Linux sigue siendo el terreno natural de la ciberseguridad y no es casualidad. Más del 90% de la infraestructura cloud corre sobre este sistema y, según la propia documentación de Wireshark, su analizador de protocolos es ya el más usado del mundo para inspeccionar tráfico en tiempo real. La pregunta no es si vas a necesitar estas herramientas, sino cuándo.
Si administras servidores, auditas infraestructuras o simplemente quieres entender qué entra y sale de tu máquina, estas cinco utilidades forman el kit mínimo que separa una defensa improvisada de un sistema realmente endurecido.
¿Por qué Linux es el campo de pruebas de la seguridad?
En Windows puedes instalar suites cerradas que hacen casi todo con un clic. Eso sí, son una caja cerrada, la herramienta funciona, pero no sabes lo que hace, ni como lo hace, y lo peor; si realmente funciona. En Linux ocurre lo contrario, ya que cada pieza es especializada, ligera y componible.
Esa fragmentación es una ventaja, porque te permite encadenar herramientas en un flujo profesional. Descubres qué está expuesto, capturas lo que circula, verificas si una credencial débil abre la puerta y auditas si tu propia configuración resiste el estándar. La clave está en entender que no son programas aislados, sino capas.
Por ejemplo, herramientas como Nmap te permiten tener visibilidad de la red, tcpdump y Wireshark aportan evidencia, Hydra pone a prueba tus contraseñas y Lynis señala lo que deberías haber configurado desde el inicio.
Conviene matizar que ninguna herramienta sustituye el criterio. Un escáner mal usado puede tirar un servicio, un ataque de fuerza bruta sin permiso es ilegal en casi cualquier jurisdicción y una captura sin filtrar puede exponer datos sensibles. Aquí es donde el hardening se cruza con el uso responsable, y donde la ética profesional debe prevalecer por encima de todo.
Jupyter Notebooks, un laboratorio computacional a tu alcance
Nmap, el mapa de tu superficie de ataque
Nmap es el punto de partida. Creado por Gordon Lyon y mantenido como proyecto open source desde finales de los noventa, sigue siendo el escáner de puertos de referencia.
La versión 7.95, de abril de 2024, sumó más de 6.500 huellas y cuatro scripts industriales, y la rama ha seguido hasta la 7.991 de agosto de 2026 según su web oficial. Esas firmas permiten distinguir un Linux 6.1, de un macOS Ventura o un iOS 16 con solo la respuesta a una sonda.
Pero ¿Qué hace esta herramienta? Básicamente, envía paquetes artesanos y analiza cada puerto: abierto, cerrado, filtrado. De ahí deduces si un computador o servidor expone SSH donde no debes, si un contenedor olvidado dejó el puerto 2375 de Docker a la vista o si tu firewall cumple con la seguridad que promete. De esa manera, nmap te ayuda a conocer tu red, los servicios que están en ella, que está y no está habilitado, y te da pistas de como atacar.
Por ejemplo, un uso defensivo básico de esta herramienta sería:
sudo nmap -sV -sC -O -T4 192.168.10.0/24Este comando ejecuta un escaneo de red avanzado y rápido en toda tu red local (192.168.10.0/24) usando privilegios de administrador (sudo). Su objetivo es identificar todos los dispositivos conectados, detectando con precisión qué puertos tienen abiertos, las versiones exactas de los servicios que ejecutan (-sV), las vulnerabilidades e información básica mediante scripts automatizados (-sC) y el sistema operativo de cada equipo (-O), todo procesado a alta velocidad (-T4).
Una forma excelente de comenzar a probar la seguridad de tu red en su punto más básico.
tcpdump, el bisturí en el terminal
Si Nmap es el mapa, tcpdump es el estetoscopio. No tiene interfaz gráfica, pesa apenas unos cientos de kilobytes y viene preinstalado en casi cualquier distribución, desde Ubuntu hasta Rocky Linux. Precisamente por eso sigue siendo insustituible en servidores remotos donde no puedes abrir Wireshark.
Captura paquetes vía libpcap y los guarda en archivos con extensión .pcap. Su fuerza son los filtros Berkeley Packet Filter (BPF), que evitan que te ahogues en tráfico.
Ejemplo para depurar HTTPS:
sudo tcpdump -i eth0 -w captura.pcap host 10.0.0.1 and port 443 -c 1000Con -i eliges interfaz y -w vuelca a fichero; la expresión host ... and port ... es BPF puro. Añade -n para no resolver DNS y -X para ver el payload en hexadecimal.
