Fundamentos de seguridad de redes

Un ataque de red aprovecha una debilidad para causar daño. Identificar la debilidad y el recurso sometido a presión te ayuda a elegir una defensa que pueda funcionar de verdad.

Relaciona el ataque con la debilidad

Una amenaza puede causar daño: un atacante, alguien de la organización o un incendio. Una vulnerabilidad es una debilidad, como un firmware antiguo o una contraseña predeterminada. Una técnica o código de explotación es la técnica o el código usado contra esa debilidad. Una mitigación elimina la debilidad o reduce su efecto. En un servicio vulnerable de inicio de sesión VPN, el fallo es la vulnerabilidad, el código de ataque es el código de explotación e instalar la corrección del fabricante es la mitigación. Desactivar el servicio expuesto puede reducir la exposición mientras se prepara la actualización.

La superficie de ataque es el conjunto de lugares por los que un atacante puede intentar entrar: servicios, puertos, cuentas, dispositivos y redes inalámbricas. Desactivar un servicio de gestión sin uso elimina un punto de entrada. Añadir otra contraseña a ese servicio sin uso deja presente el punto de entrada.

Distingue tres tipos de sobrecarga

Un ataque de denegación de servicio (DoS) deja un servicio sin disponibilidad. Una denegación de servicio distribuida (DDoS) usa muchas fuentes, a menudo dispositivos comprometidos controlados como una red de bots. Bloquear una dirección deja a las otras fuentes enviando tráfico.

En una inundación SYN, muchos procesos de establecimiento de conexión TCP se detienen después de que el servidor envíe SYN-ACK. El ACK final nunca llega, lo que deja conexiones semiabiertas esperando en una cola. Las cookies SYN permiten al servidor posponer el mantenimiento del estado de la conexión hasta que el cliente complete su establecimiento. Los límites a la tasa de conexiones y los tiempos de espera más cortos también pueden reducir la presión.

Examina la reflexión y la amplificación

Con la reflexión, un atacante falsifica la dirección de origen de la víctima en solicitudes a otros servidores. Esos servidores responden a la víctima. Con la amplificación, las respuestas son mayores que las solicitudes. Los servicios basados en UDP resultan atractivos porque no hay un establecimiento inicial de conexión que valide el origen declarado.

Supón que 500 bots envían cada uno 4 Mbit/s de consultas. Su tasa conjunta de solicitudes es de 2000 Mbit/s, o 2 Gbit/s. Una consulta de 60 bytes que produce una respuesta de 3000 bytes da un factor de amplificación de 50. Sin contar otras sobrecargas, la víctima recibe unos 100 Gbit/s. Las respuestas grandes proceden de los reflectores, aunque el atacante haya enviado mucho menos tráfico.

Sitúa la defensa antes del cuello de botella

Si el enlace de entrada ya está lleno, el cortafuegos de la organización solo recibe el tráfico que logra atravesarlo. Descartar allí los paquetes de ataque no puede recuperar la capacidad perdida antes de ese punto. El proveedor de servicios de internet o un servicio de limpieza de tráfico en la nube debe filtrar una gran inundación volumétrica antes de que llegue a la conexión empresarial. Evitar los resolutores DNS abiertos y filtrar las direcciones de origen falsificadas también reduce la utilidad de una red para los atacantes.

Un pico de tráfico por sí solo no basta para identificar un ataque. Compara el número de conexiones, las sesiones semiabiertas, los patrones de solicitudes y la carga de CPU con la línea base normal. Una campaña de ventas concurrida también puede aumentar la demanda legítima.

Las redes locales dependen de información aprendida: qué puerto permite alcanzar una dirección MAC, qué dirección MAC pertenece a una puerta de enlace y qué servidor responde a un nombre. Los atacantes pueden sustituir esa información y redirigir el tráfico.

Reconoce la posición de intermediario

Un ataque de intermediario, también llamado ataque de hombre en el medio, hace que la comunicación pase por el atacante. Este puede leer o modificar el tráfico sin cifrar, o descartarlo. HTTPS y SSH protegen el contenido incluso cuando la ruta atraviesa un dispositivo no confiable, siempre que las comprobaciones de identidad se completen correctamente.

La inundación de direcciones MAC envía muchas direcciones MAC de origen falsas para llenar la tabla de direcciones de un conmutador. Las tramas con destinos desconocidos pueden entonces reenviarse por inundación dentro de la VLAN, exponiendo el tráfico a otros puertos. La seguridad de puertos limita las direcciones aprendidas en un puerto. El efecto de una tabla llena depende del conmutador, así que comprueba su comportamiento en lugar de suponer que todas las tramas quedan visibles.

Sigue una asociación ARP falsificada

ARP relaciona una dirección IPv4 local con una dirección MAC. En la suplantación ARP, un atacante envía mensajes ARP falsos. El envenenamiento de la caché ARP es la entrada falsa resultante en la caché.

Un PC con la dirección 192.168.1.50 espera que la puerta de enlace 192.168.1.1 tenga la dirección MAC 00:1A:2B:3C:4D:5E. Una respuesta falsificada afirma que la puerta de enlace usa 00:AA:BB:CC:DD:EE. El PC envía ahora las tramas destinadas a la puerta de enlace a esa dirección. Si el atacante las reenvía, la conexión puede seguir funcionando mientras actúa como intermediario. Compara arp -a con la dirección conocida de la puerta de enlace; la IP del propio atacante no tiene por qué aparecer en la caché. La inspección ARP dinámica (DAI) rechaza las asociaciones que no superan sus comprobaciones.

Distingue tres formas de redirigir clientes

Una puerta de enlace falsa entregada por DHCP puede hacer que el tráfico enrutado pase por el atacante. Un servidor DNS falso puede redirigir nombres concretos. La inspección DHCP bloquea las respuestas de servidor procedentes de puertos no confiables. DNSSEC valida los datos DNS firmados; no cifra el tráfico DNS. Una entrada envenenada de la caché DNS dura hasta que se elimina o caduca, mientras que una entrada maliciosa del archivo hosts permanece hasta que se elimina.

