Teletrabajo y servicios expuestos

Sí. El escritorio remoto (RDP) abierto a internet se escanea sin parar y se ataca con contraseñas robadas y adivinadas, y un servicio de acceso remoto expuesto es una vía de entrada habitual en las pequeñas empresas. Ciérrelo, o póngalo detrás de una VPN o de una pasarela de escritorio remoto con autenticación multifactor, y permita su uso solo a cuentas nominales. Compruebe lo que expone de verdad con un escaneo externo de puertos de sus propias direcciones IP públicas, y repítalo tras cada cambio en el cortafuegos o el router, porque los puertos redirigidos suelen sobrevivir al proyecto para el que se abrieron. Dentro de la red, NetSenX marca las sesiones RDP inusuales entre equipos como movimiento lateral, y también los intentos de inicio de sesión repetidos contra equipos monitorizados, en todos los planes. No escanea sus direcciones públicas, así que la comprobación externa sigue siendo tarea suya.

Revise primero los registros de la propia VPN: inicios de sesión a horas raras o desde países inesperados, cuentas que nunca habían usado la VPN, muchos intentos fallidos y cambios de configuración o cuentas de administrador nuevos en el equipo. Compare su versión de software con los avisos de seguridad del fabricante, porque las pasarelas VPN son un objetivo frecuente de fallos explotados, y ejecute las comprobaciones de compromiso que publique el fabricante, si las hay. Detrás de la VPN, los siguientes pasos de un atacante se ven en la red: escaneos desde el rango de direcciones de la VPN, sesiones nuevas desde direcciones VPN hacia servidores que nunca usaban, grandes transferencias al exterior. NetSenX los detecta donde el segmento detrás de la VPN está monitorizado, en todos los planes, y su vista VPN muestra los túneles y sesiones de pasarela que ve, con el país en el que está registrada cada dirección remota. No lee los registros del equipo ni puede inspeccionar el propio equipo.

Sí. Una vez conectado, un portátil en la VPN está dentro de la red, a menudo con un acceso amplio. El malware que se coló en casa, por una descarga de un familiar o un router doméstico comprometido, puede entonces escanear la red de la oficina y llegar a carpetas compartidas y servidores como cualquier otro equipo interno. Limite lo que alcanzan los usuarios de la VPN a los sistemas que necesitan, exija autenticación multifactor, mantenga al día la protección de endpoints y las actualizaciones de los portátiles remotos y no permita que los dispositivos personales se conecten a la VPN de la empresa. Si el tráfico de la VPN pasa por un segmento monitorizado, NetSenX ve las conexiones del portátil y detecta en ellas escaneos, movimiento lateral y beaconing, en todos los planes. Un portátil con el agente se vigila por sí mismo, esté donde esté. Lo que ocurre dentro del portátil sigue siendo tarea de la protección de endpoints.

Es habitual, pero es un objetivo permanente: los servidores SSH accesibles desde internet reciben intentos de inicio de sesión automatizados sin descanso. Si tiene que exponerlo, permita solo el acceso con clave, desactive el acceso con contraseña y como root, mantenga OpenSSH actualizado y limite las direcciones de origen cuando pueda; una VPN o un bastión delante es todavía mejor. Otro puerto reduce el ruido en los registros, pero no protege. Lleve una lista de todos los servidores SSH expuestos y revísela, porque los servidores de pruebas olvidados son los que se quedan sin parchear. NetSenX ve las conexiones con los equipos monitorizados y detecta escaneos, intentos de inicio de sesión repetidos y sesiones inusuales que los afectan, en todos los planes. Desde el plan Pro, con captura de paquetes en un agente Linux o en un sensor SPAN o TAP, su inventario criptográfico muestra además las versiones de SSH que anuncian los servidores.

El escritorio remoto (RDP), las carpetas compartidas (SMB), los puertos de bases de datos, las interfaces de gestión de cortafuegos, switches, impresoras e hipervisores, y los protocolos industriales como Modbus o S7 no deberían ser accesibles desde internet. Ponga lo que el personal necesita desde fuera detrás de una VPN o de una pasarela con autenticación multifactor, y deje el resto en la red interna. Compruébelo con regularidad mediante un escaneo externo de sus propios rangos de direcciones, tras cada cambio en el cortafuegos o el router, y desactive en los routers la apertura automática de puertos (UPnP). Los servidores en la nube también cuentan: sus grupos de seguridad abren puertos con la misma facilidad que el cortafuegos de una oficina. NetSenX ve las conexiones entrantes a equipos monitorizados, en todos los planes, de modo que un servicio que responde de forma inesperada a conexiones externas, o un equipo escaneado o atacado con inicios de sesión repetidos, aparece en su tráfico. No escanea sus direcciones públicas.

