harden-doc3.19 - en to es translation catalogue (138 entries)

en: After installation
es: Después de la instalación

en: Execute a security update
es: Ejecute una actualización de seguridad

en: Set a LILO or GRUB password
es: Colocar una contraseña a lilo o grub

en: at the boot prompt. After changing the passwords and rebooting the system, the person has unlimited root-access and can do anything he/she wants to the system. After this procedure you will not have root access to your system, as you do not know the root password.
es: Es muy fácil entrar a una shell con el usuario root y cambiar las contraseñas simplemente tecleando "&lt;name-of-your-bootimage&gt; init=/bin/sh". Luego de cambiar las contraseñas y reingresar al sistema, la persona ha tiene acceso ilimitado (como root) y puede hacer cualquier cosa que el/ella quiera en el sistema. Después de este procedimiento, usted no tendrá acceso a su sistema, porque usted no conoce la contraseña de root.

en: To make sure that this cannot happen, you should set a password for the boot loader. You can choose between a global password or a password for a certain image.
es: Asegúrese que esto no pueda suceder, usted debería colocar una contraseña para el cargador de linux. Usted puede escoger entre una contraseña global y una contraseña para una imagen.

en: For LILO you need to edit the config file <filename>/etc/lilo.conf</filename> and add a <userinput>password</userinput> and <userinput>restricted</userinput> line as in the example below.
es: Para LILO usted necesita editar el archivo <filename>/etc/lilo.conf</filename> y agregar una contraseña y restringirlo como en el siguiente ejemplo:

en: 
      image=/boot/2.2.14-vmlinuz
         label=Linux
         read-only
         password=hackme
         restricted
es: 
    image=/boot/2.2.14-vmlinuz
     label=Linux
     read-only
     password=hackme
     restricted

en: If you use GRUB instead of LILO, edit <filename>/boot/grub/menu.lst</filename> and add the following two lines at the top (substituting, of course <userinput>hackme</userinput> with the desired password). This prevents users from editing the boot items. <userinput>timeout 3</userinput> specifies a 3 second delay before <command>grub</command> boots the default item.
es: Si usted usa GRUB en lugar de LILO, edite <filename>/boot/grub/menu.lst</filename> y agregue las siguientes dos líneas al inicio (sustituyendo, por supuesto 'hackme' con la contraseña deseada). Esto previene a los usuarios de editar los ítems de entrada. 'timeout3' especifica tres segundos antes del arranque del sistema por defecto.

en: 
      timeout 3
      password hackme
es: 
    timeout 3
    password hackme

en: To further harden the integrity of the password, you may store the password in an encrypted form. The utility <command>grub-md5-crypt</command> generates a hashed password which is compatible with GRUB's encrypted password algorithm (MD5). To specify in <command>grub</command> that an MD5 format password will be used, use the following directive:
es: Para asegurar mas la integridad de la contraseña, usted podría guardarla una forma encriptada. La utilidad de grub-d5-crypt es que genera una contraseña la cual es compatible con el algorítmo (md5) de encripción de grub. Para especificar en GRUB que el formato de la contraseña md5 será usado, use la siguiente instrucción:

en: The --md5 parameter was added to instruct <command>grub</command> to perform the MD5 authentication process. The provided password is the MD5 encrypted version of hackme. Using the MD5 password method is preferable to choosing its clear-text counterpart. More information about <command>grub</command> passwords may be found in the <application>grub-doc</application> package.
es: El parámetro --md5 fue agregado para instruir a grub a realizar el proceso de autenticación. La contraseña proporcionada es la versión encriptada en md5 de "hackme". Usar el método de encripción md5 es preferible a su contraparte en solo texto. Mas información acera de la contraseña GRUB puede ser encontrada en el paquete de grub-doc.

en: Linux 2.6 kernels provide a way to access a root shell while booting which will be presented during loading the initramfs on error. This is helpful to permit the administrator to enter a rescue shell with root permissions. This shell can be used to manually load modules when autodetection fails. This behavior is the default for <command>initramfs-tools</command> generated initramfs. The following message will appear:
es: Los núcleos de Linux 2.6 proporcionan una forma para tener acceso a la línea de comandos del administrador que será presentada justo después de cargar el sistema de archivos cramfs. Un mensaje aparecerá para permitir al administrador entrar en una línea de comandos con permisos de root, esta línea de comandos puede ser usada manualmente para cargar módulos cuando la autodetección falla. Este comportamiento es el predeterminado para initrd's linuxrc. El siguiente mensaje aparecerá:

en: Remove root prompt on the kernel
es: Eliminar el prompt de root del núcleo

en: Linux 2.4 kernels provide a way to access a root shell while booting which will be presented just after loading the cramfs file system. A message will appear to permit the administrator to enter an executable shell with root permissions, this shell can be used to manually load modules when autodetection fails. This behavior is the default for <command>initrd</command>'s <filename>linuxrc</filename>. The following message will appear:
es: Los núcleos de Linux 2.6 proporcionan una forma para tener acceso a la línea de comandos del administrador que será presentada justo después de cargar el sistema de archivos cramfs. Un mensaje aparecerá para permitir al administrador entrar en una línea de comandos con permisos de root, esta línea de comandos puede ser usada manualmente para cargar módulos cuando la autodetección falla. Este comportamiento es el predeterminado para initrd's linuxrc. El siguiente mensaje aparecerá:

en: In order to remove this behavior you need to change <filename>/etc/mkinitrd/mkinitrd.conf</filename> and set:
es: Para eliminar este comportamiento usted necesita cambiar <filename>/etc/mkinitrd/mkinitrd.conf</filename> y colocar:

en: 
      # DELAY  The  number  of seconds the linuxrc script should wait to
      # allow the user to interrupt it before the system is brought up
      DELAY=0
es: 
      # DELAY define lo segundos que el script linuxrc debe esperar para
      # que el ususario pueda interrunpir el inicio del sistema
      DELAY=0

en: Then regenerate your ramdisk image. You can do this for example with:
es: Luego regenera su imagen del disco RAM. Usted puede hacer esto por ejemplo con:

en: or (preferred):
es: O hacer (preferir):

en: 
      # dpkg-reconfigure -plow kernel-image-2.4.x-yz
es: 
      # dpkg-reconfigure kernel-image-2.4.x-yz

en: Restricting console login access
es: Restricción del acceso a la consola

en: Some security policies might force administrators to log in to the system through the console with their user/password and then become superuser (with <command>su</command> or <command>sudo</command>). This policy is implemented in Debian by editing the <filename>/etc/pam.d/login</filename> and the <filename>/etc/securetty</filename> when using PAM:
es: Algunas políticas de seguridad quieren forzar a los administradores para registrarse en el sistema a través de la consola con su usuario/contraseña y luego llegar a ser un superusuario (con<command>su</command> o <command>sudo</command>). Esta política es implementada en Debian al editar el archivo <filename>/etc/login.defs</filename> o <filename>/etc/securetty</filename> cuando se usa PAM. En:

