Ir al contenido 
Específico Montaje del sistema de archivosLas opciones de seguridad refuerzan la seguridad de mi servidor Linux a nivel del sistema de archivos y bloquean los ataques típicos a través de rutas temporales, binarios setuid y archivos de dispositivo. Establezco parámetros de montaje claros, como noexec, establezco los valores de nosuid y nodev para definir qué se permite en cada partición y, de este modo, reduzco considerablemente el riesgo de escalada de privilegios.
Puntos centrales
Los siguientes puntos clave ofrecen una introducción directa a la configuración segura de las opciones de montaje y muestran herramientas concretas para Fortalecimiento de servidores y funcionamiento.
- noexec/nosuid/nodev: Opciones principales contra la ejecución de código, el uso indebido de SUID/SGID y los archivos de dispositivo.
- Rutas temporales: Limitar estrictamente /tmp, /var/tmp y /dev/shm.
- /etc/fstab: Comprobar y supervisar adecuadamente las entradas persistentes.
- Opciones de rendimiento: Utilizar de forma específica ro, noatime, sync y Quotas.
- Añadidos: Combinar ACL, umask, chattr y el cifrado.
Por qué las opciones de montaje contribuyen de forma significativa al refuerzo de la seguridad de los servidores
Mediante opciones específicas para cada partición, controlo lo que puede suceder en ellas y, de este modo, evito Superficies de ataque. La convocatoria mount -o rw,noexec,nosuid,nodev convierte un montaje estándar en un montaje reforzado que impide la ejecución de código y los trucos setuid. Especialmente en directorios de escritura compartida, esto me protege de las típicas cadenas de exploits procedentes de /tmp. Planifico, para cada partición, qué acciones son realmente necesarias y restrinjo todo lo demás de forma sistemática. De este modo, consigo una mejora notable con muy poco esfuerzo. Seguridad en la vida cotidiana.
noexec, nosuid, nodev: los tres pesos pesados del día a día
He puesto noexec en rutas temporales, para que los archivos binarios almacenados allí no se ejecuten directamente. Con nosuid desactivo las vías de escalada SUID/SGID, sobre todo en sistemas de archivos externos y en red. La opción nodev impide que alguien cree y utilice de forma indebida archivos de dispositivo peligrosos. En conjunto, estos tres controles bloquean la ejecución de código, la ampliación de privilegios y los accesos de bajo nivel. Esta combinación reduce considerablemente el riesgo de escalada de privilegios y refuerza mi Fortalecimiento de servidores mensurable.
Situaciones típicas de uso y opciones recomendadas
Por norma general, para los directorios temporales como /tmp, /var/tmp y /dev/shm, configuro noexec, nosuid y nodev. En /var y /var/log prescindo de los archivos de dispositivo y de SUID/SGID, ya que ninguno de los dos tiene una finalidad legítima allí. En /home permito la ejecución cuando sea necesario, pero bloqueo SUID/SGID y los archivos de dispositivo. Para /boot configuro nosuid, nodev, noexec, de modo que solo el gestor de arranque lea y nada se ejecute allí. Esta clara separación por partición aumenta la Resiliencia de mi servidor y facilita la resolución de problemas.
| Punto de montaje | Opciones recomendadas | Breve descripción del objetivo |
|---|---|---|
| /tmp, /var/tmp, /dev/shm | noexec, nosuid, nodev | Sin derechos de ejecución, sin SUID/SGID, sin archivos de dispositivo |
| /var, /var/log | nosuid, nodev (opcional: noexec) | Archivos de registro y de cola sin SUID/SGID y sin archivos de dispositivo |
| /home | nosuid, nodev (opcional: noexec) | Archivos de usuario sin SUID/SGID y sin archivos de dispositivo |
| /boot | nosuid, nodev, noexec | Acceso de solo lectura para los archivos de arranque |
Aprovechar al máximo los sistemas de archivos especiales y las opciones avanzadas
Tengo en cuenta las particularidades de mi sistema de archivos y adapto las opciones en consecuencia. En el caso de ext4, se utilizan datos=ordenados (Estándar) y comprometer= un buen equilibrio entre la coherencia de los datos y la frecuencia de escritura. Para particiones especialmente críticas, utilizo errors=remount-ro, para que, en caso de error, el sistema no siga funcionando sin que nos demos cuenta. En XFS compruebo si inode64 y variantes de cuota (usrquota, grpquota, prjquota) están activadas para gestionar de forma ordenada grandes estructuras de archivos. Opciones como user_xattr y acl Lo permito de forma selectiva cuando las aplicaciones necesitan atributos avanzados o derechos más específicos; en los demás casos, reduzco al mínimo la superficie de ataque y me ciño a los valores predeterminados conservadores.