En un servidor remoto por SSH a las dos de la mañana, esa línea es lo único que tienes. Lo esencial es capturar poco y bien: segundos con el filtro correcto valen más que gigabytes sin filtrar. Un truco útil es rotar: tcpdump -C 100 -W 5 -w traza.pcap crea ficheros de 100 MB y rota entre cinco sin llenar el disco.
Recuerda que tcpdump ve todo lo que pasa por la interfaz. En entornos sensibles, esa captura es un activo crítico: cífrala, limita su duración y bórrala al terminar.
CERN abandona RHEL por Debian Linux en sus aceleradores
Wireshark, el laboratorio para entender qué está pasando
Wireshark es el mismo motor que tcpdump, pero con microscopio. Es el analizador más popular del mundo, mantenido por la Wireshark Foundation, y su rama 4.4 se mantiene activa: la 4.4.8 de julio de 2025 mejoró disectores como DTLS e IPsec y la 4.4.9 de septiembre corrigió un crash en el disector SSH.
Decodifica más de 3.000 protocolos y su display filter es más expresivo que BPF. Mientras BPF filtra al capturar, Wireshark filtra después de la captura: http.request.method == "POST" && ip.addr == 192.168.1.50 , por ejemplo, solo muestra los POST de esa IP, filtrando su contenido de forma más efectiva.
Su valor en hardening va más allá de ser una herramienta forense Por ejemplo ¿Tu servidor Nginx negocia TLS 1.0 por compatibilidad heredada? Wireshark es capaz de detectarlo, por su uso de ClientHello. ¿Un malware usa DNS TXT hacia un dominio raro? Con Wireshark podrás verlo claramente. ¿Un backup expone credenciales en FTP sin cifrar? También podrás verlo sin problemas.
Para usarlo en Linux sin recurrir a sudo cada vez, el paquete crea el grupo network (luego cierra sesión y vuelve a entrar para aplicar el cambio):
sudo usermod -aG network $USERAun así, la recomendación del proyecto es no ejecutar la interfaz como root. Captura con dumpcap y analiza como usuario normal. El flujo más eficiente es híbrido: capturas ligero con tcpdump en remoto y abres el .pcap en Wireshark en tu equipo. Ligereza del terminal y potencia visual del laboratorio.
Una captura puede contener tokens, cookies y contraseñas. Trátala como un volcado de base de datos y anonimiza antes de compartir.
Hydra, el espejo incómodo de tus contraseñas
THC Hydra no es un sniffer ni un escáner. Es un probador de credenciales online, y su valor defensivo es precisamente ese: te obliga a comprobar si lo que tú consideras una contraseña razonable resiste un ataque automatizado.
Desarrollado por van Hauser y la comunidad THC, soporta más de 50 protocolos —FTP, SSH, HTTP-Form, SMB, RDP, PostgreSQL— y paraleliza intentos donde el protocolo lo permite. La 9.7, de mayo y listada como última estable en GitHub y Kali Linux Tools, mantiene el proyecto activo tras dos décadas.
Ejemplo contra SSH de laboratorio:
hydra -l admin -P /usr/share/wordlists/rockyou.txt ssh://192.168.1.20 -t 4 -f -VCon -l fijas usuario, -P una wordlist y -t 4 limitas hilos para no tumbar el servicio. -f detiene al primer acierto; prueba siempre contra entornos que controlas.
Hydra no rompe hashes offline como Hashcat. Ataca el login vivo, más lento y detectable. Si encuentra admin:admin en segundos, no necesitas auditor externo para saber que tienes un problema. Puedes automatizar esa comprobación en tu laboratorio antes que otros.
Lanzar Hydra contra sistemas ajenos sin permiso es ilegal. En auditorías se firma alcance, se limita la ventana y se coordina con monitorización para no confundir prueba con ataque. Si tu Fail2Ban no detecta esos intentos, el hallazgo es doble: contraseña débil y falta de detección.
Lynis, la auditoría que deberías pasar cada semana
Lynis es la menos vistosa y quizá la más útil para endurecer Linux desde dentro. Open source GPL desde 2007 y mantenido por CISOfy, realiza cientos de controles sobre el host: permisos, kernel, autenticación, parches y alineación con CIS o NIST, como detalla su documentación oficial y su repo en GitHub con más de 16.000 estrellas.
No necesita agente:
sudo lynis audit systemObtienes un hardening index sobre 100 y sugerencias priorizadas. No dice que estás seguro, dice qué no cumples.