en: When using PAM, other changes to the login process, which might include restrictions to users and groups at given times, can be configured in <filename>/etc/pam.d/login</filename>. An interesting feature that can be disabled is the possibility to login with null (blank) passwords. This feature can be limited by removing <emphasis>nullok</emphasis> from the line:
es: Cuando use PAM se hacen otros cambios para el proceso de registro, los cuales pueden incluir restricciones para usuarios y grupos a tiempos dados, puede ser configurado en <filename>/etc/pam.d/login</filename>. Una interesante característica que puede ser incapacitada es la posibilidad de registrar con contraseñas sin efecto (nulas). Esta característica puede ser limitada removiendo el <emphasis>nullok</emphasis> de la linea:

en: 
      auth       required   pam_unix.so nullok
es: 
      auth required pam_unix.so nullok

en: Mounting partitions the right way
es: Montando particiones de manera correcta

en: You see the difference in the options sections. The option <literal>nosuid</literal> ignores the setuid and setgid bits completely, while <literal>noexec</literal> forbids execution of any program on that mount point, and <literal>nodev</literal> ignores device files. This sounds great, but it:
es: usted ve la diferencia a las secciones de opciones . La opción <literal>nosuid</literal> ignora los bits setuid y setgid completamente , mientras que <literal>noexec</literal> prohibe la ejecución de programas en ese punto de montaje, y <literal>nodev</literal>, ignora los dispositivos.Esto suena grandioso , pero esto

en: can be circumvented easily
es: puede ser evitado fácilmente

en: The <literal>noexec</literal> option prevents binaries from being executed directly, but was easily circumvented in earlier versions of the kernel:
es: La opción <literal>noexec</literal> previene los binarios de ejecutarse directamente, pero se engaña fácilmente:

en: 
      alex@joker:/tmp# mount | grep tmp
      /dev/hda7 on /tmp type ext2 (rw,noexec,nosuid,nodev)
      alex@joker:/tmp# ./date
      bash: ./date: Permission denied
      alex@joker:/tmp# /lib/ld-linux.so.2 ./date
      Sun Dec  3 17:49:23 CET 2000
es: 
    alex@joker:/tmp# mount | grep tmp
    /dev/hda7 on /tmp type ext2 (rw,noexec,nosuid,nodev)
    alex@joker:/tmp# ./date
    bash: ./date: Permission denied
    alex@joker:/tmp# /lib/ld-linux.so.2 ./date
    Sun Dec 3 17:49:23 CET 2000

en: However, many script kiddies have exploits which try to create and execute files in <filename>/tmp</filename>. If they do not have a clue, they will fall into this pit. In other words, a user cannot be tricked into executing a trojanized binary in <filename>/tmp</filename> e.g. when <filename>/tmp</filename> is accidentally added into the local PATH.
es: Sin embargo, muchos "script kiddies" cuentan con "xploits" que intentan crear y ejecutar los archivos en <filename>/tmp</filename>.Si ellos no tienen una pista, ellos entrarán en esta trampa. En otros términos, un usuario no puede engañarse en ejecutar un binario troyanizado en <filename>/tmp</filename> e.g. por ejemplo cuando él agrega a propósito <filename>/tmp</filename>dentro de su PATH.

en: Also be forewarned, some script might depend on <filename>/tmp</filename> being executable. Most notably, Debconf has (had?) some issues regarding this, for more information see <ulink name="Debian Bug nº116448" url="http://bugs.debian.org/116448" />.
es: También se previene de algún programa que podría depender en que <filename>/tmp</filename> sea ejecutable. Más notablemente, Debconf tiene (¿tenía?) algunos problemas que consideran esto, para más información vea Bug <ulink url="http://bugs.debian.org/116448" name="116448" />.

en: 
    /dev/sda6   /usr          ext3    defaults,ro,nodev       0       2
    /dev/sda12  /usr/share    ext3    defaults,ro,nodev,nosuid        0       2
    /dev/sda7   /var          ext3    defaults,nodev,usrquota,grpquota 0      2
    /dev/sda8   /tmp          ext3    defaults,nodev,nosuid,noexec,usrquota,grpquota    0       2
    /dev/sda9   /var/tmp      ext3    defaults,nodev,nosuid,noexec,usrquota,grpquota    0       2
    /dev/sda10  /var/log      ext3    defaults,nodev,nosuid,noexec    0       2
    /dev/sda11  /var/account  ext3    defaults,nodev,nosuid,noexec    0       2
    /dev/sda13  /home         ext3    rw,nosuid,nodev,exec,auto,nouser,async,usrquota,grpquota                0       2
    /dev/fd0    /mnt/fd0      ext3    defaults,users,nodev,nosuid,noexec      0       0
    /dev/fd0    /mnt/floppy   vfat    defaults,users,nodev,nosuid,noexec      0       0
    /dev/hda    /mnt/cdrom    iso9660 ro,users,nodev,nosuid,noexec            0       0
es: 
    /dev/sda6       /usr            ext2    defaults,ro,nodev       0       2
    /dev/sda12      /usr/share      ext2    defaults,ro,nodev,nosuid        0       2
    /dev/sda7       /var            ext2    defaults,nodev,usrquota,grpquota          0       2
    /dev/sda8       /tmp            ext2    defaults,nodev,nosuid,noexec,usrquota,grpquota    0       2
    /dev/sda9       /var/tmp        ext2    defaults,nodev,nosuid,noexec,usrquota,grpquota    0       2
    /dev/sda10      /var/log        ext2    defaults,nodev,nosuid,noexec    0       2
    /dev/sda11      /var/account    ext2    defaults,nodev,nosuid,noexec    0       2
    /dev/sda13      /home           ext2    rw,nosuid,nodev,exec,auto,nouser,async,usrquota,grpquota                0       2
    /dev/fd0        /mnt/fd0        ext2    defaults,users,nodev,nosuid,noexec      0       0
    /dev/fd0        /mnt/floppy     vfat    defaults,users,nodev.nosuid,noexec      0       0
    /dev/hda        /mnt/cdrom      iso9660 ro,users,nodev.nosuid,noexec            0       0