Comprueba los límites inalámbricos y de las VLAN

Un punto de acceso no autorizado se conecta a la red cableada sin aprobación y abre una vía inalámbrica no deseada hacia ella. Un punto de acceso gemelo malicioso copia un SSID legítimo para atraer clientes. La supervisión inalámbrica, 802.1X en la red cableada y la validación correcta del certificado del servidor de autenticación ayudan a prevenir estos ataques. Un nombre de red conocido no basta para identificar un punto de acceso de confianza.

El salto de VLAN elude el límite de enrutamiento previsto. La suplantación de conmutador tiene éxito cuando un dispositivo final negocia un enlace troncal. El doble etiquetado aprovecha una VLAN de acceso que también es la VLAN nativa sin etiquetar de un enlace troncal: un conmutador elimina la etiqueta exterior y deja expuesta la etiqueta interior de destino al siguiente conmutador. Esta vía suele ser unidireccional. Los puertos de acceso fijos, los enlaces troncales estáticos, la negociación desactivada y una VLAN nativa sin uso cierran estas vías.

Un atacante puede obtener acceso a la red persuadiendo a una persona, robando una contraseña o conectando un dispositivo. Un cortafuegos técnicamente bien configurado no puede comprobar si quien llama afirmando ser del servicio de soporte dice la verdad.

Lee la solicitud antes de reaccionar

La ingeniería social usa la urgencia, la autoridad o la disposición a ayudar para obtener acceso. El phishing usa mensajes engañosos; el phishing dirigido se centra en una persona o función concreta. El fraude por llamadas de voz usa llamadas y el fraude por SMS usa mensajes de texto. Un mensaje urgente que te pide iniciar sesión en un dominio desconocido es motivo para detenerte y verificarlo por un canal conocido. Informa del mensaje y abre el servicio mediante su dirección conocida.

Observar cómo se escribe una contraseña es observación por encima del hombro. Revisar documentos o equipos desechados es búsqueda en la basura. Seguir a una persona con credencial por una puerta cerrada es acceso por seguimiento. Estos métodos aprovechan hábitos de trabajo cotidianos, por lo que los procedimientos de uso de credenciales, la eliminación segura y el acompañamiento de visitantes importan junto con los controles de software.

Distingue el software malicioso por lo que hace

Estas categorías pueden solaparse. WannaCry era software de secuestro de datos que también se propagó como un gusano por servicios SMBv1 vulnerables en TCP 445 en mayo de 2017. Aplicar parches, desactivar SMBv1, filtrar ese servicio y separar los segmentos de red limitaron su propagación. La protección de dispositivos finales ayuda a detectar software malicioso, pero las amenazas nuevas y el robo de contraseñas siguen requiriendo otros controles. Las copias de seguridad fuera del alcance del software de secuestro de datos facilitan la recuperación.

Identifica qué prueba el atacante de contraseñas

La fuerza bruta prueba combinaciones. Un ataque de diccionario prueba palabras probables, contraseñas filtradas y variaciones. El rociado de contraseñas prueba un número pequeño de contraseñas comunes en muchas cuentas. El relleno de credenciales prueba pares de nombre de usuario y contraseña robados de otros servicios. El rociado reparte los intentos entre usuarios; el relleno aprovecha la reutilización de contraseñas.

Un atacante en línea se encuentra con las demoras y los bloqueos del servicio activo. Un atacante sin conexión prueba hashes de contraseñas robados sin contactar con el servicio de inicio de sesión, por lo que el bloqueo de ese servicio no puede frenar los intentos. Las contraseñas largas y únicas, un gestor de contraseñas, las comprobaciones de contraseñas filtradas y los hashes de contraseñas de cálculo lento con sal abordan distintas partes del problema.

Protege las vías de entrada restantes

La autenticación multifactor (MFA) requiere distintos tipos de factores, por lo que una contraseña por sí sola no basta. Las llaves físicas de seguridad pueden resistir el phishing que captura contraseñas y códigos de un solo uso. La MFA habitual basada en códigos aún puede ser víctima de phishing, por lo que los usuarios deben comprobar dónde inician sesión.

Cierra con llave las salas de red y los racks. El acceso por consola combinado con un reinicio puede permitir a un intruso usar el procedimiento de recuperación de contraseña de un dispositivo. Un visitante que pueda acceder a un puerto de conmutador abierto puede conectar un dispositivo no autorizado incluso sin conocer una contraseña Wi-Fi.

La segmentación separa grupos de dispositivos y controla la comunicación entre ellos. Limita el movimiento lateral, el avance de un atacante desde un dispositivo comprometido hacia otros sistemas accesibles.

Separa los grupos y controla el tráfico entre ellos

La segmentación física usa equipos separados; un aislamiento físico de red no tiene conexión con otras redes. Las VLAN proporcionan segmentación lógica en conmutadores compartidos. Cada una es un dominio de difusión de capa 2, normalmente con su propia subred.

Un enrutador, un conmutador de capa 3 o un cortafuegos conecta las VLAN. Aplica ahí las ACL o las reglas de cortafuegos. Crear VLAN sin filtrado deja abierta la comunicación enrutada: separar las difusiones no constituye por sí solo una política de acceso.

Agrupa los dispositivos según sus necesidades

Separa los dispositivos del personal, servidores, voz, invitados, gestión e IoT. Los dispositivos personales BYOD suelen recibir acceso limitado. La OT, o tecnología operacional, controla procesos físicos y necesita un aislamiento estricto porque las interrupciones tienen efectos físicos y aplicar parches puede ser difícil.

