Caso de estudio: Hardening de estación de pentesting en bare metal

Contexto: Estación de trabajo Kali Linux rolling (bare metal) usada para laboratorios ofensivos y operativa comercial. Restricción clave: mantener agilidad operativa (RDP, Bluetooth, listeners C2 por VPN) sin sacrificar la superficie de ataque.

Rol: Propietario / administrador único.

Diagnóstico inicial

Auditoría del estado existente reveló:

Hallazgo Riesgo
Regla UFW ALLOW Anywhere on eth0 Anulaba todo el firewall en la interfaz principal
xRDP con security_layer=negotiate Posible degradación a cifrado RC4 heredado
Sin protección brute-force (RDP/SSH) Exposición a ataques de diccionario
Docker sin mantenimiento 3.5 GB en imágenes muertas; /var al 88%
Paquetes NVIDIA/kernel sin apt-mark hold en rolling release Riesgo de romper el stack CUDA en upgrades
Credenciales AWS en texto plano Persistencia de secreto insegura

Cambios aplicados

  1. Firewall: eliminación del allow-all; política LAN-only para gestión (SSH 22, RDP 3389 desde 192.168.1.0/24); preservación explícita de listeners C2/hosting en interfaz VPN (tun0: 80, 4440–4450).
  2. xRDP: security_layer=tls + cifrados HIGH, TLS 1.2/1.3 únicamente.
  3. Anti brute-force: fail2ban (jail sshd vía systemd backend) + PAM faillock con scope quirúrgico en xRDP (deny=5, unlock=900s, root exento).
  4. Superficie: apache2, bluetooth, ModemManager y pcscd bajo demanda (sin autoarranque).
  5. Estabilidad CUDA: holds en todo el stack NVIDIA + kernel meta-package; DKMS verificado contra kernel en ejecución.
  6. Higiene: prune de Docker (-3.3 GB), /var 88% → 23%.

Validación

Lecciones aprendidas