en: Be careful if setting <filename>/tmp</filename> noexec when you want to install new software, since some programs might use it for installation. <application>apt</application> is one such program (see <ulink name="Debian Bug nº116448" url="http://bugs.debian.org/116448" />) if not configured properly <varname>APT::ExtractTemplates::TempDir</varname> (see <citerefentry><refentrytitle>apt-extracttemplates</refentrytitle><manvolnum>1</manvolnum></citerefentry>). You can set this variable in <filename>/etc/apt/apt.conf</filename> to another directory with exec privileges other than <filename>/tmp</filename>.
es: Tenga cuidado si esta poniendo <filename>/tmp</filename>y usted quiere instalar el nuevo software, desde que alguno podría usarlo para la instalación. Apt es uno de esos programas (vea <ulink url="http://bugs.debian.org/116448" />) si no configuró propiamente <literal>APT::ExtractTemplates::TempDir</literal> (vea <citerefentry><refentrytitle>apt-extracttemplates</refentrytitle><manvolnum>1</manvolnum></citerefentry>). Usted puede poner esta variable en <filename>/etc/apt/apt.conf</filename> a otro directorio con privilegios exec que no sea <filename>/tmp</filename>

en: Setting /usr read-only
es: Serie /usr leer-únicamente

en: If you set <filename>/usr</filename> read-only you will not be able to install new packages on your Debian GNU/Linux system. You will have to first remount it read-write, install the packages and then remount it read-only. <application>apt</application> can be configured to run commands before and after installing packages, so you might want to configure it properly.
es: Si usted pusiera <filename>/usr</filename> leer - únicamente usted no podrá instalar los nuevos paquetes en su Debian GNU / sistema Linux. Usted tendrá, primero que remontar leer -escribir, instale los paquetes y entonces remóntelo leer-únicamente. La última versión apt (en Debian 3.0ŽwoodyŽ) puede configurarse para ejecutar las órdenes antes y después de instalar los paquetes, para que usted pueda propiamente querer configurarlo.

en: To do this modify <filename>/etc/apt/apt.conf</filename> and add:
es: Hacer esto modifica <filename>/etc/apt/apt.conf</filename> y agrega:

en: 
      DPkg
      {
          Pre-Invoke  { "mount /usr -o remount,rw" };
          Post-Invoke { "mount /usr -o remount,ro" };
      };
es: 
     DPkg
     {
     Pre-Invoke { "mount /usr -o remount,rw" };
     Post-Invoke { "mount /usr -o remount,ro" };
     };

en: Providing secure user access
es: Acceso seguro para los usuarios

en: User authentication: PAM
es: Uso de la autentificación: PAM

en: PAM offers you the possibility to go through several authentication steps at once, without the user's knowledge. You could authenticate against a Berkeley database and against the normal <filename>passwd</filename> file, and the user only logs in if the authentication succeeds in both. You can restrict a lot with PAM, just as you can open your system doors very wide. So be careful. A typical configuration line has a control field as its second element. Generally it should be set to <literal>requisite</literal>, which returns a login failure if one module fails.
es: PAM le ofrece a usted la posibilidad a ir por varios pasos de autenticación una vez, sin el uso de conocimientos .Usted puede autenticar de nuevo una base de datos Berkeley y de nuevo el archivo de password normal y el uso únicamente de registros en si correctamente autenticos en ambos. Usted puede limitar a muchos con PAM , así como usted puede abrir sus puertas del sistema muy extensamente. Así que tenga cuidado. Una línea de la típica configuración tiene un campo de mando como su segundo elemento.

en: This definition:
es: Esta definición

en: 
      # Be sure to install libpam-cracklib first or you will not be able to log in
      password   required     pam_cracklib.so retry=3 minlen=12 difok=3
      password   [success=1 default=ignore]      pam_unix.so obscure minlen=8 sha512 use_authok
es: 
    # Asegúrese de tener instalado libpam-cracklib, sino no podrá entrar en el sistema
      password   required     pam_cracklib.so retry=3 minlen=12 difok=3
      password   [success=1 default=ignore]      pam_unix.so obscure minlen=8 sha512 use_authok

en: User access control in PAM
es: Control de acceso de usuarios con PAM

en: To make sure that the user root can only log into the system from local terminals, the following line should be enabled in <filename>/etc/pam.d/login</filename>:
es: Para asegurarse que el root (administrador de Linux) del usuario sólo puede anotarse en el sistema de los términos locales, la línea siguiente debe habilitarse en <filename>/etc/pam.d/login</filename>:

en: User limits in PAM
es: Limites para los usuarios mediante PAM

en: This restricts the system resources that users are allowed (see below in <xref linkend="user-limits" />). For example, you could restrict the number of concurrent logins (of a given group of users, or system-wide), number of processes, memory size etc.
es: Esto restringe los recursos del sistema que se permiten a los usuarios (vea en la siguiente pagina <ulink url="user-limits" />. Por ejemplo, usted podría restringir el número de logins coexistente (de un grupo dado de usuarios, o sistema-ancho) usted puede tener, el número de procesos, el tamaño de memoria......

en: Control of su in PAM
es: Control de 'su' mediante PAM

en: If you want to protect <command>su</command>, so that only some people can use it to become root on your system, you need to add a new group "wheel" to your system (that is the cleanest way, since no file has such a group permission yet). Add root and the other users that should be able to <command>su</command> to the root user to this group. Then add the following line to <filename>/etc/pam.d/su</filename>:
es: Si usted quiere proteger su (un comando), para que sólo algunas personas puedan usarlo para volverse a root en su sistema, usted necesita agregar uno nuevo para agregar un nuevo "wheel" de grupo a su sistema (ésa es la manera más limpia, desde que ningún archivo tiene tal un permiso de grupo todavía). Agregue el root y los otros usuarios que deberian ser capaces de ejecutar <literal>su</literal> a el usuario de root a este grupo. Entonces agregue la línea siguiente a <filename>/etc/pam.d/su</filename>:

en: This makes sure that only people from the group "wheel" can use <command>su</command> to become root. Other users will not be able to become root. In fact they will get a denied message if they try to become root.
es: Esto asegura que sólo personas de el grupo wheel pueden usar <command>su</command> para volverse root. Otros usuarios no seran capaces de volverse root. De hecho ellos conseguirán un mensaje negado si ellos intentan volverse volverse root.

en: If you want only certain users to authenticate at a PAM service, this is quite easy to achieve by using files where the users who are allowed to login (or not) are stored. Imagine you only want to allow users 'ref' to log in via <command>ssh</command>. So you put them into <filename>/etc/sshusers-allowed</filename> and write the following into <filename>/etc/pam.d/ssh</filename>:
es: Si usted quiere que sólo ciertos usuarios autentiquen a un servicio de PAM, esto es bastante fácil de lograr usando los archivos dónde los usuarios que son permitidos al login (o no) se guarden. Sólo imagine que usted quiere permitirle el login de ŽrefŽto al usuario vía ssh. Así que usted lo pone en <filename>/etc/sshusers-allowed</filename> y le escribe lo siguiente en <filename>/etc/pam.d/ssh</filename>:

en: Temporary directories in PAM
es: Carpetas temporales en PAM

en: Configuration for undefined PAM applications
es: Configuración de aplicaciones genéricas de PAM

en: Finally, but not least, create <filename>/etc/pam.d/other</filename> and enter the following lines:
es: Por último, pero no menos importante, cree <filename>/etc/pam.d/other</filename> y coloque las líneas siguientes:

en: These lines will provide a good default configuration for all applications that support PAM (access is denied by default).
es: Estas líneas mantendrán una buena configuración predefinida en todas las aplicaciones que apoyan PAM (se niega el acceso por el valor predeterminado).

