Tómese la seguridad del servidor en serio y detenga a los hackers

Seguridad de las salas de servidores

Cuando se habla de la seguridad del servidor, generalmente se piensa en brindar protección contra peligrosos hackers que lanzan sus ataques a través de internet. Sin embargo, incluso con la actual revolución de la nube, los servidores todavía se almacenan en centros de cómputo y salas de servidores. En estas ubicaciones, se debe realizar un mantenimiento regular del hardware y revisiones a causa de su desgaste. Además, estos equipos están expuestos a una serie de riesgos físicos que incluyen desde fluctuaciones de tensión hasta terremotos. No olvidemos que, debido al papel central que desempeñan estos servidores, los problemas que ocurran en la sala que los albergue pueden tener un rápido impacto en toda la compañía.

Asegurar los alrededores

Si es posible, los servidores deben instalarse en un edificio separado donde se tenga un control total sobre la sala y sus alrededores. Sin embargo, ese proceder solo tiene sentido si su compañía ha superado cierto tamaño. Si el edificio se utiliza también para otros fines, debe instalarse un sistema individual de detección de incendios (como mínimo) para ayudar a evitar que un fuego en un departamento vecino alcance su sala de servidores.

Se deben tener en cuenta los siguientes aspectos de seguridad para el área que rodea la sala de servidores:

¿Cómo podrían ponerse en riesgo los servidores por las salas contiguas o los pisos adyacentes? Pensemos, por ejemplo, el daño que podría hacer una tubería de agua rota o un aumento en el tráfico de visitantes que un delincuente pudiera usar en su beneficio...

Todos los cables deben estar firmemente instalados y organizados dentro de la sala, idealmente debajo de un suelo elevado. Otra medida de seguridad implica el uso de tomas con reguladores de tensión. Además, todos los objetos inflamables deben mantenerse a una distancia segura de la sala de servidores, y tampoco se recomienda que esta se utilice como un almacén improvisado.

Si es posible, se debe equipar la sala de servidores con su propio circuito eléctrico para evitar que se produzcan cortes de energía externos. Los cortocircuitos en los departamentos adyacentes no deberían afectar a los equipos de la sala de servidores. Recomendamos usar un generador de emergencia para protegerse contra cortes de energía a gran escala, especialmente si sus servidores se utilizan para suministrar servicios a otras ubicaciones.

Peligros naturales

El hardware de un servidor también puede verse afectado por la temperatura y la humedad del aire de la estancia. Por lo tanto, las salas de servidores deben estar equipadas con sistemas de aire acondicionado, calentadores y sistemas de ventilación. Si la habitación tiene ventanas, también debería estar protegida contra los efectos de la lluvia o la condensación. También hay que tener en cuenta la presencia de tuberías de agua cercanas (y sus consecuencias potencialmente peligrosas). Se puede supervisar la sala mediante sensores de temperatura y humedad. Estos sensores deben entregar sus datos a un sistema de supervisión centralizado para que se pueda activar una alarma en caso de que se excedan sus correspondientes valores de umbral.

Lo mismo ocurre con los sistemas de detección de humo e incendios. Los dispositivos automatizados de extinción de incendios pueden ahorrarle tener que adquirir un costoso hardware nuevo en el futuro. La sala de servidores también debe estar equipada con extintores portátiles.

Puesto que la mayoría de servidores y sus componentes están en funcionamiento de forma continua durante años, incluso el más mínimo riesgo se convierte en una auténtica amenaza, de manera que también hay que protegerse contra estos riesgos. Dependiendo de su ubicación geográfica, los servidores deben estar protegidos contra terremotos y otros fenómenos naturales. En tales casos, una buena práctica consiste en configurar un segundo centro de cómputo en otra ubicación para brindar protección adicional en caso de un fallo total del sistema.

Limitar el acceso

Los datos de clientes y empresas que se guardan en servidores y sus correspondientes sistemas de almacenamiento requieren una vigilancia especial. Por ello, hay que controlar quién puede acceder a estos datos a través de la red. El acceso físico a la sala de servidores también debe estar dictado por un conjunto transparente de reglas. Al mantener un control y un registro del acceso a la sala de servidores, se puede prevenir la manipulación por parte de personas no autorizadas o, al menos, permitir un seguimiento preciso fácilmente.

Puede parecer trivial, pero, para evitar que accedan a la sala de servidores personas no autorizadas, hay que hallar formas que dificulten lo máximo posible a dichas personas lograr sus objetivos. Una de estas estrategias consiste en eliminar todas las indicaciones que dirigen a la sala de servidores. Después de todo, quienes tienen acceso a la misma ya saben dónde se encuentra.

Además, hay que evitar instalar la sala de servidores junto a un departamento con estaciones de trabajo para invitados. El objetivo es que no haya una forma fácil de que aquellos empleados que no pertenezcan a la compañía puedan acceder a la sala de servidores sin la autorización adecuada. La sala de servidores siempre debería estar cerrada con llave.