Lleva los dispositivos y los datos de la empresa a redes que usted no controla y amplía las vías de entrada. Los portátiles están en el Wi-Fi de casa junto a los dispositivos de la familia y a un router antiguo, se conectan desde hoteles y trenes y viajan a lugares donde pueden perderse. El personal inicia sesión desde fuera, así que una contraseña robada se puede usar desde cualquier sitio, y los servicios de acceso remoto, como las pasarelas VPN y el escritorio remoto, tienen que ser accesibles desde internet. El soporte también se complica, porque las actualizaciones dependen de que el portátil se conecte. La respuesta está sobre todo en la identidad y los dispositivos: autenticación multifactor en todo, cifrado completo del disco, protección de endpoints y actualizaciones automáticas en cada portátil, y una VPN o pasarela que solo llegue a lo que cada persona necesita. La parte de red es el punto donde los dispositivos remotos llegan a la empresa: NetSenX ve el tráfico VPN en un segmento monitorizado detrás de la pasarela y detecta en él escaneos, movimiento lateral y beaconing, en todos los planes, y un agente en un portátil Linux o macOS vigila ese portátil esté donde esté.

Empiece por la cuenta y el dispositivo, y luego limite a qué llega la conexión. Exija autenticación multifactor para la VPN, el correo y cada aplicación en la nube; dé al personal portátiles de empresa con cifrado completo del disco, protección de endpoints y actualizaciones automáticas, y mantenga los dispositivos personales fuera de la VPN. Configure la VPN o la pasarela de acceso remoto para que cada grupo llegue solo a los sistemas que necesita, no a toda la red de la oficina, y registre cada sesión. Dé al personal una forma sencilla de avisar de un portátil perdido o de una petición de inicio de sesión extraña, y retire el acceso el mismo día en que alguien se va. Después vigile el punto donde el teletrabajo se encuentra con la empresa: con un sensor en un puerto SPAN o TAP detrás de la pasarela VPN, NetSenX ve lo que hacen los dispositivos remotos dentro de la red y detecta escaneos, movimiento lateral, beaconing y volumen saliente inusual, en todos los planes. No gestiona cuentas, dispositivos ni la VPN; de eso se encargan su proveedor de identidad, su gestión de dispositivos y su pasarela.

Solo si el personal necesita llegar a sistemas dentro de la red de la oficina. Si todo lo que usan son servicios en la nube, como el correo, los archivos y la contabilidad, una VPN aporta poco: proteja esos servicios con autenticación multifactor y portátiles gestionados. Si en la oficina hay un servidor de archivos, una base de datos contable o una máquina que la gente necesita desde casa, entonces sí: use una VPN o una pasarela de acceso remoto en lugar de abrir esos servicios a internet, y exija autenticación multifactor. Una aplicación VPN de consumo que oculta su navegación es otro producto y no protege los sistemas de la empresa. Elija lo que elija, dé a cada persona acceso solo a lo que necesita. NetSenX no ofrece una VPN. Detrás de su pasarela VPN, un sensor en un puerto SPAN o TAP ve lo que hacen los dispositivos remotos en la red interna y detecta escaneos, movimiento lateral y beaconing, en todos los planes.

No. Una VPN con inicio de sesión solo por contraseña deja entrar en su red a cualquiera que tenga una contraseña robada, adivinada o reutilizada, y las credenciales de la VPN son justo lo que buscan las páginas de phishing y las herramientas para adivinar contraseñas. Añada autenticación multifactor (MFA) a la VPN antes que cualquier otra cosa, prefiera una aplicación de autenticación o una llave física a los SMS y desactive las cuentas que llevan meses sin usar la VPN. Limite por grupos quién puede conectarse y registre los inicios de sesión para ver intentos desde lugares inusuales. Mantenga actualizado el propio equipo VPN, porque un fallo en la pasarela puede saltarse la contraseña por completo. NetSenX no comprueba los inicios de sesión de la VPN; eso corresponde a la VPN y a su proveedor de identidad. Donde el segmento detrás de la VPN está monitorizado, detecta lo que hace después un intruso, como escaneos, movimiento lateral o beaconing, en todos los planes.

Porque la pasarela VPN es accesible por diseño desde todo internet y su red interna confía en ella, un fallo de seguridad en ella puede dejar entrar a un atacante sin ninguna contraseña. En los últimos años se han explotado de forma masiva fallos en equipos VPN y de acceso remoto de varios grandes fabricantes, y las agencias nacionales de ciberseguridad publican con regularidad alertas urgentes sobre ellos. Trate la pasarela como su sistema más expuesto: suscríbase a los avisos de seguridad del fabricante, aplique parches en días y no en la próxima ventana de mantenimiento, ejecute tras un fallo crítico las comprobaciones de compromiso publicadas por el fabricante y limite la interfaz de gestión a direcciones internas. Si no puede parchear con rapidez, considere un servicio gestionado. Un sensor de red no ve cómo se explota un fallo dentro del equipo, pero sí lo que viene después: vigilando el segmento detrás de la pasarela, NetSenX detecta escaneos, movimiento lateral y beaconing desde direcciones VPN, en todos los planes.