Las interfaces de gestión solo deben aceptar conexiones de orígenes administrativos aprobados. Los invitados necesitan acceso a internet sin acceso interno; las cámaras necesitan su grabador. Un aislamiento eficaz también puede reducir los sistemas incluidos en una evaluación de seguridad de tarjetas de pago. Demuestra ese aislamiento mediante las rutas realmente permitidas.

Convierte las necesidades en reglas

Usa VLAN 10 Personal en 10.10.10.0/24, VLAN 20 Servidores en 10.10.20.0/24, VLAN 30 Invitados en 10.10.30.0/24, VLAN 40 Cámaras en 10.10.40.0/24 y VLAN 99 Gestión en 10.10.99.0/24.

Deniega los demás flujos entre segmentos. Esto es denegación predeterminada: identifica el origen, destino, protocolo y servicio necesarios, y después bloquea el resto. Una regla de cámaras hacia el grabador no debe abrir también todos los servidores a la subred de cámaras.

Comprueba el servicio real

Desde cada segmento, prueba una conexión necesaria y una prohibida. Un invitado debería cargar un sitio público aprobado, pero no abrir la interfaz HTTPS de la impresora interna. Una cámara debería acceder a su grabador, pero no a los PC del personal. Confirma que cambie el contador o el registro de la regla prevista.

Ping solo comprueba ICMP. Un ping fallido no demuestra si TCP 443 es accesible. Repite las pruebas de servicios después de cambios en el enrutamiento, las VLAN o el cortafuegos.

La seguridad de las VLAN depende de mantener los dispositivos finales en puertos de acceso y controlar qué transportan los enlaces troncales. Las etiquetas VLAN identifican el tráfico; no lo cifran ni autentican a su emisor.

Impide que los dispositivos finales se conviertan en enlaces troncales

Un puerto de acceso atiende una VLAN de dispositivos finales. Un enlace troncal transporta varias VLAN mediante etiquetas 802.1Q. Su VLAN nativa transporta tráfico sin etiquetar salvo que se active el etiquetado de la VLAN nativa.

En la suplantación de conmutador, un dispositivo final se hace pasar por un conmutador y negocia un enlace troncal mediante DTP de Cisco. Configura los puertos de dispositivos finales en modo de acceso estático, los enlaces troncales reales en modo troncal estático y desactiva la negociación.

Elimina la vía del doble etiquetado

El doble etiquetado requiere que la VLAN de acceso del atacante coincida con una VLAN nativa sin etiquetar de un enlace troncal. El atacante añade una etiqueta exterior de la VLAN nativa y una interior de la VLAN de destino. Al eliminarse la etiqueta exterior, la etiqueta de destino queda expuesta al siguiente conmutador. La vía habitual es unidireccional, pero aun así permite inyectar tráfico dañino.

Usa una VLAN nativa sin uso y sin dispositivos finales, o activa el etiquetado de la VLAN nativa. Haz coincidir la VLAN nativa en ambos extremos: de lo contrario, las tramas sin etiquetar pueden entrar en distintas VLAN en los extremos opuestos. Mantén a los usuarios, servidores y gestión fuera de la VLAN 1 y de la VLAN nativa.

Configura y verifica las funciones

Este ejemplo de Cisco IOS asigna un dispositivo final del personal y un enlace ascendente. La VLAN 999 no se usa; solo las VLAN activas enumeradas necesitan el enlace troncal.

interface GigabitEthernet1/0/5
 switchport mode access
 switchport access vlan 10
 switchport nonegotiate
!
interface GigabitEthernet1/0/48
 switchport mode trunk
 switchport nonegotiate
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30,99

Los conmutadores antiguos compatibles con ISL pueden necesitar primero switchport trunk encapsulation dot1q. Limita la lista de VLAN permitidas a las necesidades reales del extremo remoto. Consulta show interfaces trunk para comprobar los enlaces troncales operativos, las VLAN nativas y las listas de VLAN permitidas, y show interfaces GigabitEthernet1/0/5 switchport para comprobar el funcionamiento en modo de acceso estático.

Cierra los puertos sin uso y aísla los dispositivos entre sí

Deshabilita los puertos sin uso y asígnalos a una VLAN de estacionamiento sin enrutamiento, como la VLAN 998. Una toma libre activa sigue proporcionando conexión; la VLAN de estacionamiento limita el alcance si un puerto se habilita por accidente.

Los puertos aislados de una VLAN privada acceden al puerto promiscuo, normalmente orientado a una puerta de enlace, pero no entre sí. Los puertos de comunidad también acceden a su propia comunidad. El aislamiento de clientes inalámbricos ofrece una separación comparable entre dispositivos. Las reglas del límite de enrutamiento siguen controlando el tráfico que sale de estos grupos.

Una lista de control de acceso (ACL) compara los paquetes con entradas ordenadas de permiso y denegación. La primera entrada que coincide decide el resultado. Si ninguna coincide, una denegación implícita descarta el paquete.

Elige los campos que necesitas

Una ACL IPv4 estándar solo comprueba la dirección de origen. Una ACL extendida puede comprobar protocolo, origen, destino y puertos TCP o UDP. Las listas estándar numeradas de Cisco usan 1–99 o 1300–1999; las extendidas usan 100–199 o 2000–2699. Las listas con nombre facilitan reconocer su finalidad y usan números de secuencia para editarlas.

Los rangos de direcciones de las ACL de Cisco usan máscaras comodín. Un bit cero debe coincidir; un bit uno se ignora. Para una subred, resta su máscara de subred de 255.255.255.255. Una /24 usa 0.0.0.255. El rango 192.168.10.64/26 usa 0.0.0.63 y abarca de .64 a .127. host 10.10.20.10 coincide con una dirección; any coincide con todas. Introducir 255.255.255.0 como máscara comodín ignoraría los tres primeros octetos y exigiría un último octeto de cero, en lugar de coincidir con la /24 prevista.

