En resumen: La monitorización de seguridad de servidores consiste en observar de forma continua los servidores web en busca de indicios de un ataque, en lugar de reaccionar solo cuando los clientes se quejan. Vigilamos los archivos, procesos, inicios de sesión, conexiones y registros de sus servidores PHP y valoramos de forma comprensible cada anomalía. Así detecta los problemas antes y, en caso grave, dispone de los rastros necesarios.
Por qué la monitorización de seguridad cuenta precisamente ahora
PHP2Shell ha mostrado con qué rapidez una vulnerabilidad nueva puede convertirse en una amenaza para millones de servidores. Unit 42 contabilizó más de 22,6 millones de instancias expuestas y potencialmente vulnerables. Al mismo tiempo, no hay indicadores de compromiso (IOC) confirmados y publicados. Quien quiera saber si ocurre algo en su propio servidor debe fijarse en el comportamiento.
Muchas intrusiones se descubren tarde, a menudo por terceros: un aviso de Google, un bloqueo del proveedor de hosting por envío de spam, un aviso de un cliente. Para entonces, los registros suelen haberse rotado y los rastros se han perdido. La monitorización de seguridad acorta ese tiempo y garantiza que los registros sigan ahí cuando se necesiten. Para la dirección significa sobre todo una cosa: las decisiones en caso grave se basan en hechos y no en suposiciones.
Qué vigilamos
| Ámbito | A qué prestamos atención |
|---|---|
| Archivos | archivos PHP nuevos o modificados, código ejecutable en carpetas de cargas, cambios en .htaccess y en la configuración |
| Procesos | órdenes iniciadas desde workers de PHP, procesos permanentes desconocidos, workers que se bloquean |
| Inicios de sesión | accesos SSH y al panel, cuentas de administrador nuevas en el CMS, intentos fallidos repetidos |
| Red | conexiones salientes inusuales, envío repentino de correo, puertos abiertos nuevos |
| Registros | patrones de peticiones llamativos, acumulación de errores, lagunas en el registro |
| Estado | versiones de PHP, del CMS y de los paquetes contrastadas con las actualizaciones de seguridad conocidas |
Cómo pueden comprobarse manualmente estas señales se describe en Evaluar los registros del servidor web tras un ataque. Para los accesos de administración recomendamos además las medidas de Proteger los inicios de sesión de administración frente a la fuerza bruta.
¿Cómo ayuda PHP SOS en concreto?
- Registrar la situación de partida: documentamos servidores, aplicaciones, registros existentes y la vigilancia anterior, y definimos qué es normal. Sin este estado de partida no se puede reconocer con seguridad lo anómalo.
- Configurar la vigilancia: configuramos la comprobación de integridad de archivos, el reenvío de registros a un lugar de almacenamiento separado y reglas para las consecuencias típicas de un ataque. Los registros se guardan de modo que un atacante en el servidor web no pueda borrarlos sin más.
- Ajuste fino: en las primeras semanas adaptamos las reglas para que no le inunden las falsas alarmas, por ejemplo por actualizaciones o despliegues regulares.
- Avisar y valorar: comunicamos las anomalías con una valoración: qué se ha observado, qué probabilidad hay de un ataque y qué hay que hacer a continuación.
- Informar: a intervalos regulares recibirá un resumen con eventos, actualizaciones pendientes y recomendaciones.
Guarde los registros en un sistema separado. En el caso de PHP2Shell, la prensa especializada aconseja asegurar los registros del servidor desde el 20/10/2026. Quien los almacena de forma centralizada los sigue teniendo aunque haya que reinstalar el servidor web.
Cómo es un aviso nuestro
Una advertencia solo sirve si se entiende. Por eso cada aviso contiene los mismos elementos:
- ¿Qué se ha observado? Por ejemplo: en la carpeta de cargas de un sitio web ha aparecido un archivo PHP nuevo y poco después un worker de PHP ha establecido una conexión saliente con una dirección desconocida.
- ¿Cómo lo valoramos? Están demostrados el archivo nuevo y la conexión. Es probable que exista una relación. Se desconoce si se han transmitido datos.
- ¿Qué hemos hecho ya? Por ejemplo, asegurar el archivo y, si se ha acordado, poner el sitio web en modo de mantenimiento.
- ¿Qué tiene que decidir usted? Por ejemplo, si el sitio web permanece fuera de línea hasta aclarar la causa.
Los eventos inofensivos, como una actualización ordinaria de un plugin, los reconocemos por la situación de partida y los resumimos en el informe, en lugar de molestarle con ellos uno por uno. Con el tiempo, la vigilancia conoce mejor sus sistemas.
Lo que recibe y lo que necesitamos
Recibirá una vigilancia configurada con reglas documentadas, avisos trazables con una recomendación de actuación, informes periódicos y un almacenamiento centralizado de los registros. En caso de incidente confirmado, los datos pasan directamente a la respuesta a incidentes.
De usted necesitamos:
- acceso de administrador a los servidores para configurar agentes y el reenvío de registros
- una visión general de las aplicaciones, los despliegues previstos y las ventanas de mantenimiento
- una persona de contacto que reciba los avisos y pueda tomar decisiones
- coordinación con su delegado de protección de datos, porque los registros pueden contener datos personales como direcciones IP
Lo que no prometemos
La monitorización no detecta todo ataque. Los atacantes hábiles intentan pasar desapercibidos y algunas vulnerabilidades apenas dejan rastros. La monitorización aumenta la probabilidad de notar a tiempo una intrusión y proporciona datos fiables. No sustituye ni las actualizaciones ni el refuerzo.
Tampoco fijamos tiempos de reacción de forma generalizada; dependen del seguimiento acordado. La monitorización aprovecha mejor su utilidad como parte de un contrato de mantenimiento de seguridad, en el que se regulan conjuntamente las actualizaciones, las copias de seguridad y la vigilancia.
Preguntas frecuentes
¿Cuál es la diferencia entre la monitorización normal y la monitorización de seguridad?
La monitorización normal comprueba si un servidor está accesible y tiene recursos suficientes. La monitorización de seguridad presta atención a indicios de un ataque, como archivos ejecutables nuevos, procesos inusuales o inicios de sesión ajenos. Ambas se complementan.
¿Detecta la monitorización un ataque mediante PHP2Shell?
No hay indicadores de compromiso (IOC) confirmados y publicados para PHP2Shell. Pero la monitorización puede hacer visibles las consecuencias típicas de una intrusión, como archivos PHP nuevos u órdenes iniciadas desde un proceso de PHP. No hay garantía de éxito.
¿Tengo que instalar software en el servidor para ello?
Normalmente sí, por ejemplo un agente para la integridad de archivos y el reenvío de registros. Acordamos con usted, y en su caso con su proveedor de hosting, qué herramientas usamos, para que el funcionamiento y la protección de datos encajen.
¿Funciona la monitorización de seguridad también en un hosting compartido?
Solo de forma limitada. Sin acceso a los procesos y a los registros del sistema, queda sobre todo la vigilancia de archivos y contenidos desde fuera. Para una vigilancia completa hace falta un servidor propio o gestionado.