Hardening del VPS — la lista de comprobación OPSEC de la primera hora.
Ocho pasos. Ejecute esto en cada servidor nuevo.

Sí, con amplia diferencia. Una contraseña — incluso una aleatoria de 16 caracteres — es susceptible de ataque por fuerza bruta en algún modelo de amenaza realista; una clave SSH ed25519 tiene 256 bits de entropía y no lo es. Una clave también está ligada al dispositivo en el que reside, por lo que un atacante necesita tanto el archivo de clave COMO la frase de contraseña que lo descifra. Deshabilite PasswordAuthentication completamente en sshd_config y la superficie de ataque por fuerza bruta queda en cero.

No detiene a un atacante determinado — escaneará los 65.535 puertos. SÍ reduce el volumen de ruido automatizado de bots que solo intentan el puerto 22, lo que significa registros más limpios y fail2ban con menos estrés. Elija un puerto aleatorio entre 1024 y 65535, anótelo en algún lugar que no perderá, actualice el cortafuegos para permitirlo. Ganancia neta: aproximadamente un 90% menos de ruido en los registros.

UFW para quien está aprendiendo o gestiona un único VPS — es un envoltorio amigable, la sintaxis es legible por humanos y se sitúa sobre iptables o nftables por debajo. nftables directamente si desea una composición de reglas más estricta, conjuntos anónimos, o gestiona más de unos pocos servidores y quiere consistencia. Ambos producen el mismo resultado a nivel de kernel.

Los parches de seguridad sí — corrigen CVEs críticos y la alternativa es dejarlos abiertos. Las actualizaciones completas de paquetes del kernel son más arriesgadas porque necesitan un reinicio para surtir efecto; unattended-upgrades no reiniciará por usted por defecto. Lea /etc/apt/apt.conf.d/50unattended-upgrades y decida: la mayoría de los clientes de NordBastion dejan la configuración desatendida en «solo seguridad» y reinician manualmente cada mes en una ventana tranquila.

Estrictamente necesario, no — una vez desactivada la autenticación por contraseña, el ataque por fuerza bruta sobre SSH no puede tener éxito. Fail2ban sigue siendo útil para otros servicios (correo, páginas de inicio de sesión de aplicaciones web, cualquier cosa con una capa de credenciales). Seguro económico: apt install fail2ban, acepte los valores predeterminados y siga adelante. Los 30 segundos que tarda en instalarse merecen los registros más limpios y la protección adicional de servicios que proporciona.

No es parte de la primera hora — el cifrado de disco completo con clave en manos del usuario requiere o bien una instalación ISO personalizada (montar LUKS en el arranque con una frase de contraseña que alguien tiene que escribir) o la próxima opción de LUKS-on-provision de NordBastion (hoja de ruta del panel). Por ahora, trate el disco como legible por NordBastion (en el improbable caso de una citación judicial) y trate la protección jurisdiccional de NordBastion como la capa que lo mantiene seguro. Si su modelo de amenaza requiere FDE antes del lanzamiento, instale Debian a través del ISO de rescate en un volumen raíz LUKS y desbloquee a través de la consola del panel en cada arranque — viable pero un cambio significativo en la carga operativa.

Tres cadencias útiles. (1) Antes de cada cambio significativo (actualización de paquetes, edición de configuración, actualización del SO). (2) Con una planificación — una vez a la semana es un valor predeterminado razonable para cualquier carga de trabajo en producción. (3) Antes de cada ejercicio de verificación de copia de seguridad, para poder demostrar que la restauración funciona. Las instantáneas de NordBastion son externas al host y están cifradas; no consumen el disco de su VPS y pueden restaurarse en aproximadamente 90 segundos.

Para la primera hora: todavía no — termine el bastionado, ponga en marcha la carga de trabajo, luego añada monitoreo una vez que tenga algo que valga la pena monitorear. Opciones ligeras: node_exporter + Prometheus + Grafana en un segundo VPS pequeño, Netdata como panel de control autoalojado de un solo binario, o más sencillo aún, un verificador de tiempo de actividad externo de nivel gratuito (UptimeRobot, BetterStack) que haga ping a los puertos públicos. Elija uno, configúrelo y olvídese — el monitoreo es más útil cuando permanece silencioso.