Copiar# Listar todos los usuarios del sistema
cat /etc/passwd

# Listar todos los grupos
cat /etc/group

# Usuarios con privilegios sudo
getent group sudo

# Verificar permisos de archivos críticos
ls -l /etc/passwd /etc/shadow /etc/sudoers

# Buscar archivos SUID (ejecución como propietario)
find / -perm -4000 -type f 2>/dev/null

# Buscar archivos SGID (ejecución como grupo)
find / -perm -2000 -type f 2>/dev/null

Copiar# /etc/passwd  — debe ser legible por todos, pero solo root puede escribir
# -rw-r--r-- 1 root root (644)

# /etc/shadow  — solo accesible por root y el grupo shadow
# -rw-r----- 1 root shadow (640)

# /etc/sudoers — solo root puede leer y escribir
# -r--r----- 1 root root (440)

# Si alguno tiene permisos más amplios, es una alerta de seguridad

Copiar# Listar servicios activos (running) — con systemd
systemctl list-units --type=service --state=running

# Listar solo los servicios en ejecución (forma abreviada)
systemctl list-units --type=service | grep running

# Ver servicios habilitados en el arranque
systemctl list-unit-files --type=service | grep enabled

# Ver servicios NO habilitados (para comparación)
systemctl list-unit-files --type=service | grep -v enabled

# Ver puertos abiertos (TCP y UDP, sin resolver nombres)
ss -tuln

# Deshabilitar un servicio innecesario
sudo systemctl disable <nombre-del-servicio.service>

Copiar# Ver los últimos inicios de sesión
last

# Intentos fallidos de autenticación SSH (fuerza bruta)
sudo grep "Failed password" /var/log/auth.log

# Ver errores críticos del sistema (journald)
sudo journalctl -p err

# Monitorizar logs en tiempo real
sudo tail -f /var/log/syslog

# Contar intentos fallidos por IP (requiere grep + sort + uniq)
sudo grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -rn | head

Copiar# Ver reglas activas con UFW (interfaz simplificada)
sudo ufw status verbose

# Ver reglas con iptables (motor del kernel)
sudo iptables -L -v -n

Copiar# Revisar configuración SSH crítica
sudo grep -E "PermitRootLogin|PasswordAuthentication" /etc/ssh/sshd_config

# Si el archivo no está en la ruta por defecto, buscarlo
sudo find / -name sshd_config 2>/dev/null

# Ver dónde está el archivo de configuración de sshd
sudo systemctl cat sshd | grep "sshd_config"

# Verificar si SSH está instalado y activo
sudo systemctl status ssh

# Detectar cuentas con shells NO estándar
# (ni /bin/bash, ni /sbin/nologin, ni /bin/false)
awk -F: '($7 !~ "/bin/bash|/sbin/nologin|/bin/false") {print $1,$7}' /etc/passwd

Copiar# 1. Instalar AIDE
sudo apt install aide -y

# 2. Inicializar la base de datos (puede tardar varios minutos)
sudo aideinit
# O con ruta explícita si hay error de configuración:
sudo aide --config /etc/aide/aide.conf --init

# 3. Activar la base de datos (mover .new → .db)
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

# Verificar que la base de datos existe
sudo ls -l /var/lib/aide/aide.db

# 4. Ejecutar comprobación de integridad
sudo aide --check
# O con ruta explícita:
sudo aide --config /etc/aide/aide.conf --check

# 5. Tras cambios legítimos — actualizar la base de datos
sudo aide --config /etc/aide/aide.conf --update
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

Copiar# Ejemplo de cambio detectado (archivo de caché de shaders GPU)
# /home/atu/.cache/mesa_shader_cache_db/...

# Valor anterior (Base de Datos):
MD5:    DOzaL3KZ9nrW6IHSOmVimQ==
SHA256: 7L5kAjc...

# Valor nuevo (Sistema actual):
MD5:    I3gPdvSb2xnUA8SAozX4Ag==
SHA256: 5qZBP4c...

# Un solo bit diferente → hash completamente distinto
# Esto confirma que el contenido del archivo fue alterado

# Atributos que pueden cambiar (ejemplo):
# /etc/hosts : p+i+n+u+g+s+acl+selinux+xattrs
# p=permiso  i=inodo  n=nlinks  u=usuario  g=grupo  s=size

Copiar# Monitor interactivo de CPU y memoria
top
htop  # versión mejorada con interfaz de colores

# Uso de disco por sistema de archivos
df -h

# Memoria disponible en MB
free -m

# Top 10 procesos que más CPU consumen
ps aux --sort=-%cpu | head -10

# Top 10 procesos que más RAM consumen
ps aux --sort=-%mem | head -10