Todos los puntos de acceso a la misma (desde dentro o desde afuera) deben protegerse de tal manera que incluso los métodos de acceso más sofisticados fracasen. Después de todo, también pueden producirse allanamientos durante la noche, los fines de semana y los días festivos. No solo es importante asegurar puertas y ventanas, sino también ojos de buey, rejillas de ventilación y patios de luces. Por otro lado, también conviene pensar por dónde podrían colarse pequeños roedores en la sala, como cerraduras, rejas y puertas y ventanas de seguridad.

Instalar un sistema de videovigilancia para supervisar el área de entrada y los posibles puntos de entrada en la zona circundante podría ser una buena idea, siempre que se tengan en cuenta las regulaciones de protección de datos, claro está.

Permiso de acceso: saber cuándo y cómo otorgarlo

Pueden producirse lagunas de seguridad cuando se otorgan permisos de acceso de manera inconsistente o aleatoria. La empresa debe definir claramente quién necesita acceder a una sala de servidores y quién recibirá una tarjeta chip o clave de entrada. Se deben registrar por escrito todos estos permisos de acceso.

Además, la compañía debe asegurarse de que se devuelvan las llaves cuando ya no haya ninguna razón para que las personas las tengan. También debe establecerse una política clara sobre qué hacer si falta una llave o una tarjeta chip, qué medidas deben tomarse y dónde debe guardarse una llave de repuesto en caso de emergencia.

Como suele ser el caso de las preguntas críticas concernientes a la seguridad, se aplica el siguiente principio: el menor acceso posible, y solo el estrictamente necesario. Hay que registrar todo acceso a los sistemas de TI y contacto con los mismos, y se debe revisar periódicamente esta documentación.

Supervisión de salas de servidores

Es ideal configurar sensores y alertas para cada uno de estos casos como parte del entorno de supervisión centralizado, de manera que se envíe una alarma al administrador en caso de que se produzcan fluctuaciones en la temperatura o la humedad, humo, incendios, mensajes de error de hardware y accesos o entradas no autorizados.

Precauciones para prevenir ataques

Una vez que se haya determinado una ubicación adecuada para los servidores, es imprescindible configurarlos de manera segura. En concreto, debemos asegurarnos de contar con un resumen general constante de sus servidores y adoptar medidas de precaución bloqueando lagunas de seguridad y puertas de enlace. Hay que despojar al atacante de todas las opciones de ataque posibles.

Sistemas mínimos

Cuanto más simple sea el sistema, menos propenso será a los errores y menos fallos de software habrá que corregir. Los servidores también deberían configurarse de la forma más sencilla y transparente posible. Su hardware, servicios y sistema operativo deberían estar orientados a realizar tareas concretas. A mayor complejidad del sistema, más difícil será mantener una visión general y más probabilidades habrá de pasar por alto las lagunas de seguridad.

Por lo tanto, solo se deben utilizar aquellos componentes de hardware que sean absolutamente necesarios para el funcionamiento de las operaciones del negocio. El sistema operativo debe estar correctamente configurado; los servicios, claramente relacionados con la empresa y su objetivo, y las interfaces de acceso a internet deben reducirse al mínimo. Cuando un componente de hardware, un servicio o una interfaz dejen de ser necesarios, hay que desinstalarlos, cerrarlos o deshabilitarlos.

Gestión de permisos

Puesto que los empleados (y sus dispositivos y cuentas) pueden atraer la atención de los hackers, solo deben tener acceso a los servicios y la información que estén autorizados a utilizar, y únicamente obtener los permisos estrictamente necesarios para realizar sus tareas.

De ese modo, se asignan varios permisos a diferentes cuentas de usuario y se definen las áreas y las operaciones (lectura, escritura y ejecución) de las que los usuarios pueden hacer uso. Los usuarios normales, por ejemplo, no deben disponer de permisos de administrador. La gestión de permisos hace que los servidores sean más seguros. Por un lado, los usuarios inexpertos no pueden causar daños accidentalmente, mientras que, por el otro, los hackers no pueden infiltrarse en áreas clave hackeando una cuenta cualquiera.

En general, la configuración de los permisos se realiza a través de un sistema central de gestión de usuarios al que el servidor puede acceder. Un sistema de administración central es menos propenso a errores, pero también debe estar adecuadamente protegido. La transmisión de datos entre el cliente y el servidor debe estar encriptada; de lo contrario, los atacantes podrán leer las contraseñas. Por ejemplo, para esto se usan los servicios de directorio LDAP (Lightweight Directory Access Protocol) y Microsoft Active Directory. Antes de usar la versión sin cifrar de LDAP, plantéese el uso de Secure LDAP o LDAPS.

Formación para empleados

Simplemente con una asignación correcta de los permisos ya habremos avanzado mucho en la protección de las máquinas cliente contra posibles ataques. Atajar los ataques por completo es completamente imposible, ya que los empleados necesitan interfaces para sus procesos de negocio (que pueden incluir desde búsquedas simples hasta tráfico de correo electrónico y acceso a la cuenta de la empresa). Por lo tanto, es menester enseñar a los empleados cómo trabajar con dispositivos, cuentas y permisos de usuario. También hay que aprender a detectar los ataques, así como ayudar a prevenirlos.

