Proteja su servidor. Todos los ataques y cambios en un solo panel.

Fail2ban lee los registros de los servicios y banea las direcciones que no superan la autenticación. El panel muestra todos los jails en una sola pantalla: cuántas direcciones están bloqueadas ahora, cuántas desde que se inició el servicio y qué jail las capturó. Un jail que no ha capturado absolutamente nada se ve con la misma claridad que uno operativo; en la mayoría de los casos, esto significa que está leyendo un archivo de registro equivocado.

IPSUM: lista de direcciones actualizada a diario que han sido detectadas atacando servidores ajenos. Ipset la mantiene en la memoria del núcleo, por lo que comprobar cientos de miles de direcciones no sobrecarga el cortafuegos. El panel muestra el tamaño de la lista y la hora de la última actualización: es una protección previa al primer intento, la dirección se bloquea antes de llegar al servicio.

Lynis ejecuta cientos de comprobaciones de configuración y muestra el hardening index: una puntuación sobre 100. El panel analiza el informe y muestra avisos y recomendaciones junto con el identificador de la prueba, para que pueda ver qué significa cada una. Alcanzar 100 de 100 no es el objetivo: parte de las recomendaciones se escriben para escenarios que no existen en su servidor.

ModSecurity con el conjunto de reglas OWASP CRS filtra las solicitudes HTTP dentro del servidor web —ya tras el descifrado, donde el contenido de la solicitud es visible—. El panel lee el registro de auditoría: qué solicitud se bloqueó, qué regla se activó, cuál fue la puntuación de anomalía y de dónde vino la solicitud. Se mira aquí sobre todo por los falsos positivos: una misma regla que atrapa una y otra vez su propio formulario.

Suricata analiza el tráfico de red según firmas y registra los hallazgos en eve.json. El panel lee este archivo directamente en el servidor y muestra las alertas del día agrupadas por categorías, sin Elasticsearch ni Kibana, que en un solo VPS pesan más que la propia máquina supervisada. Una instalación nueva permanece en silencio hasta que suricata-update se ejecute al menos una vez: aún no contiene reglas.

CrowdSec analiza los registros según escenarios y toma decisiones de bloqueo apoyándose también en direcciones reportadas por otros participantes de la red: el atacante a menudo llega ya identificado. El panel muestra las decisiones vigentes con su escenario y el tiempo restante, y junto a ellas los bouncers registrados que las ejecutan. Si la segunda lista está vacía, CrowdSec solo notifica y no bloquea nada.

Falco vigila las llamadas al sistema y genera una alerta cuando un proceso hace algo que no le corresponde: lanza un shell desde el servidor web, escribe en el directorio de binarios del sistema o abre una conexión saliente inesperada. El panel muestra las alertas con su prioridad, la regla que se activó y la línea de comandos del proceso. No hace falta Kubernetes: en un servidor normal Falco funciona igual.

El antivirus en Linux no protege sus propios binarios, sino lo que llega al servidor desde fuera: web shells a través del formulario de carga, adjuntos vía servidor de correo, cargas útiles en directorios temporales. El panel muestra la hora del último análisis, lo que encontró y —el campo más importante— la antigüedad de la base de firmas. ClamAV con firmas de hace una semana crea una apariencia de protección y nada más.

AIDE toma una huella criptográfica del sistema de archivos e informa de qué ha cambiado desde la última comprobación, respondiendo a la pregunta que el resto de herramientas esquiva: qué han tocado. El panel muestra tres listas: archivos añadidos, modificados y eliminados, junto con los atributos divergentes. El informe matutino más frecuente se debe a las actualizaciones nocturnas de paquetes: compruebe la hora y reconstruya la base.

El daemon de auditoría registra exactamente los eventos que se le han pedido: cambios en /etc/passwd y /etc/shadow, modificaciones de sshd_config, ejecución de binarios de elevación de privilegios. El panel muestra las reglas cargadas en este momento, las rutas monitorizadas y los eventos recientes con su proceso y resultado. Ver las reglas es tan importante como ver los eventos: un conjunto vacío es la causa más frecuente de que auditd parezca funcionar sin registrar nada de valor.

UFW evita la sintaxis de iptables, pero no ayuda a interpretar un conjunto de reglas meses después. El panel muestra las reglas con su acción, puerto, protocolo y origen, y sitúa al frente las políticas predeterminadas para el tráfico entrante y saliente, que suelen ser justamente las que se olvidan. Un conjunto de reglas de apariencia estricta no significa nada si la política predeterminada sigue en allow.