Interpreta una política completa

Esta lista con nombre filtra el tráfico que llega al enrutador desde el personal:

ip access-list extended STAFF-IN
 10 permit tcp 10.10.10.0 0.0.0.255 host 10.10.20.10 eq 443
 15 permit udp 10.10.10.0 0.0.0.255 host 10.10.20.53 eq 53
 16 permit tcp 10.10.10.0 0.0.0.255 host 10.10.20.53 eq 53
 20 deny ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255
 30 permit ip 10.10.10.0 0.0.0.255 any

Sigue un paquete cada vez:

1. El PC del personal 10.10.10.25 envía TCP 443 a 10.10.20.10. La entrada 10 coincide, por lo que se permite.
2. El mismo PC envía TCP 3389 a ese servidor. Las entradas 10, 15 y 16 no coinciden; la entrada 20 coincide y lo deniega.
3. El PC envía TCP 443 al servidor público 203.0.113.80. La entrada 20 no coincide con ese destino; la entrada 30 lo permite.
4. Un paquete con el origen de invitados 10.10.30.7 no coincide con ninguna de estas entradas cuyo origen es el personal. La denegación implícita lo descarta.

DNS necesita tanto UDP 53 como TCP 53, incluido TCP para respuestas que no pueden completarse por UDP. Mover la entrada 30 por encima de la 20 permitiría el tráfico del personal hacia todos los servidores y haría que nunca se alcanzara la denegación. Eliminar la entrada 30 bloquearía el resto del tráfico del personal, incluido el acceso a internet.

Aplica la lista donde pasan los paquetes

En la interfaz de la VLAN del personal, ip access-group STAFF-IN in filtra los paquetes que entran al enrutador desde el personal. La dirección es relativa a la interfaz del enrutador, no al usuario. out comprueba los paquetes que salen por esa interfaz. Una interfaz admite una lista por protocolo y dirección.

Las ACL extendidas suelen situarse cerca del origen para descartar pronto el tráfico no deseado. Las ACL estándar suelen situarse cerca del destino: como no distinguen destinos, una denegación temprana basada solo en el origen podría bloquear otras rutas necesarias.

Verifica tanto las respuestas como las solicitudes

Estas ACL de enrutador son sin estado. Una respuesta comprobada por otra ACL necesita su propio permiso. La palabra clave established de Cisco comprueba los indicadores TCP ACK o RST; no es una tabla de estados ni ayuda con UDP.

Usa show access-lists para consultar los contadores de coincidencias y show ip interface para confirmar la aplicación y la dirección. Cero coincidencias puede indicar que una entrada está eclipsada por una regla anterior. Una entrada final explícita deny ip any any log hace visible el tráfico denegado. En las ACL IPv6 de Cisco, conserva los permisos necesarios de descubrimiento de vecinos: una denegación general explícita antes de esos permisos puede impedir el funcionamiento del enlace local.

Un cortafuegos aplica una política de tráfico entre redes o en un host individual. Elige su método de inspección según la decisión que deba tomar.

Compara los métodos de inspección

Un cortafuegos con inspección de estado que registra TCP de 10.10.10.25:51514 a 203.0.113.80:443 puede reconocer la respuesta en sentido inverso. Una conexión entrante ajena no obtiene permiso simplemente por usar el puerto de origen 443. Un filtro sin estado, en cambio, necesita reglas adecuadas para las respuestas.

Un proxy de aplicación termina la conexión del cliente y abre otra al servidor. Un WAF se especializa en solicitudes web, incluidos ataques como la inyección SQL. Un cortafuegos de nueva generación (NGFW) añade identificación de aplicaciones, políticas de usuario y funciones como IPS o filtrado de URL. Un dispositivo UTM reúne funciones de seguridad para organizaciones más pequeñas.

Comprueba las direcciones y el contenido transferido

El filtrado de URL comprueba direcciones o categorías web. El filtrado de contenido examina el material transferido, como archivos ejecutables o documentos confidenciales. Un permiso TCP 443 por sí solo no distingue un sitio web empresarial de software malicioso o de una herramienta de acceso remoto que use HTTPS.

La inspección TLS descifra, inspecciona y vuelve a cifrar el tráfico. Los clientes deben confiar en su autoridad de certificación. Aplica los requisitos de la organización y de privacidad, incluidas las exclusiones de categorías sensibles.

Interpreta una política ordenada

Considera estas reglas de primera coincidencia:

1. Permitir de Interior a Exterior en TCP 80/443 y DNS aprobado, UDP/TCP 53.
2. Permitir de Exterior al servidor web 172.16.1.10 de la subred protegida en TCP 443.
3. Permitir de los PC de administración 10.10.10.5 y .6 a ese servidor en TCP 22.
4. Denegar y registrar de Subred protegida a Interior.
5. Denegar y registrar el resto.

Un navegador interno coincide con la regla 1. SSH desde el exterior hacia el servidor web llega a la regla 5 porque no es ni HTTPS publicado ni tráfico de un administrador expresamente identificado. Un servidor público comprometido que inicia SMB hacia Interior coincide con la regla 4. Las respuestas que coinciden usan la política con inspección de estado.

Usa orígenes, destinos y servicios específicos, con excepciones limitadas antes de las coincidencias amplias. Registra la finalidad, el responsable y la fecha de revisión. Revisa los registros y elimina accesos obsoletos o reglas eclipsadas.

Un cortafuegos basado en host protege un dispositivo, incluido un portátil usado durante un viaje. Un cortafuegos de red protege el tráfico que atraviesa su límite. Los ataques internos pueden evitar el perímetro de internet, así que conserva ambos.

Un servidor público debe aceptar cierto tráfico de internet, pero eso no significa que deba tener acceso sin restricciones a los sistemas internos. Las zonas de seguridad hacen visibles esos permisos distintos.

Sitúa los servicios públicos en una subred protegida

Una zona de seguridad agrupa interfaces o redes con una política común. Interior suele ser la zona de confianza, Exterior es internet y una subred protegida, también llamada DMZ, contiene los servicios públicos. «De confianza» describe la agrupación de la política; aun así puede haber dispositivos infectados en ella.