en: Limiting resource usage: the <filename>limits.conf</filename> file
es: Limitación de recursos: archivo <filename>limits.conf</filename>

en: And these are the limits for an administrative user:
es: estos son los limites para un usuarios administrador:

en: If you enable this variable, failed logins will be logged. It is important to keep track of them to catch someone who tries a brute force attack.
es: Si usted habilita esta variable, se anotarán los logins fallados. Es importante guardar huella de ellos para coger a alguien que pruebe un ataque de fuerza bruta.

en: This one enables logging of <command>su</command> attempts to <filename>syslog</filename>. Quite important on serious machines but note that this can create privacy issues as well.
es: Este uno habilita el logging de la pueba <literal>su</literal> a syslog. Bastante importante en serias maquinas pero note que esto puede crear el retiro de los resultados a medida que esten bien.

en: The <filename>/etc/ftpusers</filename> file contains a list of users who are not allowed to log into the host using ftp. Only use this file if you really want to allow ftp (which is not recommended in general, because it uses clear-text passwords). If your daemon supports PAM, you can also use that to allow and deny users for certain services.
es: Este archivo contiene una lista de usuarios no autorizados a entrar en el sistema mediante ftp. Sĺo debería emplear este archivo si desea prpoprcionar ftp (lo cual es -en general- poco aconsejable debido al uso de contraseñas sin cifrar). Si incorpora soporte para PAM, puede autorizar o denegar el uso de ciertos servicios a los usuarios.

en: Using su
es: Uso de su

en: If you really need users to become the super user on your system, e.g. for installing packages or adding users, you can use the command <command>su</command> to change your identity. You should try to avoid any login as user root and instead use <command>su</command>. Actually, the best solution is to remove <command>su</command> and switch to the <command>sudo</command> mechanism which has a broader logic and more features than <command>su</command>. However, <command>su</command> is more common as it is used on many other Unices.
es: Si usted realmente necesita que los usuarios se vuelvan el super usuario en su sistema,e.g. por instalar los paquetes o agregar usuarios, usted puede usar el comando <command>su</command> para cambiar su identidad. Usted debe intentar evitar cualquier login como root del usuario y en cambio usar <command>su</command>. Realmente, la mejor solución es quitar su y cambiar a <command>sudo</command>, como él tiene más rasgos que <command>su</command>. Sin embargo,<command>su</command> es más común como se usa en muchos otro Unixes.

en: Using sudo
es: Uso de sudo

en: <command>sudo</command> allows the user to execute defined commands under another user's identity, even as root. If the user is added to <filename>/etc/sudoers</filename> and authenticates correctly, the commands defined in <filename>/etc/sudoers</filename> get enabled. Violations, such as incorrect passwords or trying to run a program you don't have permission for, are logged and mailed to root.
es: sudo le permite al usuario ejecutar los comandos definidos bajo la identidad de otro usuario, así como root. Si el usuario agrega a <filename>/etc/sudoers</filename> y se autentica correctamente, él es capaz de avanzar comandos en que se ha definido <filename>/etc/sudoers</filename>. Las Violaciones, como las contraseñas incorrectas o intentos de ejecutar un programa usted no tienen permiso para ser anotado y mandado por correo a root.

en: Disallow remote administrative access
es: Prohibición administración remota

en: Restricting users's access
es: Restringiendo usuarios

en: Sometimes you might think you need to have users created in your local system in order to provide a given service (pop3 mail service or ftp). Before doing so, first remember that the PAM implementation in Debian GNU/Linux allows you to validate users with a wide variety of external directory services (radius, ldap, etc.) provided by the libpam packages.
es: A veces usted podría pensar que necesita tener los usuarios creados en su sistema local para proporcionar un servicio (pop3 manda por correo el servicio o ftp). Antes de hacer eso, primero recuerde que la aplicación de PAM en Debian GNU/Linux le permite validar a los usuarios con una variedad ancha de el servicio de directorio externo (el radio, el ldap, etc.) con tal de que por el ,el libpam sea empacado.

en: If users need to be created and the system can be accessed remotely take into account that users will be able to log in to the system. You can fix this by giving users a null (<filename>/dev/null</filename>) shell (it would need to be listed in <filename>/etc/shells</filename>). If you want to allow users to access the system but limit their movements, you can use the <filename>/bin/rbash</filename>, equivalent to adding the <literal>-r</literal> option in <command>bash</command> (<emphasis>RESTRICTED SHELL</emphasis> see <citerefentry><refentrytitle>bash</refentrytitle><manvolnum>1</manvolnum></citerefentry> ). Please note that even with restricted shell, a user that access an interactive program (that might allow execution of a subshell) could be able to bypass the limits of the shell.
es: Si los usuarios necesitan ser creados y el sistema puede ser remotamente de acceso tome en cuenta que los usuarios sean capaces al login al sistema. Usted puede arreglar esto dando a los usuarios una nula (<filename>/dev/null</filename>) interfaz de comandos (él necesitaría ser listada en <filename>/etc/shells</filename>). Si usted quiere permítales a los usuarios acceder a el sistema pero limitar sus movimientos, usted puede usar el <filename>/bin/rbash</filename>, equivalente a agregar la opción <literal>-r</literal> en bash (<emphasis>RESTICTED SHELL</emphasis> ver <citerefentry><refentrytitle>bash</refentrytitle><manvolnum>1</manvolnum></citerefentry>). Por favor note que incluso con la interfaz de comandos restringido, un usuario que entra en acceso a un programa interactivo (eso podría permitirle la ejecución de un subshell) podría poder desviar los límites de el shell.

en: If you wish to restrict <emphasis>when</emphasis> users can access the system you will have to customize <filename>/etc/security/access.conf</filename> for your needs.
es: Si usted desea restringirlo <emphasis>when</emphasis> los usuarios pueden acceder a el sistema que usted quiere tener personalizado <filename>/etc/security/access.conf</filename> para sus necesidades.