En el caso de los volúmenes SSD y en la nube, elijo deliberadamente entre descartar y ejecuciones periódicas de TRIM mediante un temporizador. TRIM en línea (descartar) libera los bloques de memoria de forma inmediata, pero consume recursos de E/S. En muchas configuraciones, la fstrim más eficaz y transparente. Elijo la estrategia de marca de tiempo en función de la carga de trabajo: relatime protege la placa y, hoy en día, es una buena solución intermedia, noatime Reduce al máximo los accesos de escritura, pero puede causar problemas a las herramientas que dependen de horas de acceso exactas. lazytime A su vez, almacena temporalmente las actualizaciones de atributos y, de este modo, reduce la carga de escritura sin pérdida de semántica, lo cual es ideal cuando quiero reducir las operaciones de E/S de escritura sin prescindir de los metadatos.
Me mantengo alejado de las opciones de ajuste arriesgadas si su efecto no está clarísimo: opciones como nobarrier/writeback pueden favorecer la pérdida de datos en caso de corte de corriente. Del mismo modo, solo evalúo funciones como DAX si el hardware, el núcleo y la versión del sistema de archivos son compatibles. La consigna sigue siendo: primero probar de forma aislada, luego implementar de manera reproducible, y siempre con un plan de reversión bien definido.
Lograr un equilibrio adecuado entre rendimiento y seguridad
Utilizo ro allí donde los contenidos cambian con poca frecuencia, para que nadie se suscriba sin que se note. Con noatime o «relatime» me permite evitar accesos de escritura innecesarios sin sacrificar a ciegas metadatos importantes. La opción sincronizar guarda las operaciones de escritura al instante, lo que, aunque lleva tiempo, dificulta la pérdida de datos. Las cuotas de usrquota/grpquota mantienen a raya a los procesos que consumen mucho espacio y evitan fallos debidos a particiones llenas. Para cargas de trabajo con ext4 o XFS, pruebo cada opción de forma controlada para garantizar que el funcionamiento y Seguridad que se adapten a la aplicación.
/etc/fstab: configuración permanente y segura
Voy a guardar las opciones definitivas en /etc/fstab, para que sobrevivan a cada arranque. Antes de reiniciar, compruebo las entradas con mount -a y vuelve a cargar los servicios con systemctl daemon-reload, para evitar sorpresas. Para la partición raíz, considero que las opciones deben ser mínimas y dejo las restricciones estrictas para los montajes dedicados. Líneas de ejemplo como UUID=tmp-uuid /tmp ext4 defaults,nosuid,nodev,noexec 0 2 Lo documento con claridad para que las revisiones posteriores se realicen con rapidez. Con findmnt --real -o DESTINO,OPCIONES Comparo la configuración prevista con la que está realmente activa Opciones.
Integración con systemd: montaje automático, solidez del arranque y dependencias
Utilizo las extensiones de fstab de systemd para mejorar la disponibilidad y los tiempos de arranque. Con x-systemd.automount Incorporo las rutas que se utilizan con poca frecuencia la primera vez que se accede a ellas y reduzco los retrasos en el arranque. nofail garantiza que el host siga arrancando aunque falten los montajes secundarios, mientras que con x-systemd.device-timeout= y x-systemd.mount-timeout= Limitar los bloqueos. Para los servicios, defino las dependencias con x-systemd.requires-mounts-for=/ruta, para que las aplicaciones solo se inicien cuando el almacenamiento esté realmente disponible.
En los backends inestables o lentos, añado además x-systemd.idle-timeout= para los montajes automáticos, de modo que se desmonten correctamente tras un periodo de inactividad. De este modo, mantengo bajo el número de descriptores abiertos, evito los montajes «zombis» y consigo un comportamiento de ejecución predecible, algo esencial en entornos de gran tamaño con numerosas unidades y destinos de almacenamiento.
Comprobación y supervisión de las opciones de montaje durante el funcionamiento
Lo compruebo regularmente con findmnt, si todas las particiones se han montado según lo previsto. Detecto inmediatamente cualquier discrepancia y la corrijo con remontages específicos, por ejemplo, mount -o remount,noexec /tmp. Para los hosts en los que el tiempo es un factor crítico, configuro notificaciones en caso de que de repente falten opciones o aparezcan nuevos montajes. Aislamiento de contexto mediante Espacios de nombres y cgroups complementa eficazmente el refuerzo del sistema de archivos. En conjunto, mantengo cortas las vías de ataque, reduzco los errores de configuración y aumento la Transparencia en la vida cotidiana.
