Guía de Seguridad del Administrador de Linux - Gestión de auditorías

De forma que has asegurado las máquinas, y has hecho todas las cosas que es necesario hacer. De modo que ¿cómo te aseguras de que en realidad está haciendo lo que se supone que debe hacer, o cómo probarle a alguien que es tan seguro como dices que es? Pues llevando a cabo una auditoría. Puede ser algo tan simple como revisar el software instalado, ficheros de configuración y demás, o tan complejo como alquilar un tiger team (o hackers éticos, o cualquier otra palabreja) para intentar activamente entrar y penetrar en tu seguridad. Si no pueden, hiciste un buen trabajo (o si no apestan), y si entran, ya sabes que es lo que hay que arreglas (es un buen método para enseñarle al jefe que la seguridad no es un asunto a corto plazo, sino que es una batalla constante).

También existen muchas herramientas gratuitas y técnicas que se pueden utilizar para llevar a cabo tú mismo una auditoría y asegurarte de que los sistemas reaccionan como crees que deberían (todos cometemos errores, pero cazarlos rápidamente y corregirlos es parte de lo que te convierte en un gran administrador). Herramientas tales como nmap, nessus, crack, etcétera, se pueden emplear de forma rápida para escanear la red y los hosts, encontrando de forma rápida cualquier problema obvio. También sugeriría echarle un vistazo cada cierto tiempo a los ficheros de configuración (en cuanto a mi, intento "visitar" cada servidor una vez al mes, a veces descubro algún pequeño error, o algo que olvidé configurar anteriormente). Mantener los sistemas en un relativo estado de sincronización (acabo de terminar de trasladar a TODOS mis clientes al Kernel 2.2.x, con ipchains) te ahorrará una buena cantidad de tiempo y energías.

Utilizando las herramientas mencionadas anteriormente en la sección "Normas de comportamiento" se pueden comprobar la integridad de los ficheros utilizando tripwire, L5, copias de seguridad u otros métodos. Otra herramienta que es útil para comprobar binarios es el comando "strings", que muestra información legible de los ficheros binarios, y es especialmente útil si alguien olvidó ejecutar "strip" en sus binarios después de compilarlos (la gente ha tenido suerte y ha conseguido el directorio desde el que se compiló el exploit, permitiéndoles trazar el usuario exacto).