en: User auditing
es: Auditoría de usuarios

en: Complete user audit with accounting utilities
es: Auditoría total de usuarios mediante contabilidad de utilidades

en: The previous example is a simple way to configure user auditing but might be not useful for complex systems or for those in which users do not run shells at all (or exclusively). If this is your case, you need to look at <application>acct</application>, the accounting utilities. These utilities will log all the commands run by users or processes in the system, at the expense of disk space.
es: El ejemplo anterior es una manera simple de configurar el usuario interviniendo el cual no podría ser útil para los sistemas complejos. Si éste es su caso, usted necesita mirar a <application>acct</application>, la contabilidad de utilidades. Éstos anotarán todos los comandos corridos por usuarios o procesos en el sistema, al gasto de espacio del disco.

en: When activating accounting, all the information on processes and users is kept under <filename>/var/account/</filename>, more specifically in the <filename>pacct</filename>. The accounting package includes some tools (<command>sa</command>, <command>ac</command> and <command>lastcomm</command>) to analyse this data.
es: Al activar la contabilidad, toda la información sobre los procesos y el usuario se guarda bajo <filename>/var/account/</filename>, más específicamente en el <filename>pacct</filename>. El paquete de contabilidad incluye algunas herramientas (<command>sa</command> y <command>ac</command>) para analizar estos datos.

en: Other user auditing methods
es: Otros métodos de auditoría

en: Reviewing user profiles
es: Repasando los perfiles del usuario

en: If you want to <emphasis>see</emphasis> what users are actually doing when they logon to the system you can use the <filename>wtmp</filename> database that includes all login information. This file can be processed with several utilities, amongst them <command>sac</command> which can output a profile on each user showing in which timeframe they usually log on to the system.
es: Si usted quiere normalmente <emphasis>see</emphasis> a los usuarios qué están haciendo, cuando esten ellos conectándos usted pueden usar la base de datos de <filename>wtmp</filename> que incluye toda la información del login. Este archivo puede procesarse con varias utilidades, entre ellos <command>sac</command> el cual puede hacer un profile en cada usuario que muestra en que estructura de tiempo ellos normalmente anotan adelante en el sistema.

en: In case you have accounting activated, you can also use the tools provided by it in order to determine when the users access the system and what do they execute.
es: En caso de que usted tiene la contabilidad activada, usted también puede usar las herramientas con tal de que por esto en el comando determine cuando los usuarios acceden a el sistema y qué ellos ejecuten.

en: Limiting what users can see/access
es: Limitar el acceso a los usuarios

en: Limiting access to other user's information
es: Limitar el acceso a los datos de otros usuarios

en: Generating user passwords
es: Generación de contraseñas de usuario

en: Checking user passwords
es: Comprobación de contraseñas de usuarios

en: Logging off idle users
es: Sacando usuarios inactivos

en: Using tcpwrappers
es: Uso de tcpwrappers

en: Many services installed in Debian are either:
es: Muchos servicios instalados en Debian son cualquiera de estos dos:

en: launched through the tcpwrapper service (<filename>tcpd</filename>)
es: lanzó a través del servicio del tcpwrapper (<filename>tcpd</filename>)

en: compiled with libwrapper support built-in.
es: compiló con el soporte libwrapper incorporado.

en: Take this into account when running <command>tcpdchk</command> (a very useful TCP wrappers config file rule and syntax checker). When you add stand-alone services (that are directly linked with the wrapper library) into the <filename>hosts.deny</filename> and <filename>hosts.allow</filename> files, <command>tcpdchk</command> will warn you that it is not able to find the mentioned services since it only looks for them in <filename>/etc/inetd.conf</filename> (the manpage is not totally accurate here).
es: Tenga en cuenta esto cuando el <command>tcpchk</command> está avanzando. Usted puede agregar servicios en que se unen a la biblioteca de la envoltura de los archivos <filename>host.deny</filename> y <filename>hosts.allow</filename> pero los <command>tcpchk</command> advertirá que este no puede encontrar esos servicios desde que parece para ellos en <filename>/etc/inetd.conf</filename> (el manpage no es totalmente exacto aquí).

en: Now, here comes a small trick, and probably the smallest intrusion detection system available. In general, you should have a decent firewall policy as a first line, and tcp wrappers as the second line of defense. One little trick is to set up a <varname>SPAWN</varname> <footnote><para>be sure to use uppercase here since <emphasis>spawn</emphasis> will not work</para></footnote> command in <filename>/etc/hosts.deny</filename> that sends mail to root whenever a denied service triggers wrappers:
es: Ahora, aquí viene un truco pequeño, y probablemente la intrusión más pequeña del sistema de descubrimiento disponible. En general, usted debe tener una política decente del cortafuego como una primera línea, y envolturas del tcp como la segunda línea de defensa. Un truco pequeño es poner un comando SPAWN <footnote><para>beware of the case here since <emphasis>spawn</emphasis> will not work</para></footnote>en /etc/hosts.deny que envía correos a root siempre que hay un servicio negado en las envolturas de los gatillos:

en: <emphasis>Beware</emphasis>: The above printed example is open to a DoS attack by making many connections in a short period of time. Many emails mean a lot of file I/O by sending only a few packets.
es: <emphasis> Beware </emphasis>(tenga cuidado): El ejemplo anterior impreso puede fácilmente ser DoSed por estar haciendo las muchas conexiones en un período corto de tiempo. Muchos correos electrónicos significan mucho del archivo I/O para enviar únicamente unos correos.

en: The importance of logs and alerts
es: La importancia de logs y alarmas

en: It is easy to see that the treatment of logs and alerts is an important issue in a secure system. Suppose a system is perfectly configured and 99% secure. If the 1% attack occurs, and there are no security measures in place to, first, detect this and, second, raise alarms, the system is not secure at all.
es: Cómo las bitácoras y alarmas son tratadas es un problema importante en un sistema seguro. Es fácil ver que, aun cuando el sistema está perfectamente configurado y, supuestamente, 99% asegurado. Si el 1% sucede, y no hay seguridad midiendo en tales situaciones, primero, descubra esto y, segundo, las alarmas del aumento, el sistema no está en absoluto seguro.