Proteger los sistemas de archivos pseudo: /proc, /sys, debugfs y devpts
Trato los pseudo-sistemas de archivos con el mismo cuidado que los soportes de datos. Para /proc lo pongo al lado de nosuid, nodev, noexec sobre todo hidepid=2, para ocultar los detalles de los procesos de otros usuarios. En caso de que los administradores necesiten acceder a esa información, utilizo un grupo específico (gid=) y hidepid=1 o 2, en función de las necesidades de visibilidad. /sys Lo monto estrictamente con nodev y sin derechos de escritura innecesarios; debugfs Por regla general, no lo instalo, a menos que lo necesite temporalmente con fines de diagnóstico; en ese caso, solo durante un breve periodo de tiempo y en sistemas de prueba.
Para devpts Compruebo el modo y los permisos de grupo para que los pseudoterminales estén bien aislados (p. ej.,. mode=0620,gid=tty). Estos detalles evitan el acceso cruzado no deseado entre sesiones y reducen el riesgo de que se pueda acceder a información confidencial. Precisamente en entornos multiusuario o de alojamiento, este ajuste fino es un elemento fundamental de la Fortalecimiento de servidores.
Tamaños y límites de Tmpfs para /tmp y /dev/shm
En el caso de sistemas con un alto volumen de E/S o de compilaciones, me planteo /tmp y /dev/shm como tmpfs, bien delimitado y muy endurecido: tmpfs /tmp tmpfs rw,nosuid,nodev,noexec,mode=1777,size=2G 0 0. Así evito que los archivos temporales llenen los discos y acelero el acceso a la memoria. No obstante, superviso el consumo de RAM y preveo reservas para que la presión sobre la memoria no afecte a otros servicios. Si alguna herramienta necesita rutas temporales ejecutables, las aíslo mediante directorios de trabajo específicos y montajes vinculados, en lugar de flexibilizar las reglas de seguridad globales.
Entre /tmp y /var/tmp Distingo deliberadamente entre: /tmp puede ser volátil, /var/tmp debería sobrevivir a los reinicios. Por eso elijo tmpfs más bien para /tmp y lo dejo así /var/tmp en disco —también con noexec, nosuid, nodev. Para cargas de memoria compartida de gran tamaño, dimensiono /dev/shm adecuado (size=) y aplico de forma sistemática los derechos 1777 para garantizar la separación entre usuarios.
Medidas de seguridad complementarias a nivel del sistema de archivos
Reduzco SUID/SGID-Reduzco los binarios al mínimo y configuro la umask de forma conservadora, por ejemplo, 027 o 077, para que los nuevos archivos se creen protegidos. Activo las ACL de forma selectiva cuando las aplicaciones necesitan derechos más específicos, y documento las reglas con getfacl limpio. Las configuraciones especialmente delicadas las protejo con chattr +i, para evitar cambios. Las cuotas detienen los excesos de almacenamiento de forma temprana, antes de que ralenticen los servicios. Para un aislamiento sólido de los procesos, remito además a Comparación del aislamiento de procesos, con el fin de reducir los riesgos que van más allá del sistema de archivos.
Utilizar de forma combinada diferentes sistemas de aislamiento
Complemento el refuerzo de la seguridad del sistema de archivos mediante Aislamiento del sistema de archivos a nivel de usuario, para que las aplicaciones no puedan acceder más allá de sus límites. En los entornos de alojamiento, merece la pena contar con un entorno aislado, ya que así los efectos colaterales causan menos daños. En este sentido, conviene echar un vistazo a Aislamiento del sistema de archivos CageFS, que separa estrictamente los entornos de usuario. Los contenedores y las jaulas también ofrecen ventajas si los combino con opciones de montaje restrictivas. Esta combinación subsana las deficiencias que presenta el mero Opciones de montaje no cubrirlo por sí solo.
Tropiezos frecuentes y contramedidas
Pruebo noexec a fondo, porque algunas herramientas intentan ejecutar temporalmente archivos binarios en /tmp. En esos casos, recurro a directorios de trabajo específicos en los que se permite la ejecución. Para los scripts de shell, utilizo llamadas explícitas al intérprete, como /bin/bash script.sh, para que noexec no suponga un obstáculo. Si algún subdirectorio concreto requiere excepciones, utilizo montajes Bind con opciones específicas. De este modo, mantengo intacta la configuración básica de seguridad y solo permito lo que una aplicación realmente obligatorio.