Permite el acceso de Exterior a la subred protegida solo para los servicios publicados. Deniega de Exterior a Interior, pero admite las respuestas a conexiones que el cortafuegos con inspección de estado haya permitido desde Interior. Deniega las conexiones iniciadas desde la subred protegida hacia Interior salvo dependencias muy concretas y expresamente identificadas. Por ejemplo, un servidor web puede necesitar un puerto de base de datos en una base de datos interna. El acceso administrativo debe proceder de hosts de administración expresamente identificados.

Un cortafuegos de tres interfaces puede aplicar estos límites. Como alternativa, sitúa la subred protegida entre un cortafuegos exterior y otro interior. Esta última opción crea límites de política separados, pero necesita más equipos y administración. Un atacante que llega a un servidor público mediante una regla exterior permitida sigue teniendo que superar las reglas interiores; las dependencias permitidas determinan el alcance restante.

Combina la publicación con el permiso

Publica el servidor web privado 172.16.1.10 traduciendo la dirección pública 203.0.113.10 TCP 443 a su servicio privado TCP 443. Esto es NAT de destino, o reenvío de puertos. El cortafuegos necesita tanto la traducción como una regla que permita la conexión publicada. La traducción cambia el direccionamiento; la regla decide el permiso. Los productos difieren en si una regla indica la dirección anterior o posterior a la traducción, así que verifica con qué dirección coincide realmente la regla.

Elige detección o prevención

Un IDS recibe una copia del tráfico mediante un puerto de duplicación o un TAP y genera alertas. No puede descartar directamente los paquetes originales. Un IPS se sitúa en línea y puede bloquear tráfico, incluido tráfico legítimo clasificado erróneamente como malicioso. Un IPS configurado para permitir el tráfico si falla lo deja pasar durante un fallo; uno configurado para bloquearlo lo bloquea.

La detección por firmas busca patrones conocidos y necesita firmas actualizadas. La detección de anomalías compara el comportamiento con una línea base normal y puede señalar un patrón nuevo. También necesita ajustes: una copia de seguridad programada de gran tamaño puede parecerse a un robo de datos.

Solo los resultados positivos generan alertas. Una alerta es un hallazgo que debe investigarse, mientras que un ataque no detectado puede no dejar ninguna alerta. Reducir la sensibilidad puede disminuir los falsos positivos y aumentar los falsos negativos; aumentarla puede tener el efecto contrario.

Sitúa la visibilidad donde estén disponibles los datos

Un sensor de red situado fuera de un extremo HTTPS o VPN ve direcciones, tiempos y volumen, pero no puede leer el contenido cifrado. Inspecciona el tráfico descifrado en el dispositivo final, detrás de la puerta de enlace VPN o en un punto aprobado de inspección TLS. La detección basada en host puede ver actividad en el servidor después del descifrado.

Un sistema señuelo es un señuelo aislado sin usuarios legítimos. Las conexiones a él merecen investigarse. Una red de sistemas señuelo combina varios señuelos. Mantenlos aislados para que un señuelo comprometido no se convierta en una vía hacia los sistemas reales.

Las protecciones de los conmutadores detienen varios ataques antes de que los paquetes lleguen a un enrutador o cortafuegos. Comprueban distintos datos: un límite de direcciones MAC, el origen de una oferta DHCP o una vinculación entre IP y MAC.

Limita las direcciones de un puerto

La seguridad de puertos limita las direcciones MAC permitidas por un puerto. Los conmutadores Cisco permiten una dirección de forma predeterminada al activar la función. Las direcciones pueden introducirse manualmente, aprenderse dinámicamente o aprenderse como direcciones persistentes. Las direcciones persistentes se incorporan a la configuración en ejecución y se conservan tras un reinicio cuando se guarda esa configuración.

Para un escritorio con un PC, usa este ejemplo de Cisco IOS:

interface GigabitEthernet1/0/5
 switchport mode access
 switchport access vlan 10
 switchport port-security
 switchport port-security maximum 1
 switchport port-security mac-address sticky
 switchport port-security violation restrict

Un portátil distinto no puede enviar por el puerto después de que se aprenda la dirección del PC. Con el modo de restricción, el PC original puede volver sin que el puerto quede desactivado por error. Consulta show port-security interface GigabitEthernet1/0/5. El modo de desactivación necesita recuperación administrativa, como shutdown seguido de no shutdown, o una recuperación automática configurada. Las direcciones MAC pueden copiarse, por lo que la seguridad de puertos no es una autenticación robusta de dispositivos.

Confía en las respuestas DHCP solo desde la dirección correcta

La inspección DHCP bloquea los mensajes de servidor DHCP en puertos no confiables y crea una tabla de vinculaciones de IP del cliente, dirección MAC, puerto y VLAN. Actívala de forma global y para las VLAN necesarias con ip dhcp snooping e ip dhcp snooping vlan 10,20. En la ruta verificada hacia el servidor autorizado, configura ip dhcp snooping trust. Los puertos de dispositivos finales siguen siendo no confiables. Un límite de tasa en puertos de usuario, como ip dhcp snooping limit rate 10, ayuda a limitar las solicitudes destinadas a agotar las direcciones DHCP.

Si la ruta de entrada del servidor legítimo sigue siendo no confiable, también se descartan las ofertas legítimas. La confianza es una decisión sobre la dirección, no una afirmación de que todos los enlaces ascendentes sean seguros. Un enlace desde un conmutador de acceso sin proteger puede transportar ofertas no autorizadas.

Reutiliza las vinculaciones para inspeccionar direcciones

La inspección ARP dinámica (DAI) compara los mensajes ARP con vinculaciones válidas entre IP y MAC en puertos no confiables. La protección de origen IP comprueba el direccionamiento de origen del tráfico IP usando las vinculaciones. Para los clientes DHCP, establece las vinculaciones de inspección antes de aplicar cualquiera de las funciones. Los hosts estáticos necesitan entradas de ACL ARP para DAI y vinculaciones de origen manuales para la protección de origen IP; no adquieren una vinculación DHCP simplemente por enviar tráfico.