en: Using and customizing <command>logcheck</command>
es: Uso y personalización de <command>logcheck</command>

en: This tool can be quite useful if properly customized to alert the administrator of unusual system events. <command>Logcheck</command> can be fully customized so that it sends mails based on events found in the logs and worthy of attention. The default installation includes profiles for ignored events and policy violations for three different setups (workstation, server and paranoid). The Debian package includes a configuration file <filename>/etc/logcheck/logcheck.conf</filename>, sourced by the program, that defines which user the checks are sent to. It also provides a way for packages that provide services to implement new policies in the directories: <filename>/etc/logcheck/cracking.d/_packagename_</filename>, <filename>/etc/logcheck/violations.d/_packagename_</filename>, <filename>/etc/logcheck/violations.ignore.d/_packagename_</filename>, <filename>/etc/logcheck/ignore.d.paranoid/_packagename_</filename>, <filename>/etc/logcheck/ignore.d.server/_packagename_</filename>, and <filename>/etc/logcheck/ignore.d.workstation/_packagename_</filename>. However, not many packages currently do so. If you have a policy that can be useful for other users, please send it as a bug report for the appropriate package (as a <emphasis>wishlist</emphasis> bug). For more information read <filename>/usr/share/doc/logcheck/README.Debian</filename>.
es: Hay también un número de registros de auditorias de herramientas, en el site, como logcheck. Estas herramientas pueden ser absolutamente usables si se garantiza propiamente para alertar al administrador sobre eventos inusuales en el sistema de archivos locales. <application>logcheck</application>. pude ser enteramente garantizado, pude enviar mensajes desde eventos recuperados y desde los registros que son meritorios de atención. El abandono de instalación incluye perfiles para eventos ignorados y violaciones políticas para tres diferentes montajes (estación de trabajo, servidor y paranoia). Los paquetes de Debian incluyen un archivo de configuración <filename>/etc/logcheck/logcheck.conf</filename>, dirigido por el programa, que define al usuario y que también revisa sus envios. También suministra una forma de paquete que provee servicios para implementar nuevas políticas en los directorios: <filename>/etc/logcheck/hacking.d/_packagename_</filename>, <filename>/etc/logcheck/violations.d/_packagename_</filename>, <filename>/etc/logcheck/violations.ignore.d/_packagename_</filename>, <filename>/etc/logcheck/ignore.d.paranoid/_packagename_</filename>, <filename>/etc/logcheck/ignore.d.server/_packagename_</filename>, and <filename>/etc/logcheck/ignore.d.workstation/_packagename_</filename>. Sin embargo, no muchos paquetes lo hacen actualmente. Si usted tiene una política que puede ser útil para otros usuarios , por favor envielo como un pequeño reporte para los paquetes apropiados, mire mas información en <filename>/usr/share/doc/logcheck/README.Debian</filename>

en: Configuring where alerts are sent
es: Configurando el sitio donde las alertas son enviadas

en: Debian comes with a standard <application>syslog</application> configuration (in <filename>/etc/syslog.conf</filename>) that logs messages to the appropriate files depending on the system facility. You should be familiar with this; have a look at the <filename>syslog.conf</filename> file and the documentation if not. If you intend to maintain a secure system you should be aware of where log messages are sent so they do not go unnoticed.
es: Debian viene con una configuración de syslog estándard dentro de (etc/syslog.conf)que anota mensajes para apropiar archivos dependiendo de la facilidad del sistema. Usted debería familiarizarse con ésto, debe mirar el archivo <filename>syslog.conf</filename> o sino la documentación. Si usted pretende mantener un sistema seguro usted podrá estar precavido de a dónde se mandan los mensajes de registro de manera que no pasen inadvertidos.

en: For example, sending messages to the console also is an interesting setup useful for many production-level systems. But for many such systems it is also important to add a new machine that will serve as loghost (i.e. it receives logs from all other systems).
es: Por ejemplo, enviar mensajes a la consola es una configuración interesante ya que es útil para muchos sistemas de nivel de producción. Pero para muchos sistemas también es importante añadir una nueva máquina que podría servir como servidor de registro (i.e. esto recibe los registros desde todos los otros sistemas).

en: Root's mail should be considered also, many security controls (like <application>snort</application>) send alerts to root's mailbox. This mailbox usually points to the first user created in the system (check <filename>/etc/aliases</filename>). Take care to send root's mail to some place where it will be read (either locally or remotely).
es: El correo de Root también deberia ser considerado, muchos controles de seguridad como <application>snort</application>) envían alarmas al buzón de Root. Este buzón normalmente apunta al primer usuario que se creó en el sistema (compruebe <filename>/etc/aliases</filename>). Tenga cuidado de enviar correo de root a cualquier lugar donde pueda ser leído (ya sea local ó remotamente)

en: There are other role accounts and aliases on your system. On a small system, it's probably simplest to make sure that all such aliases point to the root account, and that mail to root is forwarded to the system administrator's personal mailbox.
es: Hay otros informes y alianzas en su sistema. En un pequeño sistema, ésto probablemente lo más simple para asegurarse de que todas las alianzas apunten hacia la cuenta de root, y que el correo para root este dispuesto para el sistema de buzón personal del administrador.

en: FIXME: It would be interesting to tell how a Debian system can send/receive SNMP traps related to security problems (jfs). Check: <application>snmptrapfmt</application>, <application>snmp</application> and <application>snmpd</application>.
es: ARREGLAME: it would be interesting to tell how a Debian system can send/receive SNMP traps related to security problems (jfs). Check: <application>snmptraglogd</application>, <application>snmp</application> and <application>snmpd</application>.

en: Using a loghost
es: Usar un servidor de registro

en: to
es: a

en: Next, configure the other machines to send data to the loghost. Add an entry like the following to <filename>/etc/syslog.conf</filename>:
es: Luego, configure las otras máquinas al enviar los datos al servidor de registro. Agrege una entrada como la siguiente <filename>/etc/syslog.conf</filename>:

en: See the documentation for what to use in place of <emphasis>facility</emphasis> and <emphasis>level</emphasis> (they should not be entered verbatim like this). If you want to log everything remotely, just write:
es: Mire la documentación para saber que usar en lugar de <emphasis>facility</emphasis> y <emphasis>level</emphasis> (ellos no deben ser introducirse de forma literal como se hace aquí). Si usted quiere registrar todo remotamente, escriba:

en: Log file permissions
es: Permisos para el archivo de registro

en: Some log file permissions are not perfect after the installation (but of course this really depends on your local security policy). First <filename>/var/log/lastlog</filename> and <filename>/var/log/faillog</filename> do not need to be readable by normal users. In the <filename>lastlog</filename> file you can see who logged in recently, and in the <filename>faillog</filename> you see a summary of failed logins. The author recommends <command>chmod 660</command> for both. Take a brief look at your log files and decide very carefully which log files to make readable/writable for a user with a UID other than 0 and a group other than 'adm' or 'root'. You can easily check this in your system with:
es: Algunos permisos para el achivo de registro no son perfectos despúes de la instalación. Primero <filename>/var/log/lastlog</filename> y <filename>/var/log/faillog</filename>no necesitan tener un permiso de lectura para un usuario normal. En el archivo lastlog usted puede ver quien entró recientemente y en faillog usted mira un resumen de las entradas fallidas. El autor recomienda cambiar permisos a 660.Haga una breve revisión en sus archivos de registro y decida muy cuidadosamente cuales logfile deben tener permiso de lectura y escritura para un usuario con UID distinto a 0 y un grupo aparte de 'adm' o 'root'.

