Securizar acceso de ROOT en SSH

Seguimos con nuestros artículos sobre como asegurar el acceso SSH a nuestro servidor ya que es uno de los mayores puntos de acceso para posibles intentos de acceso por fuerza bruta, etc.

Normalmente, y como es lógico, estos ataques intentan la entrada con el usuario root, que por defecto es el único que tiene acceso total al servidor. ¿Cómo podemos hacer para dificultarles ese acceso? Pues bien, una de las maneras es quitando el acceso por SSH al usuario root. Y os preguntaréis, ¿y cómo administro el servidor sin usuario root? Pues muy fácil, creando un usuario que una vez dentro del sistema, pueda cambiar a root mediante el comando su. Pero mejor lo vamos viendo por pasos.

Lo primero que debemos hacer es asegurarnos de que existe el grupo wheel (suele venir creado por defecto pero en algunas distribuciones Debian parece ser que no está creado), y para ello debemos mirar si existe en el fichero etc/group. Si vemos que no existe esta línea, wheel:*:0:root,usuarios es que no está creado (donde “usuarios” son los usuarios pertenecientes al grupo). Otra forma de hacerlo es ejecutando el comando groups, que listará los grupos de usuarios del sistema. Si no existe el grupo, la forma más fácil de crearlo es editando el fichero etc/group y añadiendo la siguiente linea:

wheel:*:0:root,usuario_nuevo

Con esto ya estaríamos creando el usuario nuevo a parte del grupo. Si solo queremos crear el grupo:

wheel:*:0:root

Y después para crear el usuario:

adduser -G wheel -m -s /bin/bash -d /home/usuario_nuevo usuario_nuevo
passwd usuario_nuevo

-G wheel ->Crea el usuario dentro del grupo Wheel
-m ->se crea el directorio home si no existe
-s ->se le indica el shell del usuario
-d ->se le indica el nombre del directorio home del usuario

Con esto ya tenemos creado un usuario capaz de ganar privilegios de root mediante el comando su. Antes de continuar es aconsejable salir de SSH y probar si podemos ejecutar su con nuestro usuario_nuevo.

Si todo funciona correctamente, solo nos falta quitar el acceso SSH a root para que estemos obligados a entrar con nuestro usuario_nuevo y cambiar a root mediante su. Para ello tenemos que editar el fichero /etc/ssh/sshd_config y cambiar PermitRootLogin:

Nano /etc/ssh/sshd_config

PermitRootLogin no

Reiniciamos SSH y tendríamos nuestro sistema un poco más seguro.

/etc/init.d/sshd restart