Añade protecciones para otro tráfico de control

El control de tormentas de tráfico limita las tasas de difusión, multidifusión o unidifusión desconocida. La protección contra BPDU deshabilita un puerto de borde que recibe mensajes del árbol de expansión. La protección contra anuncios de enrutador no autorizados bloquea los anuncios de enrutador IPv6 no autorizados en puertos de usuario. Ninguna realiza la misma comprobación que DAI.

Prueba estos cambios en un laboratorio o una ventana de mantenimiento con una vía de recuperación disponible: un ajuste de confianza incorrecto o una vinculación ausente puede desconectar dispositivos legítimos.

Una conexión por cable o una dirección MAC conocida no identifica a un usuario aprobado. El control de acceso a la red (NAC) decide si un dispositivo puede incorporarse y qué acceso recibe, usando la identidad, la información del dispositivo y, a menudo, una comprobación de su estado de seguridad.

Sigue las tres funciones de 802.1X

802.1X proporciona control de acceso basado en puertos en redes cableadas e inalámbricas. El suplicante del dispositivo final solicita acceso. El conmutador o punto de acceso es el autenticador que controla la conexión. El servidor de autenticación, normalmente RADIUS, comprueba las credenciales. Antes de que la autenticación tenga éxito, el tráfico normal de datos se bloquea mientras pasan los mensajes de autenticación EAP sobre LAN (EAPOL).

Un portátil se conecta al puerto GigabitEthernet1/0/12. Su suplicante intercambia mensajes EAP con el conmutador. Este los retransmite en mensajes RADIUS al servidor. Tras validar el certificado del portátil, el servidor devuelve una aceptación de acceso con la VLAN 10. El conmutador admite el portátil en Personal. Una identidad rechazada permanece bloqueada o recibe acceso restringido según la política.

Elige y valida el método de autenticación

EAP-TLS autentica al cliente y al servidor con certificados. El cliente demuestra que posee su clave privada sin enviarla. PEAP crea un túnel TLS usando el certificado del servidor y comprueba un nombre de usuario y una contraseña dentro de él.

Ambos requieren que el cliente valide el certificado del servidor de autenticación. Un cliente PEAP que acepta el servidor de un atacante puede exponer su intercambio de autenticación por contraseña a intentos de descifrado. EAP-TLS no envía la clave privada, pero aceptar un servidor falso puede seguir llevando a un dispositivo a la red de un atacante. Configura la autoridad de confianza y la identidad esperada del servidor, no solo el SSID.

Gestiona dispositivos con distintas capacidades

Una impresora sin suplicante puede usar autenticación alternativa mediante dirección MAC (MAB). El conmutador envía su dirección MAC a RADIUS como identidad. Como esa dirección puede copiarse, sitúa la impresora en un segmento restringido con solo las rutas que necesita.

Una evaluación del estado de seguridad comprueba aspectos como las actualizaciones instaladas, la protección de dispositivos finales activa y el cortafuegos habilitado. Un dispositivo que no la supera puede entrar en una VLAN de cuarentena que permita servicios de corrección. Tras las actualizaciones y una nueva comprobación, puede recibir acceso normal. Un portal cautivo para invitados presenta una página web con condiciones o un código; su finalidad es distinta de la autenticación de dispositivos basada en certificados.

Aplica las mismas ideas a Wi-Fi

WPA3-Personal usa SAE y resiste mejor los intentos de adivinar contraseñas sin conexión que WPA2-Personal. Usa el modo Enterprise para el personal y una red de invitados separada. Desactiva WPS y los obsoletos WEP o WPA basado en TKIP.

NAC determina la admisión y la ubicación. Las ACL y los cortafuegos siguen limitando el tráfico del dispositivo admitido. Introduce la aplicación efectiva por etapas: observa los fallos, prueba un grupo pequeño y después amplía. Haz un inventario de los dispositivos sin suplicante y conserva una vía de recuperación administrativa documentada por si RADIUS deja de ser accesible.

El bastionado de dispositivos elimina puntos de entrada innecesarios y protege los servicios restantes. Aplícalo a conmutadores, enrutadores, cortafuegos, puntos de acceso y cámaras, y vuelve a comprobarlo después de cambios de software o configuración.

Elimina los puntos de entrada fáciles

Cambia las credenciales de fábrica durante la configuración. En 2016, Mirai usó credenciales predeterminadas habituales de dispositivos conectados a internet para crear una gran red de bots. Deshabilita los puertos de conmutador sin uso y los servicios innecesarios, incluidos Telnet, la gestión mediante HTTP sin cifrar, UPnP y WPS. Desactiva protocolos de descubrimiento como CDP y LLDP en puertos orientados a redes no confiables donde revelar información del dispositivo genere exposición.

El cifrado protege las credenciales en tránsito. Las credenciales almacenadas también necesitan hashes robustos. El tipo 9 de Cisco usa scrypt y el tipo 8 usa PBKDF2 con SHA-256. El tipo 5 está obsoleto. service password-encryption produce una ofuscación reversible de tipo 7; no es un almacenamiento robusto de contraseñas.

Configura el acceso solo por SSH

Este ejemplo de Cisco IOS supone que el conmutador admite los comandos mostrados. Crea la cuenta de forma interactiva con un secreto largo y único; no reutilices una contraseña de un ejemplo.

hostname SW1
ip domain-name example.com
crypto key generate rsa modulus 2048
ip ssh version 2

Crea el administrador con nombre mediante username netadmin privilege 15 algorithm-type scrypt secret seguido del secreto elegido. Después configura las líneas de acceso remoto:

line vty 0 15
 login local
 transport input ssh
 exec-timeout 10 0
 access-class MGMT-ONLY in

MGMT-ONLY es una ACL definida por separado que solo permite orígenes administrativos autorizados. login local selecciona cuentas locales; transport input ssh excluye Telnet; el tiempo de espera por inactividad es de 10 minutos. Verifica un inicio de sesión SSH permitido y otro denegado desde un segmento de usuarios normales.