Montajes «bind», subdirectorios y propagación de montajes
Utilizo mount --bind, para incluir únicamente los subárboles necesarios en los entornos de destino y, al mismo tiempo, restringir los derechos. Con mount -o bind,ro las configuro como de solo lectura y, a continuación, mediante un mount -o remount,nosuid,nodev,noexec,bind establezco unos límites de seguridad aún más estrictos. Para subárboles completos utilizo --rbind, para incluir todas las submonturas. Es importante tener en cuenta la regla de propagación: con mount --make-private Separo los eventos de montaje entre el host y los chroots/contenedores, para que no se „filtren“ montajes no deseados.
Cuando la orquestación de contenedores está activa, mantengo las rutas centrales por defecto privado y abrir solo aquello que necesiten las cargas de trabajo. En las fases de depuración se puede compartido puede resultar útil; en funcionamiento normal, es privado/esclavo La opción más segura. De este modo, las topologías de montaje siguen siendo predecibles y evito que aparezcan accidentalmente rutas privilegiadas en los entornos invitados.
Endurecimiento de soportes remotos y extraíbles
Por norma general, monto las unidades externas y los recursos compartidos de la red con nosuid,nodev y, en la mayoría de los casos, también noexec. Para VFAT/NTFS, ajusto los propietarios y las máscaras (p. ej.,. uid=1000,gid=1000,umask=027,fmask=137,dmask=027), para que los bits de ejecución no se conviertan en una puerta de entrada. En los soportes extraíbles no hay ninguna necesidad legítima de utilizar SUID/SGID ni archivos de dispositivo; por lo tanto, desactivo estas funciones de forma sistemática. Si solo quiero leer, se aplica además ro se utiliza. De este modo, el código malicioso no surte efecto y no puede descargarse de forma inadvertida.
En el caso de NFS/SMB, también limito estrictamente los privilegios. nosuid, nodev, noexec Son valores predeterminados; los tiempos de espera y las repeticiones los configuro a propósito (hard/soft,timeo=), para que los fallos no bloqueen el sistema en su conjunto. Para los datos sensibles, preveo medidas de integridad y cifrado a nivel de protocolo y me aseguro de que tanto el cliente como el servidor apliquen políticas coherentes. Cuanto menos poder de decisión tenga la otra parte sobre el host local, más estable y predecible será el funcionamiento.
Paso a paso: cómo aplicar correctamente una configuración de ejemplo
Voy a empezar haciendo un inventario a través de findmnt --real -o DESTINO,OPCIONES y documenta todos los activos Monturas. Después me adaptaré /etc/fstab por ejemplo, con líneas para /tmp y /dev/shm que incluyan noexec, nosuid y nodev. A continuación, lo compruebo con mount -a y compruebo de nuevo el resultado con findmnt. Si todo funciona correctamente, establezco cuotas en aquellas cuentas de usuario que están creciendo y activo «relatime» o «noatime» según sea necesario. Por último, registro los cambios en mi registro de modificaciones y programo revisiones periódicas Controla.
Control de desviaciones, auditorías y reversión segura
Establezco mis políticas de montaje como „estado deseado“ y compruebo periódicamente si hay desviaciones. Además de findmnt y /proc/mounts Utilizo comprobaciones sencillas en scripts de Health que activan una alarma cuando las rutas críticas no noexec, nosuid o nodev ejecutarse. Cambios en /etc/fstab Documento las unidades de systemd con números de versión; antes de realizar ajustes arriesgados, creo instantáneas (por ejemplo, mediante LVM/btrfs) para poder volver rápidamente a la situación anterior en caso de emergencia. Para sistemas especialmente sensibles, planifico ventanas de mantenimiento y pruebo previamente los remontajes en hosts de prueba con la misma configuración.
Siempre hay un recurso práctico a mano: con mount -o remount,defaults O, mediante contramedidas específicas, revierto temporalmente las opciones más estrictas cuando un servicio falla de forma imprevista. A continuación, aíslo la causa, ajusto las excepciones de montaje de Bind y vuelvo a aplicar el endurecimiento de forma controlada. De este modo, el equilibrio entre políticas estrictas y alta disponibilidad sigue siendo manejable, incluso bajo presión de tiempo.
Resumen: Cómo utilizar las opciones de montaje de forma inteligente
Protejo eficazmente los servidores Linux mediante noexec, nosuid y nodev en las particiones adecuadas. Aislo rigurosamente las rutas temporales, y las áreas de datos productivas solo tienen los permisos que realmente necesitan. Configuraré opciones de rendimiento como «relatime», «ro» y «Quotas» según cada situación, para garantizar un funcionamiento óptimo y la seguridad. Las entradas persistentes en /etc/fstab y las comprobaciones periódicas con «findmnt» garantizan la fiabilidad de la configuración. Complementado con ACL, «umask», «chattr» y buenas técnicas de aislamiento, la Superficie de ataque pequeña y con unos gastos administrativos previsibles.