Split tunneling significa que solo el tráfico hacia los sistemas de la empresa va por la VPN, mientras todo lo demás, como la navegación y las videollamadas, sale directamente a internet desde donde esté el portátil. Ahorra ancho de banda y mejora las llamadas, por eso es habitual. El riesgo es menor de lo que parece si el propio portátil está protegido: el dispositivo pasa a ser la frontera, así que necesita protección de endpoints, actualizaciones y el filtrado web que use, si lo usa. La contrapartida es la visibilidad: el tráfico de internet que nunca entra en la VPN nunca pasa por la red de la oficina, y ni los cortafuegos ni los sensores de red de la oficina lo ven. Decídalo a conciencia: túnel completo si necesita inspeccionar todo el tráfico de forma centralizada, split tunneling con una protección fuerte de los dispositivos en caso contrario. NetSenX ve la parte que cruza un segmento monitorizado; para el resto, un agente en un portátil Linux o macOS vigila las conexiones propias de ese portátil esté donde esté.

Detrás de la pasarela VPN, en el lado interno, donde el túnel termina y el tráfico de los usuarios remotos vuelve a ser tráfico interno normal. Un sensor delante de la pasarela, en el lado de internet, solo ve túneles cifrados y aprende poco de ellos. En la práctica, replique hacia un puerto SPAN o TAP el puerto del switch que conecta la pasarela VPN o el cortafuegos con la red interna, o el enlace entre ella y el segmento de servidores. Dé a los usuarios de la VPN direcciones de un rango propio, para que su tráfico sea fácil de reconocer. Con NetSenX, un agente en ese puerto SPAN o TAP cuenta como un solo dispositivo y vigila cada sesión VPN que pasa por él: escaneos, movimiento lateral, beaconing y volumen saliente inusual se detectan en todos los planes, y la vista VPN muestra los túneles y sesiones de pasarela que ve. El tráfico que un portátil con split tunneling envía directamente a internet nunca llega a ese sensor.

Con los registros de inicio de sesión de su pasarela VPN o de su proveedor de identidad, porque solo ellos saben a qué cuenta pertenece cada sesión. Busque al mismo usuario iniciando sesión desde dos lugares demasiado alejados para el tiempo transcurrido, una sesión desde un país donde no tiene personal o un inicio de sesión desde una dirección de un proveedor de hosting o de un servicio de anonimato. Muchos proveedores de identidad y pasarelas VPN pueden avisarlo automáticamente, a menudo como detección de viaje imposible o de inicio de sesión de riesgo; actívela y exija autenticación multifactor para que una contraseña robada no baste por sí sola. La red aporta la otra mitad del cuadro. La vista VPN de NetSenX muestra los túneles y sesiones de pasarela que ve en los segmentos monitorizados, con el país en el que está registrada la dirección remota, y marca las direcciones que figuran en listas de servicios VPN comerciales y nodos de salida de Tor. No asocia sesiones a cuentas, así que el lugar de esta alerta siguen siendo los registros de identidad.

Un viaje imposible es un patrón de inicio de sesión en el que la misma cuenta entra desde dos lugares entre los que nadie podría haber viajado en el tiempo transcurrido, como Madrid a las 9:10 y otro continente a las 9:40. Suele indicar que se está usando una contraseña o un token de sesión robados, aunque un servicio VPN, una red móvil o un proxy en la nube pueden dar falsos positivos. Lo detectan los sistemas que ven los inicios de sesión junto con el nombre de la cuenta: su proveedor de identidad, la suite ofimática en la nube o la pasarela VPN. La mayoría lo ofrecen como señal de riesgo integrada; compruebe que está activada y que alguien recibe la alerta. La ubicación procede de los datos de registro de la dirección, así que trátela como un indicio, no como una prueba. Un sensor de red como NetSenX no ve los inicios de sesión de las cuentas y no genera alertas de viaje imposible. Ayuda después, mostrando lo que hizo la sesión dentro de la red: escaneos, movimiento lateral o grandes transferencias al exterior.

