Acceso administrativo por SSH y no por Telnet

Telnet abre una sesión remota pero no cifra nada: el nombre de usuario, la contraseña y cada comando viajan legibles por todos los segmentos que cruzan. SSH hace el mismo trabajo y además cifra la sesión y permite comprobar la identidad del equipo al que se conecta la persona. Por eso la regla de endurecimiento más básica es administrar solo por SSH y apagar Telnet.

El peor caso no es el equipo que acepta Telnet además de SSH, sino el que no tiene SSH: no se puede apagar Telnet sin quedarse sin acceso, así que la remediación pasa por actualizar o reemplazar el equipo, y mientras tanto limitar desde dónde se le llega.

Lee equipos y busca el que acepta Telnet y no tiene SSH.

SSH existe en dos versiones del protocolo, y una política de endurecimiento fija cuál se acepta. La de Pasamayo exige solo la versión 2. Un equipo que acepta ambas por compatibilidad está dejando abierta una puerta que la política cerró.

Lee la columna version_ssh de equipos.

Una sesión de administración abandonada en una terminal es una sesión abierta para quien pase por detrás. Se limita con un tiempo de inactividad y se acota la fuerza bruta con un número de intentos fallidos antes de bloquear. En la tabla sesiones, un 0 en inactividad_min significa que la sesión nunca se cierra sola.

Cifrar la sesión no basta: la puerta de administración debe verse solo desde la red de gestión (una lista de acceso en la línea, o la interfaz de gestión separada del tráfico de usuarios). Si cualquier origen puede intentarlo, cada contraseña débil queda expuesta a toda la red.

Cuenta en equipos los equipos con acceso_desde igual a cualquier origen.