprendizaje sea sólido, hemos desarrollado un script que simula dos tipos de amenazas: una interna (usuario local) y una externa (botnet de internet).

⚠️ AVISO DE SEGURIDAD Y ÉTICA PROFESIONAL 
El contenido y los scripts de simulación proporcionados en este artículo tienen un propósito estrictamente educativo y de auditoría preventiva. El uso de estas técnicas en sistemas sin autorización expresa es ilegal y poco ético. Apuntes IT no se responsabiliza por el mal uso de esta información. Recomendamos ejecutar estas pruebas únicamente en entornos de laboratorio controlados o máquinas virtuales.

Simulación de ataque SSH (Bash):

# Script de simulación para laboratorio Apuntes IT
TARGET_IP="TU_IP_AQUI"
sshpass -p "clave_falsa" ssh -o ConnectTimeout=2 -o StrictHostKeyChecking=no "soporte@$TARGET_IP" "exit"

(Ver el script completo en nuestro video de YouTube relacionado).

Pasos rápidos de Hardening

• Deshabilitar Root por SSH: Edita /etc/ssh/sshd_config y cambia PermitRootLogin a no.
• Monitoreo de SUID: Ejecuta el comando de auditoría una vez al mes para detectar binarios nuevos.
• Limpieza de Logs: Asegúrate de que logrotate esté funcionando para no quedarte sin espacio en disco durante un ataque de fuerza bruta.

Conclusión

La ciberseguridad en Linux es un juego de ajedrez constante. Dominar los logs y entender los permisos del sistema es tu mejor defensa contra las amenazas.

¿Listo para blindar tus sistemas? Dominar la detección de intrusos es solo el primer paso en tu carrera como analista de Blue Team. Si quieres ver estos comandos en acción y aprender a configurar alertas automáticas que te avisen al móvil cuando alguien intenta vulnerar tu SSH, mira nuestro video tutorial completo aquí.

¿Te quedó alguna duda sobre los permisos SUID o el análisis de logs? Déjanos un comentario abajo. En Apuntes IT respondemos todas las consultas técnicas de nuestra comunidad para que nadie se quede atrás. ¡Tu feedback nos ayuda a seguir creando guías maestras!

Diego G. Calbo Elizondo

Trabajando desde el año 1990 en el mercado de la tecnología. Técnico en Electrónica. Administrador de Sistemas. Administrador de Redes. Técnico en telecomunicaciones. Técnico de plataforma satelital. Incursiono en el Software Libre desde mediados del 1997. Desde entonces utilicé varias distribuciones GNU/Linux comenzando con un RedHat 5.0
Formé parte del Core Team y miembro del grupo de desarrollo del Proyecto UTUTO.