Seguridad
Puertos expuestos: qué revisar antes de un incidente
MySQL, Redis, RDP y paneles en internet son deuda operativa medible. Cómo inventariar superficie de ataque, cerrar servicios y validar con escaneo externo.
12 min de lectura · Actualizado 2026-07-22
Superficie de ataque: lo que ve un atacante en 30 segundos
Un escaneo de puertos desde internet revela servicios que tu equipo olvidó cerrar: MySQL en 3306, Redis sin auth en 6379, RDP en 3389, Elasticsearch en 9200, o el panel de administración / DirectAdmin en puerto no estándar pero indexado en Shodan.
No necesitas ser objetivo dirigido: bots automatizados prueban credenciales default contra cada IP con 22/tcp o 3306/tcp abierto. Un Redis expuesto con DEBUG CONFIG puede terminar en cryptominer en horas.
La pregunta operativa no es «¿tenemos firewall?» sino «¿qué procesos escuchan en 0.0.0.0 en cada servidor público?». ss -tlnp o netstat en cada nodo del inventario; compara con lo que debe estar abierto: 443, quizá 80 para redirect, nada más.
Web Checker 360 y la auditoría de seguridad del Toolbox simulan esa visión externa sin instalar agentes. Úsalos tras cada deploy de infraestructura y en auditorías trimestrales.
Servicios que nunca deben ser públicos
Bases de datos (MySQL, PostgreSQL, MongoDB, MSSQL), caches (Redis, Memcached), buses de mensajes (RabbitMQ, Kafka), y paneles de administración (phpMyAdmin, DirectAdmin en puerto default, Portainer) pertenecen a red privada o VPN.
SSH (22) expuesto a 0.0.0.0 es práctica aceptable solo con fail2ban, claves ed25519 sin password, AllowUsers restringido y preferiblemente acceso vía bastion o Cloudflare Tunnel — no login directo desde cualquier IP.
RDP y VNC para escritorios Windows/Linux deben estar detrás de VPN corporativa o Zero Trust (Cloudflare Access, Tailscale). Exponer RDP a internet es invitación a ransomware con credenciales filtradas.
Si un SaaS «necesita» conectar a tu base de datos, usa túnel reverso, IP allowlist del proveedor documentada, o réplica read-only en DMZ — nunca el primario en IP pública.
Inventario y hardening por capas
Mantén tabla viva: servidor, IP pública/privada, puertos abiertos, servicio, owner, justificación, fecha de revisión. Actualiza en cada ticket de infraestructura; de lo contrario el documento miente en el peor momento.
Firewall en host (iptables, nftables, ufw) como última línea además del firewall perimetral. Deny by default inbound; allow explícito por puerto y origen.
En LXC, no publiques puertos de contenedores internos en el host sin NAT documentado. Un LXC de Redis para la app no necesita mapeo al exterior del cluster.
Segmentación: web en DMZ, app y DB en VLAN sin ruta directa desde internet. El compromiso del front no debe alcanzar MySQL con un telnet desde la misma interfaz pública.
Paneles, APIs de gestión y shadow IT
Desarrolladores levantan phpMyAdmin «temporal» en :8080; marketing instala WordPress admin en subdominio sin 2FA. Shadow IT de puertos es tan común como shadow SaaS.
Escanea subdominios (*.empresa.com) además del apex: staging.api.empresa.com a menudo tiene controles más laxos y mismos datos de prueba reutilizados en prod.
APIs internas expuestas por error de reverse proxy (location /api sin auth) aparecen en escaneos HTTP, no solo de puertos. Combina auditoría de puertos con Web Checker 360 para rutas sensibles.
Política clara: cualquier servicio nuevo en IP pública requiere ticket con revisión de seguridad. Automatiza detección con escaneo semanal programado y alerta si aparece puerto no whitelisteado.
Remediación y validación continua
Prioriza cierre inmediato de DB y Redis públicos; segundo, paneles admin; tercero, endurecer SSH/RDP. Cada hallazgo crítico con dueño y SLA de 24–48 h en entornos con datos de clientes.
Tras cerrar puertos, re-escanea desde externo para confirmar. Firewalls con reglas «permitir mi IP» olvidan eliminar la regla 0.0.0.0/0 cuando el técnico termina la sesión.
Incluye escaneo de puertos en checklist pre-go-live de migraciones cloud. El 60 % de incidentes post-migración incluyen servicio heredado escuchando en interfaz nueva.
Conecta diseña arquitecturas con túneles Cloudflare, VPN y Zero Trust para eliminar exposición directa de paneles y bases de datos en clientes DevOps e infraestructura administrada.
Ponlo en práctica ahora
Usa las herramientas gratuitas del Toolbox para validar tu configuración en minutos.
¿Necesitas que lo resolvamos contigo?
Un ingeniero de Conecta puede aplicar esto en tu operación: servicio relacionado o conversación directa.