Quien rastrea puertos no deja ningún intento de acceso fallido, por lo que Fail2ban no lo detecta. PSAD cubre esa laguna: lee los registros del cortafuegos sobre el tráfico descartado y evalúa lo que encuentra. El panel muestra las direcciones marcadas, un nivel de peligro del 1 al 5, el número de paquetes y los puertos. Sin una regla de registro en el cortafuegos, PSAD permanece en silencio; esa es la causa habitual de una página vacía tras la instalación.

La renovación automática resolvió gran parte del problema y creó una versión más silenciosa: los certificados se renuevan solos, hasta el día en que dejan de hacerlo, y el primero en enterarse es el visitante. El panel enumera los certificados que entrega el servidor: emisor, fecha de vencimiento, días restantes. Menos de treinta días en un certificado con renovación automática significa que la renovación lleva ya un tiempo fallando en silencio.

El mapa sitúa las direcciones que su propio servidor bloqueó, resueltas a nivel de país y escaladas según el número de aciertos. No es un flujo de datos de amenazas comprado a terceros: cada punto es tráfico que llegó a esta máquina. El mapa resulta útil a largo plazo: una concentración desde una misma red suele indicar un único autor recorriendo una lista, mientras que una dispersión uniforme es el típico ruido de internet.

Logwatch resume los registros del día en un solo informe y lo envía por correo, donde acaba en dos semanas en una carpeta que nadie revisa. El problema nunca fue la información, sino la entrega. El panel mantiene los informes en el servidor y los muestra por páginas, con un archivo de los días anteriores: un día dice qué pasó y una semana, qué cambió.

Monit vigila procesos, archivos, sistemas de archivos y nodos, y reinicia lo que encuentra averiado. El panel muestra cada comprobación con su estado actual, el objeto supervisado y el número de intervenciones. El contador de reinicios es el campo más sincero: un servicio reiniciado cuarenta veces no está sano, se cae una y otra vez, y los reinicios lo encubren.

Acceso al panel con una clave de hardware, Touch ID o Face ID en lugar de una segunda contraseña. La clave verifica el dominio a nivel de protocolo, por lo que una copia de la página de acceso en una dirección similar no funcionará: el phishing no tiene nada que interceptar. Puede registrar varias claves, cada una con su propio nombre y su hora de último uso, y revocar cualquiera de ellas por separado.

Qué es accesible desde el exterior en esta máquina es la pregunta de seguridad más útil, y la salida de ss hay que releerla con la vista cada vez. El panel muestra los sockets a la escucha con su puerto, protocolo, dirección de enlace y proceso, y más abajo las conexiones establecidas. Conviene leer primero la dirección de enlace: un servicio en 127.0.0.1 solo es accesible desde la propia máquina, mientras que el mismo servicio en 0.0.0.0 lo es desde todo internet.

Top responde a la pregunta sobre el segundo actual, pero lo que se suele preguntar es sobre la noche pasada. El colector añade una línea a la base de datos cada cinco minutos, y la página dibuja con ella las últimas 24 horas: load average, CPU e I/O wait por separado, memoria y swap, red, disco, conexiones TCP, descriptores de archivo. Conviene leer los gráficos por parejas: un I/O wait alto con la CPU tranquila significa que el servidor está esperando al disco, y añadir núcleos de procesador no tiene sentido.

Los problemas de disco son dos, y no se parecen entre sí: la unidad que empieza a fallar y el sistema de archivos que se llena y arrastra consigo a los servicios. El panel cubre ambos: ocupación de las particiones, atributos SMART y temperatura. El fallo lo anuncian tres atributos: sectores reasignados, pendientes e irrecuperables sin conexión. Los inodos se muestran aparte: se agotan antes que el espacio libre y explican las escrituras que no pasan en un disco con espacio disponible.

El control de acceso obligatorio decide qué se le permite a un programa, independientemente de los permisos del usuario que lo inició. AppArmor está presente en la mayoría de los servidores Ubuntu y Debian y en muchísimos no restringe casi nada. El panel muestra los perfiles cargados con su modo, los procesos bajo restricción y —la mitad más interesante— los procesos sin perfil alguno. Un perfil en modo complain solo registra lo que bloquearía; solo enforce restringe.