en: Adding kernel patches
es: Añadiendo parches al kernel

en: Debian GNU/Linux provides some of the patches for the Linux kernel that enhance its security. These include:
es: Debian GNU/Linux suministra algunos de los parches para el kernel de Linux que aumentan su aseguramiento. Estos incluyen:

en: Protecting against buffer overflows
es: Protección contra desbordamiento de búfer

en: Kernel patch protection for buffer overflows
es: Parches contra el desbordamiento de búfer para el núcleo

en: Secure file transfers
es: Transferencia segura de archivos

en: File system limits and control
es: Límites y control de los sistemas de archivos

en: Using quotas
es: Uso de Quotas

en: Having a good quota policy is important, as it keeps users from filling up the hard disk(s).
es: Tener una buena política de quotas es importante, esto abstiene a los usuarios de llenar el disco duro.

en: You can use two different quota systems: user quota and group quota. As you probably figured out, user quota limits the amount of space a user can take up, group quota does the equivalent for groups. Keep this in mind when you're working out quota sizes.
es: Usted puede usar dos sistemas diferentes de quotas: quota de usuario y quota de grupo. Como usted provablemente dedujo, la quota del usuario límita la cantidad de espacio del que un usuario puede disponer, la quota del grupo hace lo equivalente para los grupos. Tenga en cuenta ésto cuando esté organizando el tamaño de quotas.

en: There are a few important points to think about in setting up a quota system:
es: Hay algunos puntos importantes para considerar acerca de la configuración del sistema de quotas:

en: Keep the quotas small enough, so users do not eat up your disk space.
es: Mantener las quotas suficientemente pequeñas, para que los usuarios no ocupen el espacio de su disco.

en: Keep the quotas big enough, so users do not complain or their mail quota keeps them from accepting mail over a longer period.
es: Mantener las quotas lo suficientemente grandes, para que los usuarios no se quejen o su quota de correo les impida aceptar un correo por un periodo de tiempo largo.

en: Use quotas on all user-writable areas, on <filename>/home</filename> as well as on <filename>/tmp</filename>.
es: Use las quotas para todas las áreas en las que los usuarios puedan escribir, en <filename>/home</filename> como también en <filename>/tmp</filename>.

en: So, now you want to use quotas. First of all you need to check whether you enabled quota support in your kernel. If not, you will need to recompile it. After this, control whether the package <application>quota</application> is installed. If not you will need this one as well.
es: Ahora que usted quiere usar quotas. Primero que todo usted necesita revisar que habilito el uso de quotas en el kernel. Si no, usted necesitará recompilarla. Después de ésto dése cuenta que el paquete 'quota' esté instalado. Si no está usted necesitará este.

en: Enabling quota for the respective file systems is as easy as modifying the <literal>defaults</literal> setting to <literal>defaults,usrquota</literal> in your <filename>/etc/fstab</filename> file. If you need group quota, substitute <literal>usrquota</literal> to <literal>grpquota</literal>. You can also use them both. Then create empty quota.user and quota.group files in the roots of the file systems you want to use quotas on (e.g.
es: Habilitar la quota para los respectivos sistemas de archivos es tan fácil como modificar la configuración <literal>inicial</literal> ajustándola a <literal>defaults,usrquota</literal> en su archivo <filename>/etc/fstab</filename> . Si usted necesita un quota para grupos, sustituya <literal>usrquota</literal> por <literal>grpquota</literal>. Puede usar ambos. Luego cree unos archivos quota.user y quota.group vacios en la raíz de los sistemas de archivos en los que usted quiera usar quotas (Ej. con <literal>touch /home/quota.user /home/quota.group</literal> para el sistema de archivos <filename>/home</filename>).

en: For more information about quotas, read the quota man page, and the quota mini-howto (<filename>/usr/share/doc/HOWTO/en-html/mini/Quota.html</filename>). You may also want to look at <filename>pam_limits.so</filename>.
es: Para más información acerca de las quotas, lea el manual de páginas sobre las quotas, y el mini-howto (<filename>/usr/share/doc/HOWTO/en-html/mini/Quota.html</filename>).

en: Checking file system integrity
es: Integridad de su sistema de archivos

en: Are you sure <filename>/bin/login</filename> on your hard drive is still the binary you installed there some months ago? What if it is a hacked version, which stores the entered password in a hidden file or mails it in clear-text version all over the Internet?
es: ¿Está usted seguro de que el <filename>/bin/login</filename> en su disco duro es todavía el binario que instaló allí hace unos meses? ¿Qué pasaría si es una versión hackeada, que guarda la contraseña introducida en un archivo oculto o la envía por un correo claro pro todoel internet?

en: The only method to have some kind of protection is to check your files every hour/day/month (I prefer daily) by comparing the actual and the old md5sum of this file. Two files cannot have the same md5sum (the MD5 digest is 128 bits, so the chance that two different files will have the same md5sum is roughly one in 3.4e3803), so you're on the safe site here, unless someone has also hacked the algorithm that creates md5sums on that machine. This is, well, extremely difficult and very unlikely. You really should consider this auditing of your binaries as very important, since it is an easy way to recognize changes at your binaries.
es: El único método para tener alguna protección es comprobar sus archivos cada día/hora/mes (yo prefiero cada día) comparando la vieja md5sum y la actual. Dos archivos no pueden tener la misma md5sum, de modo que anda sobre seguro aquí, excepto alquien que hackeó el algoroitmo para crear md5sums un la máquina. Esto es bueno, extremadamente difícil y muy improbable. Realmente usted debería considerar que auditar sus binarios es muy importante, ya que es un modo fácil para reconocer los cambios en sus binarios. Las herramientas que comúnmente se uaan para ésto son <application>sXid</application>, <application>AIDE</application> (Ambientación Avanzada de Detección de Intrusos), <application>TripWire</application> (no es libre; la nueva versió será GPL), <application>integrit</application> y <application>samhain</application>.

en: Setting up setuid check
es: Configuración de revisión de setuid

en: The default behavior does not send this information to the superuser but, instead keeps daily copies of the changes in <filename>/var/log/setuid.changes</filename>. You should set the MAILTO variable (in <filename>/etc/checksecurity.conf</filename>) to 'root' to have this information mailed to the superuser. See <citerefentry><refentrytitle>checksecurity</refentrytitle> <manvolnum>8</manvolnum></citerefentry> manual page for more configuration info.
es: El comportamiento por defecto no manda la información al superusuario, pero en cambio guarda diariamente copias de los cambios dentro de <filename>/var/log/setuid.changes</filename>. Usted debe colocar el CHECKSECURITY_EMAIL (dentro de <filename>/etc/checksecurity.conf</filename>) a 'root'. Mire <citerefentry><refentrytitle>checksecurity</refentrytitle> <manvolnum>8</manvolnum></citerefentry> para mas información de configuración.

