Seguridad del servidor Linux: Parte 4 — Auditoría y hardening con Lynis

El cortafuegos, Fail2ban y CrowdSec responden a ataques que ya están en curso. La auditoría resuelve otra tarea: encontrar de antemano los puntos débiles en la configuración del servidor —servicios innecesarios, configuraciones laxas de SSH, permisos de archivos incorrectos, falta de actualizaciones— y cerrarlos antes de que los aprovechen. A este trabajo se le llama hardening, el fortalecimiento del sistema. La herramienta gratuita más extendida para ello es Lynis.

Qué es Lynis

Lynis — escáner de seguridad para Linux, macOS y BSD de la compañía CISOfy. Se distribuye bajo la licencia GPLv3, la versión vigente es 3.1.7 (25.06.2026). Lynis no necesita compilarse: es un conjunto de scripts shell que se ejecuta directamente desde el directorio o se instala como paquete.

Lynis no cambia nada en el sistema. Comprueba la configuración del kernel, del cargador de arranque, SSH, usuarios y contraseñas, paquetes instalados y sus actualizaciones, permisos de archivos, registro, cortafuegos, servicios de red —y emite un informe con los problemas encontrados y consejos.

La versión comercial, Lynis Enterprise, añade una interfaz web, informes para varios servidores, planes de mitigación y comprobación de conformidad con estándares como PCI DSS e ISO 27001. Para uno o varios servidores la versión gratuita suele ser suficiente.

Instalación y ejecución

En los repositorios de Debian y Ubuntu hay Lynis, pero la versión allí suele quedarse atrás. Puedes instalar una versión reciente desde el repositorio de CISOfy o simplemente descargarla de GitHub:

git clone https://github.com/CISOfy/lynis
cd lynis
sudo ./lynis audit system

Es mejor ejecutarlo como root: sin privilegios Lynis omite algunas comprobaciones y avisará de ello. La comprobación dura uno o dos minutos.

Cómo leer el resultado

En la salida y en el informe hay tres cosas principales.

Warnings (advertencias) — problemas que realmente requieren acción. Normalmente son pocos.

Suggestions (sugerencias) — lugares donde se puede mejorar la configuración. Siempre son muchos más, y no todos son aplicables a su servidor.

Hardening index — indicador final de seguridad. Por sí solo dice poco, pero es útil para comparar: ejecuta la auditoría antes y después de los cambios y observa cómo varía.

Cada hallazgo tiene un identificador, por ejemplo SSH-7408. Los detalles se ven con:

sudo lynis show details SSH-7408

El registro completo de la comprobación se escribe en /var/log/lynis.log y se sobrescribe en cada ejecución; el informe legible por máquina está en /var/log/lynis-report.dat.

Qué corregir en primer lugar

Los consejos suelen ser varias docenas, y no hace falta arreglarlos todos seguidos. Un orden sensato:

1. Advertencias. Todo lo marcado como warning, resolverlo de inmediato.
2. Actualizaciones. Paquetes con vulnerabilidades conocidas y la ausencia de actualizaciones automáticas de seguridad son la causa real más común de intrusiones.
3. SSH. Acceso solo por claves, prohibir el acceso root por contraseña, deshabilitar métodos de autenticación no utilizados.
4. Servicios y puertos innecesarios. Todo lo que escucha en la red y no es necesario —detenerlo y deshabilitarlo. El cortafuegos también lo comprueba.
5. Usuarios y permisos. Cuentas sin contraseña, permisos sudo innecesarios, archivos con permisos de escritura para todos.
6. Registro. Los logs deben escribirse y almacenarse el tiempo suficiente; si no, tras un incidente no habrá qué analizar.

Los consejos que no son aplicables al servidor (por ejemplo, una partición separada para /tmp en un VPS pequeño) se pueden desactivar en un perfil propio custom.prf, para que no impidan ver lo importante.

Uno de los puntos del hardening es proteger las claves SSH privadas: se pueden guardar en una llave de hardware FIDO2, los detalles están en Secretos y zero trust: Parte 6 — Claves SSH en un token de hardware: ed25519-sk y almacenamiento.

Automatización

Una auditoría puntual es útil, pero con el tiempo las configuraciones “se deslizan”: alguien abre un puerto para depuración, instala un paquete, cambia la configuración de SSH. Por eso conviene ejecutar la auditoría regularmente.

Para ejecución programada Lynis tiene la opción --cronjob: desactiva colores y la espera de entrada.

# /etc/cron.d/lynis — auditoría semanal los lunes a las 5:00
0 5 * * 1 root /usr/sbin/lynis audit system --cronjob > /var/log/lynis-weekly.log 2>&1

Después se puede enviar el informe por correo o recoger el hardening index en el sistema de monitorización para ver si cae bruscamente.

Es más cómodo aplicar las correcciones no a mano en cada servidor, sino mediante un sistema de gestión de configuración. Para Ansible existe la colección abierta devsec.hardening del proyecto DevSec: aplica configuraciones típicas del SO y de SSH. Tras aplicarla, Lynis mostrará qué queda por hacer.

Qué no es Lynis

• No es un antivirus ni un sistema de detección de intrusos: no busca ataques en curso ni código malicioso.
• No es un escáner de vulnerabilidades de aplicaciones: no encontrará errores en el código de tu sitio.
• Un high hardening index no significa que el servidor esté completamente seguro: solo refleja hasta qué punto las configuraciones coinciden con el conjunto de comprobaciones de Lynis.

Errores comunes

• Ejecutar sin root — se omiten comprobaciones y el informe parece mejor de lo que es.
• Intentar arreglar todos los consejos a la vez, incluidos los no aplicables — se pierde tiempo y lo importante se diluye.
• Hacer una auditoría una vez tras la instalación y nunca más.
• Aplicar consejos sin comprobar — por ejemplo, endurecer SSH sin verificar desde una segunda sesión puede acabar con la pérdida de acceso.
• La versión del repositorio de la distribución puede estar uno o dos años por detrás de la actual: no incluye comprobaciones nuevas.

La auditoría es la última capa en este ciclo, y es mejor empezar con los pasos básicos de la lista de comprobación «Compré un VPS — ¿qué sigue?» y el artículo «Un servidor nuevo no es una hoja en blanco».