Hardening (endurecimiento de sistemas).

El hardening convierte los sistemas tal y como vienen de fábrica en sistemas resilientes: deshabilitando servicios no usados, eliminando cuentas por defecto, aplicando el mínimo privilegio, exigiendo autenticación fuerte, activando el cifrado, configurando el registro (logging) y restringiendo la exposición en red. Se aplica a sistemas operativos, aplicaciones, bases de datos, contenedores, servicios cloud, dispositivos de red y firmware.

En lugar de inventar controles para cada host, los profesionales adoptan líneas base publicadas. Los CIS Benchmarks ofrecen guías de hardening consensuadas y versionadas para cientos de tecnologías, con dos niveles de perfil; la conformidad puede medirse automáticamente con CIS-CAT frente a los CIS Controls legibles por máquina. En entornos gubernamentales y de defensa de EE. UU., las DISA STIG son obligatorias, se distribuyen como contenido SCAP y se auditan con herramientas como OpenSCAP. Entre los catálogos de controles más amplios están NIST SP 800-53 y el enfocado en servidores NIST SP 800-123. En lugar de recorrer los ajustes manualmente, los equipos codifican la línea base como Ansible, Chef o Puppet y la aplican de forma continua, evitando la deriva de configuración.

El hardening complementa —pero nunca sustituye— al parcheo: incluso un host completamente parcheado puede ser explotado si expone un recurso compartido anónimo, mantiene abierto un endpoint de depuración o ejecuta un intérprete innecesario. La defensa en profundidad combina una línea base endurecida con la monitorización, de modo que las desviaciones se detecten y se reviertan.

flowchart TB
  A[Sistema por defecto<br/>amplia superficie de ataque] --> B[Seleccionar línea base<br/>CIS Benchmark · DISA STIG · NIST 800-53]
  B --> C[Aplicar controles<br/>deshabilitar servicios · mínimo privilegio · cifrado · logging]
  C --> D[Automatizar mediante IaC<br/>Ansible / Chef / Puppet]
  D --> E[Auditar el cumplimiento<br/>CIS-CAT · OpenSCAP]
  E --> F{¿Deriva o brechas?}
  F -->|Sí| C
  F -->|No| G[Línea base endurecida<br/>monitorizada continuamente]