Seguridad servidor Linux con Lynis: guía de auditoría

📅 Publicado el 18 de octubre, 2026 · Por Equipo RedServicio

Qué es Lynis y por qué es clave para la seguridad servidor Linux

Mantener la seguridad servidor Linux no es algo que se resuelva un día y ya está. Es un proceso continuo: auditar, detectar, corregir. Y volver a empezar al mes siguiente. Lynis, una herramienta de auditoría open source desarrollada por CISOfy, analiza más de 300 controles de seguridad en tu sistema: configuración de SSH, permisos de archivos, firewall, actualizaciones, contraseñas, servicios innecesarios y bastante más. Es gratuita, ligera y funciona en Debian, Ubuntu, CentOS, Rocky Linux y prácticamente cualquier distribución que se precie.

Para webmasters y desarrolladores que gestionan su propio hosting o VPS, Lynis funciona como un chequeo médico completo del servidor: te dice exactamente qué está débil y cómo corregirlo, con un índice de hardening final que puedes ir mejorando con el tiempo. Sin prisa.

Cómo instalar Lynis en tu servidor Linux

Instalación desde los repositorios oficiales

La vía recomendada es el repositorio oficial de CISOfy, así tienes siempre la última versión:

• Debian/Ubuntu: añade el repositorio con apt-key y la URL https://packages.cisofy.com/community/lynis/deb/, y después ejecuta sudo apt update && sudo apt install lynis.
• RHEL/CentOS/Rocky: crea el archivo del repositorio en /etc/yum.repos.d/cisofy-lynis.repo e instala con sudo yum install lynis.

Instalación manual rápida

¿Prefieres no añadir repositorios? Se descarga directo desde GitHub:

• git clone https://github.com/CISOfy/lynis
• cd lynis && sudo ./lynis audit system

Con eso ya puedes lanzar tu primera auditoría. Sin instalar nada adicional en el sistema.

Cómo ejecutar una auditoría completa e interpretar los resultados

Lanza la auditoría con privilegios de administrador para que Lynis pueda revisar todos los controles:

• sudo lynis audit system

El proceso tarda entre 2 y 10 minutos, según lo grande que sea el sistema. Al terminar, verás un resumen con tres datos que importan:

1. Hardening index: una puntuación de 0 a 100. Un servidor recién instalado suele rondar los 50-60 puntos; superar los 80 es un objetivo realista.
2. Warnings: problemas graves. Estos sí, para ayer.
3. Suggestions: recomendaciones de mejora ordenadas por prioridad.

El informe completo queda guardado en /var/log/lynis-report.dat y el log detallado en /var/log/lynis.log. Para consultar el detalle de cada sugerencia:

• sudo lynis show details TEST-ID

Fortalecimiento básico: las correcciones más importantes

Asegura SSH

SSH es el vector de ataque más común en servidores Linux. No es casualidad: todo bot del mundo escanea el puerto 22. En /etc/ssh/sshd_config aplica estos cambios:

• PermitRootLogin no: desactiva el acceso directo de root.
• PasswordAuthentication no: usa solo autenticación por clave pública.
• Port 2222 (opcional): cambiar el puerto reduce el ruido de los bots automatizados.
• AllowUsers tu_usuario: restringe quién puede conectarse.

Reinicia el servicio con sudo systemctl restart sshd. Lynis detectará estas mejoras y tu puntuación subirá.

Configura un firewall

Si aún no tienes uno, Lynis lo marcará como falta grave (y con razón). Con UFW en Ubuntu/Debian:

• sudo ufw default deny incoming
• sudo ufw allow 80/tcp && sudo ufw allow 443/tcp
• sudo ufw allow 2222/tcp (tu puerto SSH)
• sudo ufw enable

Mantén el sistema actualizado

Las vulnerabilidades conocidas siguen siendo la puerta de entrada más frecuente. Suena obvio, pero cuántos servidores hay parcheados a medias. Configura actualizaciones automáticas de seguridad con unattended-upgrades en Debian/Ubuntu, o usa dnf-automatic en sistemas RHEL. Lynis comprueba si quedan actualizaciones pendientes y si el gestor de paquetes está bien configurado.

Instala fail2ban contra ataques de fuerza bruta

Fail2ban bloquea automáticamente las IP que fallan repetidamente al autenticar. Se instala con sudo apt install fail2ban y basta con activar el jail de SSH. Para rematar, añade libpam-pwquality y fuerza políticas de contraseñas robustas. Es poco esfuerzo para lo mucho que devuelve.

Automatiza las auditorías con cron

Una auditoría hecha una sola vez caduca rápido. Lo que da valor es repetirla. Puedes dejar Lynis programado cada semana así:

• Abre sudo crontab -e y añade esta línea:
  0 4 * * 1 /usr/sbin/lynis audit system –quick > /var/log/lynis-weekly.log 2>&1

Con esto acumulas un histórico. Y ahí está la gracia: puedes comparar el índice de hardening de un mes con el anterior y ver si algo ha empeorado. Suele pasar, por ejemplo, después de instalar una aplicación nueva (a veces abres más puertos de los que crees). Si gestionas un hosting en RedServicio, ten presente que nuestro panel ya trae monitorización continua y soporte 24/7; aun así, lanzar Lynis de vez en cuando desde tu lado sigue siendo una práctica que recomiendo.

Buenas prácticas adicionales detectadas por Lynis

• Mounta /tmp con noexec, nosuid y nodev: así nadie puede ejecutar binarios maliciosos desde archivos temporales.
• Activa la compilación de banners legales en SSH y consolas.
• Revisa los permisos de /etc/passwd, /etc/shadow y /etc/group: Lynis avisa si están demasiado laxos, y es más común de lo que parece.
• Deshabilita servicios que no uses como telnet, rsh o FTP sin cifrar.
• Configura límites con PAM para frenar ataques de denegación de servicio por agotamiento de recursos.

Preguntas frecuentes

Conclusión

Pocas inversiones de tiempo dan tanto retorno como auditar tu servidor con Lynis. Es gratuito, va rápido y te deja sobre la mesa un mapa claro de acciones concretas. Mi consejo: instala la herramienta, lanza tu primera auditoría con lynis audit system, ataca primero las advertencias críticas (SSH, firewall, actualizaciones) y programa el análisis semanal para tener la puntuación siempre a la vista. La seguridad de un servidor Linux no es un destino, es un hábito. Lynis te ayuda a que ese hábito no se te olvide. Y si prefieres delegar, en RedServicio ofrecemos hosting con configuraciones endurecidas por defecto, copias de seguridad automáticas y soporte 24/7, para que tú te ocupes de tu proyecto y nosotros del servidor.