El flujo ideal es ejecutarlo tras cada despliegue: imagen Docker nueva, VPS recién creado. Si marca /tmp sin noexec, kernel.sysrq activo o PermitRootLogin yes en OpenSSH, sabes qué tocar en /etc/sysctl.conf o sshd_config.
A diferencia de OpenVAS o Nessus, que escanean desde fuera, Lynis inspecciona ficheros locales. Es más rápido, menos intrusivo y no contamina logs. Uno muestra cómo te ven desde fuera; el otro, cómo estás por dentro.
Lynis no explota. No confirma un CVE con exploit, pero sí si reúnes los ingredientes para ser vulnerable. Combínalo con parches y un escáner externo para la foto completa.
¿Cómo encadenar las cinco piezas sin romper nada?
Tener las herramientas instaladas no te hace más seguro. Usarlas en orden, con criterio y en un entorno controlado, sí.
Este flujo es el que siguen muchos equipos que parten de cero con un servidor Ubuntu, Debian o Rocky recién aprovisionado:
| Fase | Herramienta | Objetivo defensivo | Comando de referencia |
|---|---|---|---|
| Descubrimiento | Nmap | Inventariar puertos y versiones reales | nmap -sV -sC 192.168.1.10 |
| Captura ligera | tcpdump | Registrar evidencia mínima y filtrada | tcpdump -i eth0 -w traza.pcap port 443 |
| Análisis profundo | Wireshark | Decodificar protocolos y detectar anomalías | Abrir traza.pcap y filtrar tls.handshake |
| Prueba de credenciales | Hydra | Verificar que no hay logins triviales | hydra -L usuarios.txt -P claves.txt ssh://host |
| Auditoría interna | Lynis | Medir hardening y priorizar correcciones | lynis audit system –quick |
Empieza siempre en laboratorio: clona la máquina, aísla la red y prueba ahí. En producción, avisa al equipo, registra la ventana y limita el alcance. Documenta comando, parámetros y hallazgo.
La automatización marca la diferencia. Nmap y Lynis generan salida parseable (-oX, --report-format), tcpdump deja .pcap procesable con tshark -r traza.pcap -Y "dns" e Hydra exporta a JSON. Un cron semanal o tu CI de imágenes te avisa antes que un escáner externo.
Hackeo de Hugging Face y el poderoso mensaje que manda al mundo
Errores comunes y límites que debes conocer
La potencia de estas utilidades viene con filo. Estos son los tropiezos que más se repiten cuando se usan sin bagaje.
El primero es confundir escanear con auditar. Pasar Nmap sin entender los estados open|filtered o lanzar Hydra con 64 hilos contra un SSH en producción no es una prueba, es una denegación de servicio auto-infligida. Ajusta -t en Hydra, usa -T2 en Nmap si el servicio es sensible y coordina.
El segundo es capturar sin filtro y guardar para siempre. Un .pcap de horas con tráfico de clientes puede contener datos personales. Aplica BPF estrecho, rota ficheros y cifra el resultado. La forensia no justifica retener más de lo necesario.
El tercero es fiarse del hardening index como si fuera una nota final. Lynis puede darte 85 sobre 100 y seguirás siendo vulnerable si no parcheas. El índice mide configuración, no exposición a exploits de día cero. Úsalo como lista de tareas, no como sello.
Recuerda los límites: Wireshark no descifra TLS 1.3 sin claves, tcpdump no ve dentro de VPN bien configuradas y Hydra se estrella contra MFA o bloqueo progresivo. Si tu sistema resiste Hydra porque Fail2Ban bloquea tras cinco intentos y tu SSH exige clave, la herramienta ha cumplido aunque no halle nada.
Un kit que te obliga a mirar tu sistema con ojos de atacante
Dominar estas cinco herramientas no te hace hacker, te hace mejor defensor. Aportan evidencia cruda de lo que tu Linux hace en la red y dónde cojea tu configuración.
Wireshark y tcpdump enseñan a leer la red sin intermediarios. Nmap obliga a un inventario honesto. Hydra recuerda que P@ssw0rd2024 no es seguridad, es decoración. Lynis fuerza a cerrar lo que abriste por prisas y a justificar lo que dejas abierto.
Cuando despliegues tu próximo servidor, dedica una hora al ciclo: escanea, captura, analiza, prueba credenciales, audita. Repite la semana siguiente y compara. Esa rutina separa un sistema que parece seguro de uno que lo está.