Restringe la ruta de gestión

Usa una VLAN de gestión y permisos de origen limitados. Un servidor de salto es un servidor con seguridad reforzada al que los administradores acceden primero, de modo que los dispositivos puedan aceptar sesiones de gestión solo desde ese origen. La gestión en banda usa la red de producción; la gestión fuera de banda usa una red separada o una vía de consola que puede seguir disponible durante una caída de producción.

Las demoras o bloqueos de inicio de sesión reducen los intentos de adivinar contraseñas en línea. Por ejemplo, login block-for 120 attempts 5 within 60 bloquea los inicios de sesión durante 120 segundos tras cinco fallos en 60 segundos. Los ajustes del dispositivo deben admitir la política de contraseñas de la organización; el mínimo del dispositivo no es una recomendación de elegir el secreto más corto permitido.

Actualiza y audita el dispositivo

Lee el aviso del fabricante, obtén la imagen oficial y verifica su hash o firma. Haz una copia de seguridad de la configuración, actualiza un dispositivo durante la ventana prevista, prueba el resultado y conserva una imagen para revertir. Sustituye los dispositivos al final de su vida útil que ya no reciben correcciones.

Envía los registros a un servicio syslog central y sincroniza los relojes con NTP para poder comparar eventos. Syslog suele usar UDP 514. Conserva líneas base de configuración aprobadas y copias de seguridad; compáralas con los ajustes en ejecución para encontrar cambios inesperados. Un aviso de inicio de sesión indica las reglas de uso autorizado y supervisión. Los registros y las líneas base solo son útiles cuando se controla su acceso y se revisan los cambios.

Un inicio de sesión correcto solo responde a una pregunta: ¿quién se ha conectado? La administración de redes también necesita una decisión sobre las acciones permitidas y un registro de lo ocurrido.

Separa las tres decisiones de AAA

La autenticación verifica la identidad. La autorización concede acciones. El registro de actividad registra lo ocurrido. Juntos forman AAA. Un ingeniero puede autenticarse correctamente, pero carecer de permiso para cambiar una ruta. El registro de actividad puede entonces registrar el comando intentado.

Las cuentas locales residen en cada dispositivo. AAA centralizado proporciona a muchos dispositivos un directorio de cuentas y un registro común. Eliminar una vez a un administrador que se marcha es más seguro y fácil de comprobar que editar cuentas en 40 conmutadores. Usa cuentas personales y permisos basados en funciones para que los registros identifiquen a una persona y una función de soporte pueda consultar el estado sin cambiar configuraciones.

RADIUS clásico suele transportar la autenticación de 802.1X, Wi-Fi empresarial y VPN. TACACS+ admite autorización y registro detallados de comandos. Los equipos RADIUS antiguos pueden usar UDP 1645 y 1646.

Comprende el mecanismo de respaldo antes de activarlo

En Cisco IOS, aaa authentication login default group tacacs+ local prueba primero el grupo de servidores. La autenticación local se usa cuando no responde ningún servidor, no cuando un servidor accesible rechaza el inicio de sesión. Una contraseña incorrecta rechazada por el servidor no provoca un segundo intento con las cuentas locales.

aaa new-model activa AAA. aaa authorization exec default group tacacs+ local selecciona los métodos de autorización, y aaa accounting commands 15 default start-stop group tacacs+ registra los comandos de nivel de privilegio 15. También deben configurarse el grupo de servidores, las claves y la conectividad. Conserva una cuenta local de emergencia protegida y prueba la vía de recuperación antes de depender de la disponibilidad del servicio central.

Elige contraseñas que resistan los intentos de adivinación

Los secretos largos y únicos y las comprobaciones de contraseñas filtradas importan más que una mezcla predecible de símbolos. Las directrices estadounidenses del NIST de 2025 exigen al menos 15 caracteres para una contraseña usada como único factor y permiten un mínimo de 8 con otro factor. Los sistemas deben permitir al menos 64 caracteres, evitar mezclas obligatorias de caracteres y evitar cambios forzados rutinarios sin indicios de compromiso.

Para letras minúsculas realmente aleatorias, cada carácter añadido multiplica el espacio de claves por 26. A 10 mil millones de intentos por segundo, agotar ocho letras lleva unos 21 segundos; doce, unos 110 días; dieciséis, unos 138 000 años. Una contraseña reutilizada o una frase predecible no obtiene esta protección del espacio de claves aleatorio. Los hashes de cálculo lento con sal también reducen la velocidad de los intentos sin conexión.

Añade un factor distinto y protege los registros

La MFA combina conocimiento, posesión o inherencia: por ejemplo, una contraseña y una llave física de seguridad. Una contraseña más un PIN sigue siendo solo conocimiento. Usa MFA para la administración remota y el acceso VPN.

Los registros de actividad contienen datos personales, incluidos nombres, direcciones y horas de inicio de sesión. Limita el acceso y la conservación según la política de la organización y la legislación aplicable. En la red de un cliente, inspecciona solo los datos necesarios para el trabajo autorizado.

Una VPN protege el tráfico entre extremos a través de una red no confiable. Elige primero la disposición de los extremos y después decide qué tráfico la usa.

Adapta la VPN al trabajo

Los hosts de una sucursal detrás de una puerta de enlace entre sedes no necesitan un cliente VPN individual. Un cliente de acceso remoto se autentica, preferiblemente con MFA, y normalmente recibe una dirección de un conjunto interno. Un portal sin cliente es adecuado para un contratista que no puede instalar software, pero solo expone las aplicaciones que admite y publica.

