Auditoría de servidores: checklist de infraestructura, seguridad y continuidad

1. Define la decisión, el alcance y una línea base repetible

Empieza por la decisión: reducir riesgo antes de renovar soporte, explicar inestabilidad, preparar migración, validar a un proveedor o establecer una línea base. El objetivo determina profundidad, participantes, datos, horario y entregables. “Revisar todo” no define cuándo la evidencia es suficiente.

Relaciona servidores con servicios empresariales y acuerda identificadores concretos: equipos, máquinas virtuales, suscripciones, cuentas, zonas, redes y ambientes. Registra fecha, fuente, zona horaria, credencial o rol utilizado y limitaciones. Una captura sin contexto envejece rápido y no permite reproducir una observación.

• Decisión que dependerá del resultado y responsable de tomarla.
• Activos, plataformas, ambientes y servicios empresariales incluidos.
• Propietarios, proveedores y componentes expresamente excluidos.
• Métodos de lectura, muestras, períodos y umbrales acordados.
• Estado inicial preservado antes de cualquier remediación.

El número de servidores no define por sí solo el esfuerzo: una única instancia puede concentrar muchas dependencias y riesgo.

2. Construye un inventario que explique dependencias y propiedad

Un nombre de host no explica el sistema. Documenta función, versión, ubicación, entorno, propietario, criticidad, datos, aplicaciones, bases, almacenamiento, interfaces, certificados, DNS, horarios y dependencias. Confirma qué usuarios, procesos, sedes y terceros consumen cada servicio.

Busca activos huérfanos, duplicados, temporales, no administrados o desconocidos para monitoreo y respaldo. Relaciona cada componente con su fuente de verdad y proceso de cambio. Si el inventario, la consola cloud y la red discrepan, conserva la diferencia como hallazgo en vez de escoger silenciosamente una versión.

• Identificador técnico, función, ambiente y propietario responsable.
• Sistema operativo, edición, versión, soporte y licenciamiento relevante.
• Aplicaciones, datos, integraciones, certificados y tareas programadas.
• Redes, almacenamiento, virtualización, nube y servicios compartidos.
• Dependencias ascendentes y descendentes y efecto de indisponibilidad.

Lo que nadie posee rara vez recibe parches, pruebas de recuperación y decisiones oportunas.

3. Revisa configuración, ciclo de vida y disciplina de cambios

NIST SP 800-128 trata la seguridad como parte de la gestión de configuración: identifica y controla configuraciones, cambios y monitoreo. Compara el estado observado con una línea base aprobada, documentación del fabricante y recomendaciones pertinentes a la plataforma. CIS Benchmarks puede aportar controles prescriptivos, pero cada desviación necesita contexto y una decisión.

Revisa soporte, actualizaciones, repositorios, firmware, servicios, módulos, arranque, tareas, archivos de configuración, sincronización horaria y automatización. Distingue parche disponible, vulnerabilidad aplicable, exposición y cambio viable. Antes de endurecer, confirma compatibilidad, prueba, ventana, respaldo y reversión.

• Versión soportada, actualizaciones pendientes y ruta de ciclo de vida.
• Línea base aprobada, excepciones, propietario y fecha de revisión.
• Servicios, módulos, tareas y paquetes innecesarios o no explicados.
• Historial de cambios, configuración como código y separación de ambientes.
• Prueba, aprobación, despliegue, verificación y reversión de cambios.

4. Comprueba identidades, privilegios, secretos y acceso remoto

Enumera cuentas humanas, técnicas, locales, de directorio, nube y emergencia. Relaciona cada una con propietario, propósito, privilegio, autenticación, fecha de uso, rotación y proceso de baja. Busca cuentas compartidas, antiguas, sin vencimiento, grupos anidados y servicios que operan con permisos mayores de los necesarios.

Revisa rutas administrativas: VPN, bastión, consola, RDP, SSH, panel de hosting, hipervisor y herramientas de gestión. Confirma cifrado, MFA cuando sea compatible, restricción de origen, sesiones, registro y cuentas separadas para administración. No copies secretos al informe; documenta condición y ubicación de forma segura.

• Propietario y propósito de cada cuenta privilegiada o técnica.
• MFA, llaves, contraseñas, bóvedas, rotación y acceso de emergencia.
• Privilegio mínimo, elevación temporal y separación de responsabilidades.
• Bajas, cuentas inactivas, accesos de terceros y revisiones periódicas.
• Origen, protocolo, cifrado y trazabilidad de administración remota.

Una cuenta técnica sin propietario suele sobrevivir a las personas, los proveedores y la aplicación que la creó.

