Cómo deshabilitar el soporte USB en servidores Linux para mejorar la seguridad

Desactivar el soporte USB en un servidor puede parecer una medida extrema, pero si puedes prescindir de dispositivos USB como teclados, ratones o unidades externas, puede ser una forma adicional de garantizar que no se introduzcan archivos maliciosos en tus servidores. Por supuesto, esto solo funcionará en máquinas sin cabeza, así que asegúrate de poder acceder a través de SSH a esos servidores, de lo contrario, te encontrarás en problemas al intentar introducir datos a través de teclado o ratón.

Sin embargo, si tu servidor Linux está configurado como sin cabeza, esta puede ser una forma bastante útil de prevenir violaciones de datos. Tengo dos métodos confiables para deshabilitar el USB. Existe otro método, pero en realidad elimina el controlador USB. Personalmente, prefiero que el soporte USB pueda agregarse fácilmente de nuevo, en caso de que sea necesario por alguna razón en el futuro. Dicho esto, vamos a deshabilitar el soporte USB en nuestros servidores Linux sin cabeza. Voy a demostrar esto en Ubuntu Server 16.04, pero el proceso funciona en la mayoría de las distribuciones de Linux modernas.

Deshabilitar el USB

Primero deshabilitaremos el USB engañando al sistema para que no instale el módulo usb-storage. Esto se denomina "Fake Install". Para hacer esto, abre una terminal y ejecuta el siguiente comando sudo nano /etc/modprobe.d/block_usb.conf. Dentro de ese nuevo archivo, agrega el siguiente contenido:

install usb-storage /bin/true

Guarda y cierra el archivo. Reinicia el sistema y el cambio tendrá efecto. Cuando un usuario conecte un dispositivo USB, no será reconocido. Por ejemplo, un dispositivo USB conectado no aparecerá ni en el administrador de archivos GUI ni en la jerarquía de directorios. La única excepción es que el dispositivo USB se mostrará en la salida del comando dmesg (Figura A).

Figura A

El siguiente método es un poco más severo, pero funciona. Lo que vamos a hacer es cambiar los permisos de la carpeta /media, de manera que un dispositivo externo simplemente no se pueda montar en este directorio (que es el predeterminado en las distribuciones modernas de Linux). Esto no es perfecto, ya que alguien con los conocimientos y privilegios suficientes podría cambiar los permisos o montar la unidad USB en otro lugar. Sin embargo, para aquellos sin los conocimientos de Linux necesarios, esto sin duda les dificultará un poco el proceso.

Cómo solucionar el problema de seguridad entre Docker y UFW en Linux

Lo primero que debes saber es que los permisos originales para la carpeta /media son 755. Eso es importante si necesitas restaurar la capacidad de montar en esa carpeta. Dicho esto, abre una terminal y ejecuta el siguiente comando:

sudo chmod 000 /media

Después de ejecutar ese comando, conecta un dispositivo USB externo e intenta montarlo. No funcionará.

Si necesitas restaurar la capacidad de montar en el directorio /media, ejecuta el comando:

sudo chmod 755 /media

Una vez hecho esto, todo volverá a la normalidad.

Una adición peculiar a la seguridad

Estos métodos no son perfectos y tienen sus particularidades, pero ayudarán a evitar que cualquier persona conecte un dispositivo USB externo y cargue archivos maliciosos en tus servidores Linux o extraiga datos de ellos. Si estás buscando una medida de seguridad que no se encuentre en las soluciones tradicionales, prueba estos métodos y verifica si te ayudan. Solo recuerda que esto no es un fin en sí mismo, sino un método posible para agregar seguridad adicional a un servidor que ya debería estar protegido.

Por supuesto, si todo lo demás falla, siempre puedes utilizar dispositivos como los Kensington Port Lockers.

Cómo proteger tu negocio de los ciberataques: el número de incidentes casi se duplicó en 2017

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a Cómo deshabilitar el soporte USB en servidores Linux para mejorar la seguridad , tenemos lo ultimo en tecnología 2023.