Sigue los paquetes interiores y exteriores

La sucursal usa 10.20.0.0/16 y la sede central, 10.10.0.0/16. Sus puertas de enlace públicas son 198.51.100.1 y 203.0.113.1. Un PC de la sucursal con la dirección 10.20.5.7 envía al servidor de archivos 10.10.1.20.

1. El enrutamiento y la política VPN seleccionan el paquete para el extremo del túnel de la sucursal.
2. El procesamiento de ESP en modo túnel cifra el paquete original y añade una cabecera exterior de 198.51.100.1 a 203.0.113.1.
3. Los enrutadores de internet usan las direcciones públicas exteriores; el destino privado permanece protegido dentro.
4. La sede central verifica y descifra el paquete y después lo reenvía a 10.10.1.20.

La protección termina en esos extremos. Las rutas locales más allá de ellos necesitan protocolos de aplicación y controles de acceso adecuados.

Elige enrutamiento por túnel completo o dividido

Un túnel completo envía todo el tráfico del dispositivo remoto a través de la organización, incluida la navegación pública. El filtrado de la empresa puede inspeccionar esa ruta, pero consume ancho de banda central y puede añadir retardo.

Un túnel dividido envía determinados destinos por la VPN. Por ejemplo, 10.0.0.0/8 entra en el túnel mientras que un servicio público de vídeo usa el enlace directo a internet del trabajador. Ese tráfico elude el filtrado de la puerta de enlace de la empresa; la seguridad del dispositivo final sigue siendo necesaria.

Elige un túnel completo cuando la política exija gestionar centralmente toda la navegación. Elige un túnel dividido cuando el tráfico directo permitido consumiría, de otro modo, la capacidad limitada de la sede central.

Limita los dispositivos admitidos

El cifrado VPN no elimina el software malicioso. Combina el acceso remoto con MFA, comprobaciones del estado de seguridad y reglas de cortafuegos que limiten a los usuarios a los recursos necesarios. Un portátil autenticado infectado puede atacar los sistemas accesibles. El operador de la puerta de enlace puede ver el tráfico después de descifrarlo, por lo que una VPN tampoco le oculta la actividad.

IPsec separa el establecimiento entre interlocutores del tráfico de usuarios protegido. Comprobar estas etapas por separado ayuda a explicar por qué una VPN puede indicar que hay conexión mientras las aplicaciones siguen fallando.

Establece claves y asociaciones de seguridad

El intercambio de claves de internet (IKE), normalmente IKEv2, comienza en UDP 500. Los interlocutores se autentican con una clave precompartida o certificados, acuerdan algoritmos compatibles y derivan claves. Una asociación de seguridad (SA) registra los ajustes de protección y el material de claves. IKE establece su canal de control protegido y negocia las SA IPsec para los datos.

Las SA de datos IPsec son unidireccionales, por lo que el tráfico bidireccional necesita un par. Cada interlocutor aplica su propia política de vigencia; cualquiera puede renovar las claves antes de que caduquen. En IKEv2, configurar vigencias distintas no impide por sí solo el establecimiento.

Distingue los protocolos y modos de datos

Las VPN entre puertas de enlace normalmente usan ESP en modo túnel. AH abarca campos de dirección que NAT modifica, por lo que no es adecuado para atravesar NAT. ESP es el protocolo IP 50, no el puerto TCP 50 ni el puerto UDP 50. Permite IKE, NAT-T cuando se use y ESP nativo cuando se use entre las direcciones de las puertas de enlace.

GRE encapsula sin cifrar. GRE sobre IPsec combina el transporte de tráfico de multidifusión o enrutamiento de GRE con la protección de IPsec. La encapsulación añadida por sí sola no proporciona confidencialidad.

Ten en cuenta el tamaño de los paquetes

Un túnel ESP suele añadir aproximadamente 50–80 bytes por paquete; NAT-T añade otros 8 bytes de cabecera UDP. Un paquete original completo de 1500 bytes más esas cabeceras supera una MTU de ruta de 1500 bytes. Según el protocolo y los ajustes, debe fragmentarse o se descarta. Una MTU de túnel menor, a menudo de unos 1400 bytes, y un tamaño máximo de segmento TCP (MSS) ajustado ayudan a que el tráfico quepa. Que las solicitudes pequeñas funcionen mientras las transferencias mayores se atascan es un indicio útil de un problema de MTU.

Compara otras opciones de VPN

Las VPN TLS, tradicionalmente llamadas VPN SSL, suelen usar TCP 443 y también pueden admitir UDP. Son adecuadas para clientes remotos y portales de navegador. WireGuard usa UDP, a menudo 51 820, y un conjunto pequeño de algoritmos modernos. L2TP/IPsec combina la tunelización más antigua de L2TP en UDP 1701 con la protección de IPsec. PPTP está obsoleto y es inseguro.

Las claves precompartidas largas y aleatorias son manejables para unos pocos interlocutores, pero resultan incómodas a gran escala. Los certificados emitidos mediante una autoridad de certificación (CA) y una infraestructura de clave pública (PKI) permiten la renovación y revocación individuales. Mantén en secreto las claves privadas, comprueba la caducidad y la confianza, y revoca las credenciales que ya no deban funcionar. Un certificado autofirmado necesita un acuerdo de confianza establecido explícitamente.

Localiza la etapa que falla

Comprueba primero la conectividad entre las puertas de enlace, la versión de IKE, los algoritmos y las credenciales de los interlocutores. Después, inspecciona las SA IKE e IPsec por separado. Confirma que los selectores de redes protegidas se correspondan de forma inversa, los permisos necesarios del cortafuegos y las rutas hacia el túnel. Por último, prueba transferencias de aplicación pequeñas y grandes. Una SA IKE demuestra el establecimiento del canal de control; no demuestra que sean correctos la ruta de datos seleccionada, las reglas del cortafuegos ni los tamaños de paquete.