en: Securing network access
es: Conectividad de red segura

en: Configuring kernel network features
es: Características de la red configurando kernel

en: 
    net/ipv4/icmp_echo_ignore_all = 1
es: 
    net/ipv4/icmp_echo_ignore_all = 0

en: To log packets with impossible addresses (due to wrong routes) on your network use:
es: Los paquetes con direcciones imposibles (debido a las rutas incorectas) sobre el registro que obtuvo su red.

en: 
    #!/bin/sh -e
    # Script-name: /etc/network/interface-secure
    #
    # Modifies some default behavior in order to secure against 
    # some TCP/IP spoofing &amp; attacks for a given interface.
    #
    # Contributed by Dariusz Puchalak.
    #
    
    IFACE=$1
    if [ -z "$IFACE" ] ; then
       echo "$0: Must give an interface name as argument!"
       echo "Usage: $0 &lt;interface&gt;"
       exit 1
    fi
    
    if [ ! -e /proc/sys/net/ipv4/conf/$IFACE/ ]; then
       echo "$0: Interface $IFACE does not exit (cannot find /proc/sys/net/ipv4/conf/)"
       exit 1
    fi
    
    echo 0 &gt; /proc/sys/net/ipv4/conf/$IFACE/forwarding  # IP forwarding disabled.
    echo 1 &gt;/proc/sys/net/ipv4/conf/$IFACE/log_martians # Log strange packets.
    # (this includes spoofed packets, source routed packets, redirect packets)
    # but be careful with this on heavy loaded web servers.
    
    # IP spoofing protection.
    echo 1 &gt; /proc/sys/net/ipv4/conf/$IFACE/rp_filter
    
    # Disable ICMP redirect acceptance.
    echo 0 &gt; /proc/sys/net/ipv4/conf/$IFACE/accept_redirects
    echo 0 &gt; /proc/sys/net/ipv4/conf/$IFACE/send_redirects
    
    # Disable source routed packets.
    echo 0 &gt; /proc/sys/net/ipv4/conf/$IFACE/accept_source_route
    
    exit 0
es: 
    #!/bin/sh -e
    # Script-name: /etc/network/interface-secure
    #
    # Modifies some default behavior in order to secure against 
    # some TCP/IP spoofing &amp; attacks for a given interface.
    #
    # Contributed by Dariusz Puchalak.
    #
    
    IFACE=$1
    if [ -z "$IFACE" ] ; then
       echo "$0: Must give an interface name as argument!"
       echo "Usage: $0 &lt;interface&gt;"
       exit 1
    fi
    
    if [ ! -e /proc/sys/net/ipv4/conf/$IFACE/ ]; then
       echo "$0: Interface $IFACE does not exit (cannot find /proc/sys/net/ipv4/conf/)"
       exit 1
    fi
    
    echo 0 &gt; /proc/sys/net/ipv4/conf/$IFACE/forwarding  # IP forwarding disabled.
    echo 1 &gt;/proc/sys/net/ipv4/conf/$IFACE/log_martians # Log strange packets.
    # (this includes spoofed packets, source routed packets, redirect packets)
    # but be careful with this on heavy loaded web servers.
    
    # Protección contra falsificación de IP (IP spoofing).
    echo 1 &gt; /proc/sys/net/ipv4/conf/$IFACE/rp_filter
    
    # Disable ICMP redirect acceptance.
    echo 0 &gt; /proc/sys/net/ipv4/conf/$IFACE/accept_redirects
    echo 0 &gt; /proc/sys/net/ipv4/conf/$IFACE/send_redirects
    
    # Desativa el ruteo en origen (source routing).
    echo 0 &gt; /proc/sys/net/ipv4/conf/$IFACE/accept_source_route
    
    exit 0

en: Configuring firewall features
es: Configuarción de las características de los cortafuegos

en: In order to have firewall capabilities, either to protect the local system or others <emphasis>behind</emphasis> it, the kernel needs to be compiled with firewall capabilities. The standard Debian 2.2 kernel (Linux 2.2) provides the packet filter <command>ipchains</command> firewall, Debian 3.0 standard kernel (Linux 2.4) provides the <emphasis>stateful</emphasis> packet filter <command>iptables</command> (netfilter) firewall.
es: Para tener la capacidad del cortafuego, para proteger el sistema local u otros <emphasis>detrás</emphasis> de este, el kernel necesita estar compidalo con las capacidades del cortefuego. El Debian normal 2.2 kernel (también 2.2) susmistra el paquete de filtro del cortafuego <command>ipchains</command>, el kernel normal de Debian 3.0 (kernel 2.4) suministra el <emphasis>poderoso</emphasis> paquete de filtros de cortafuegos <command>iptables</command> (filtro de la red). Las distribucines más viejas de Debian necesitan el parche apropiado del kernel (Debian 2.1 usa el kernel 2.0.34).

en: In any case, it is pretty easy to use a kernel different from the one provided by Debian. You can find pre-compiled kernels as packages you can easily install in the Debian system. You can also download the kernel sources using the <application>kernel-source-<varname>X</varname></application> and build custom kernel packages using <command>make-kpkg</command> from the <application>kernel-package</application> package.
es: En todo caso, es bastante fácil usar un kernel diferente al suministrado por Debian. Usted puede encontrar paquetes de kernel pre-compilados que puede instalar fácilmente en el sistemas de Debian. Usted tambiém puede obtener las fuentes del kernel usando <application>kernel-source-X</application> y armar paquetes de kernel personalizados con <application>make-kpkg</application>.

en: Setting up firewalls in Debian is discussed more thoroughly in <xref linkend="firewall-setup" />.
es: Configurando los cortafuegos en Debian se discute más a fondo en <xref linkend="firewall-setup" />.

en: iptables rules.
es: Reglas Iptables

en: Protecting against ARP attacks
es: Protección contra ataques ARP

en: Other recommendations
es: Otras recomendaciones

en: Do not use software depending on svgalib
es: No use software que dependa de svgalib

en: SVGAlib is very nice for console lovers like me, but in the past it has been proven several times that it is very insecure. Exploits against <command>zgv</command> were released, and it was simple to become root. Try to prevent using SVGAlib programs wherever possible.
es: SVGAlib es muy bueno para los amantes de la consola como yo, pero durante mucho tiempo se ha comprobado que esto ha sido muy inseguro. Han sido liberadas fallas en contra de <command>zgv</command> y era sencillo convertirse en root. Intente evitar el uso de programas que usen SVGAlib siempre que sea posible.