Una de las técnicas que usan los piratas para dirigirse a los empleados se denomina “ingeniería social”. La ingeniería social se produce cuando se influencia a las personas para comportarse de cierta manera, como revelar sus contraseñas y otra información confidencial o hacer clic en un enlace que permite que se instale malware en su máquina.

Este tipo de estafas puede implicar la llamada de un “técnico de asistencia” que insiste en acceder de manera urgente a sus datos. Otra versión emplea correos electrónicos de suplantación de identidad (phishing) que instan a los empleados a navegar a una determinada página, lo que permite a un hacker obtener su información de inicio de sesión o infectar sus equipos. Generalmente, el phishing se realiza a gran escala: si se envían miles de correos electrónicos, se espera que, al menos, un destinatario haga clic en el enlace y, de ese modo, conceda el acceso a la red de la empresa. El “spear phishing” es un tipo especial de phishing que utiliza correos electrónicos de apariencia legítima para grupos específicos.

Los empleados desempeñan funciones clave en la mejora de la seguridad de sus servidores y su red. Deben familiarizarse con temas como el phishing, las contraseñas seguras y el comportamiento responsable en el lugar de trabajo. A veces, dejar a un invitado solo frente a un equipo es lo único que hace falta para comprometer a toda la empresa.

Actualizaciones de software

El software también puede poner en riesgo a la empresa, sin importar si se trata de firmware o herramientas corporativas. Detrás de las lagunas de seguridad podemos encontrar errores de programación, así como otros fallos. Los exploits aprovechan las debilidades que así se generan para, primero, obtener acceso a la red y los servidores y, luego, recabar información secreta de la compañía o integrar malware.

Al mismo tiempo, los profesionales reúnen exploits en “kits de exploits”, les implementan una interfaz fácil de usar y los venden a otros hackers interesados. De esta manera, se pueden “atravesar” una gran variedad de potenciales puntos débiles con poco o ningún esfuerzo.

Si se descubre un punto débil, hay que eliminarlo mediante contramedidas o actualizaciones de seguridad que se distribuyen automáticamente a todas las estaciones de trabajo de la empresa. Al hacerlo, al menos se asegurará de cerrar todas las pasarelas conocidas. Sin embargo, aún existe el riesgo de que el hacker esté un paso por delante del fabricante y del departamento de seguridad de TI.

Dispositivos de protección de memoria y aleatoriedad de memoria

Incluso si un programa funciona sin errores, un pirata informático aún puede encontrar una forma de acceder. Una gestión inadecuada de la memoria puede suponer un gran riesgo para la seguridad. En tal caso, la memoria reservada es demasiado pequeña para el volumen de datos. Los desbordamientos de búfer resultantes pueden hacer que los datos se escriban en regiones de la memoria, lo que posteriormente puede dañar programas y otros datos. Los hackers aprovechan estas situaciones para hacer que los programas se cuelguen selectivamente, o incrustar código malicioso.

Para evitar que los programas se ejecuten en regiones de memoria no autorizadas, se puede instalar un dispositivo de protección de memoria (Executable Space Protection, o “ESP”). A pesar de que ciertos sistemas operativos pueden hacer esto sin ayuda del hardware, algunos procesadores cuentan con hardware compatible con ESP.

Pero incluso ESP tiene lagunas. Si los atacantes entienden la estructura del programa, pueden desbordar el búfer para hacer que se cuelgue (por ejemplo, sobrescribiendo los datos en el búfer). La aleatoriedad de memoria (asignación aleatoria del diseño del espacio de direcciones, o ASLR, por sus siglas en inglés) puede ayudar a prevenir tales ataques. Como su nombre sugiere, ASLR organiza los espacios de direcciones al azar.

La protección de conexiones remotas

Cada vez más empresas confían en la administración remota (a través de la red local o de Internet) para gestionar sus servidores. La administración remota es útil para identificar problemas rápidamente y determinar si se han superado los valores de umbral. Con una información más rápida se pueden tomar medidas con mayor velocidad, y limitar las consecuencias potencialmente negativas. Gracias a ello, se pueden supervisar y administrar sistemas distribuidos por todo el mundo desde una ubicación central.

Las interfaces de administración remota también pueden consultar el estado del hardware si el sistema está apagado y, por lo tanto, no dependen de su sistema operativo. Con una interfaz de administración remota, el sistema puede reiniciarse desde lejos (y también apagarse). El único requisito es una conexión a la fuente de alimentación. La interfaz de administración de plataforma inteligente (IPMI, por sus siglas en inglés) funciona con el hardware de cualquier fabricante. Puede consultar los estados de las fuentes de alimentación, los procesadores, los ventiladores y los discos duros. También hay interfaces específicas de ciertos fabricantes.

Independientemente de la interfaz, es importante que la conexión sea segura y esté encriptada para evitar que personas no autorizadas consulten sus datos y garantizar que terceras partes desconocidas no se hagan con el control del sistema. Un hacker con acceso a esta conexión puede apagar su hardware por completo.