5. Mapea red, exposición y límites de confianza

Relaciona interfaces, direcciones, rutas, DNS, puertos, reglas, balanceadores, proxies, túneles, segmentación y servicios de administración. Verifica desde fuentes internas y externas autorizadas: escuchar en una interfaz no demuestra por sí solo exposición desde internet, y una regla cloud puede contradecir el firewall del sistema.

Prioriza vulnerabilidades con contexto. El catálogo de vulnerabilidades explotadas de CISA es una señal de explotación conocida, no un sustituto del inventario y la aplicabilidad. Combina criticidad del servicio, ruta accesible, privilegios, controles compensatorios, detección y recuperación para decidir urgencia.

• Servicios esperados frente a puertos, interfaces y rutas observados.
• Segmentos de usuarios, servidores, respaldo, gestión y terceros.
• Reglas duplicadas, amplias, antiguas o sin propietario y justificación.
• TLS, certificados, protocolos heredados y administración sin cifrado.
• Vulnerabilidad aplicable, exposición real y prioridad de remediación.

6. Analiza capacidad, disponibilidad, monitoreo y registros

Una lectura instantánea no demuestra capacidad. Revisa tendencias representativas de CPU, memoria, I/O, espacio, inodos, red, colas, procesos, latencia y duración de tareas. Identifica estacionalidad, picos y competencia entre cargas. Relaciona cada umbral con degradación perceptible y tiempo disponible para actuar.

NIST SP 800-92 describe la gestión de registros como proceso: generar, transmitir, almacenar, analizar y disponer. Confirma qué eventos existen, quién los revisa, cuánto se conservan, si el reloj es confiable y cómo se alerta. Un archivo lleno o un panel verde sin prueba de notificación no constituye observabilidad.

• Período representativo, picos, tendencia, margen y pronóstico de saturación.
• Dependencias redundantes, puntos únicos y comportamiento ante fallo.
• Métricas, eventos, trazas y controles de salud que realmente se consumen.
• Alertas con propietario, severidad, canal, escalamiento y prueba reciente.
• Retención, integridad, acceso, sincronización horaria y capacidad de investigar.

Medir mucho no equivale a observar bien: cada señal debe conducir a una interpretación y una respuesta.

7. Demuestra respaldo, restauración y continuidad

Diferencia copia, réplica, snapshot, alta disponibilidad y respaldo. Define qué datos, sistema, configuración, secretos, certificados y código son necesarios para recuperar el servicio. Relaciona frecuencia y retención con el punto de recuperación aceptable (RPO), y procedimiento y capacidad con el tiempo de recuperación (RTO).

NIST SP 800-34 orienta la planificación de contingencia; CISA recomienda copias críticas cifradas, offline o protegidas, y pruebas regulares de disponibilidad e integridad. Revisa trabajos, fallas, inmutabilidad o aislamiento, credenciales, capacidad y restauraciones. La prueba debe usar destino controlado, criterios, cronómetro, validación de aplicación y registro de brechas.

• Cobertura de datos, sistema, configuración, dependencias y claves necesarias.
• RPO y RTO acordados por servicio, no asumidos por la herramienta.
• Copias separadas, protegidas contra borrado y con credenciales independientes.
• Alertas de fallos, retención, capacidad, cifrado y evidencia de integridad.
• Restauración probada, pasos manuales, tiempo real y validación del negocio.

Un trabajo marcado como exitoso demuestra que terminó; no demuestra que el servicio pueda recuperarse.

8. Convierte evidencia en una hoja de ruta verificable

Cada hallazgo debe indicar condición, evidencia, activo, servicio afectado, causa probable, impacto, exposición, limitación y recomendación. Separa hechos de hipótesis. Evita puntajes sin explicación y recomendaciones como “actualizar todo”: propone alternativas, dependencias, riesgo de cambio, ventana y criterio de cierre.

Ordena acciones por horizontes: contención inmediata, estabilización, reducción de deuda y mejora sostenida. Asigna propietario y fecha, integra cambios con respaldo y reversión, y preserva evidencia antes y después. NIST SP 800-61 Rev. 3 conecta preparación, detección, respuesta y recuperación con la gestión de riesgo; usa el resultado para mejorar también monitoreo y respuesta.

• Hallazgo reproducible con fuente, fecha, activo y limitación.
• Impacto operativo, exposición, detectabilidad y capacidad de recuperación.
• Acción recomendada, alternativa, dependencia y riesgo del cambio.
• Propietario, prioridad, fecha objetivo y evidencia requerida para cerrar.
• Validación posterior y riesgo residual aceptado o pendiente.