En parte. Un sensor que ve el tráfico de la pasarela VPN conoce la dirección pública de la que procede cada túnel, y esa dirección se puede relacionar con el país en el que está registrada su red. Es útil pero impreciso: los datos de registro indican dónde está registrado el propietario de la red, no dónde está la persona, y los viajes, las redes móviles, el Wi-Fi de los hoteles y los servicios VPN comerciales difuminan la imagen. El sensor tampoco sabe a qué cuenta pertenece un túnel; eso lo saben los registros de la propia pasarela VPN. La vista VPN de NetSenX muestra los túneles VPN y las sesiones de pasarela que ve en los segmentos monitorizados, con el país tomado de los datos de registro de la red, y marca las direcciones que figuran en listas de servicios VPN comerciales y nodos de salida de Tor. Úsela junto a los registros de inicio de sesión de la pasarela: los registros dicen quién, la vista de red dice desde qué red y qué pasó después.

Sí, si el portátil ejecuta el agente de NetSenX; si no, solo cuando su tráfico vuelve a pasar por un segmento monitorizado. El agente funciona en Linux y macOS y vigila las conexiones propias de ese portátil esté donde esté, en casa, en un hotel o en el tren, y las alertas como el beaconing, los escaneos o un volumen saliente inusual llegan a su panel, en todos los planes. Cada portátil con el agente cuenta como un dispositivo. En macOS el agente funciona en un modo básico sin captura de paquetes, así que las funciones que la necesitan, como la huella TLS, no están disponibles allí. Un portátil sin el agente solo se ve cuando se conecta por la red de la oficina o por una VPN cuyo tráfico cruza un segmento monitorizado. Lo que el agente nunca ve es el contenido del tráfico cifrado ni lo que ocurre dentro del portátil; eso lo cubre la protección de endpoints.

No necesariamente. Si el personal remoto solo llega a los sistemas de la empresa por VPN, un sensor en un puerto SPAN o TAP detrás de la pasarela VPN ya ve lo que hacen sus portátiles en la red interna, que es donde se produce la mayor parte del daño, y ese sensor cuenta como un dispositivo. Instale el agente en un portátil cuando quiera vigilar sus conexiones también fuera de la VPN: por ejemplo, el portátil de un directivo o de un administrador, el equipo de un desarrollador con acceso a producción o un portátil que usa split tunneling. Cada portátil con el agente cuenta como un dispositivo, así que decida según el riesgo y no según la plantilla. El agente funciona en Linux y macOS; en macOS, en un modo básico sin captura de paquetes. En todos los portátiles, con agente o sin él, mantenga la protección de endpoints, las actualizaciones y el cifrado del disco, porque ningún sensor de red ve lo que ocurre dentro del dispositivo.

Normalmente sí, porque guardan el buzón y los archivos más valiosos y son los que más viajan. Las primeras medidas están en el dispositivo y la cuenta: autenticación multifactor resistente al phishing, cifrado completo del disco, protección de endpoints con alguien que lea sus alertas, actualizaciones automáticas y una regla clara sobre qué hacer si se pierde el portátil. Los directivos son además el objetivo habitual de los correos de fraude en pagos, que ninguna herramienta de red detiene; una regla de llamar para confirmar un cambio de datos bancarios, sí. La monitorización de red añade una visión de lo que hace el portátil: con el agente de NetSenX instalado, en Linux o macOS, las conexiones propias del portátil se vigilan esté donde esté, y el beaconing, los escaneos o un volumen saliente inusual generan una alerta, en todos los planes. Se vigila el dispositivo, no a la persona, y nunca se lee el contenido del tráfico cifrado. Acuerde antes el alcance con la dirección, para que la monitorización sea una protección que ellos mismos pidieron.

Todo lo que hace el portátil en cuanto está en un segmento monitorizado, que es justo cuando un compromiso sufrido durante el viaje se hace visible. El malware instalado en un hotel o mediante una actualización falsa suele contactar con su servidor a intervalos regulares, buscar otros equipos o intentar llegar a carpetas compartidas y servicios de administración. Un sensor en un puerto SPAN o TAP ve esas conexiones desde el primer minuto, y NetSenX detecta beaconing, escaneos, movimiento lateral y volumen saliente inusual, en todos los planes. Lo que no ve es lo que pasó durante el viaje: el tráfico en la red del hotel nunca cruzó la suya, salvo que el portátil ejecute el agente de NetSenX, que vigila sus conexiones esté donde esté. Una rutina sensata tras viajar a destinos de alto riesgo: un análisis completo con la protección de endpoints, instalar las actualizaciones pendientes y cambiar las contraseñas si el dispositivo estuvo fuera de su vista, por ejemplo en un control fronterizo.

Puede serlo, sobre todo de forma indirecta. Los routers domésticos suelen tener años, no se han actualizado nunca y conservan la contraseña de administrador por defecto, y algunos modelos tienen fallos conocidos que los atacantes explotan a gran escala para crear redes de routers secuestrados. Un router comprometido puede redirigir el tráfico, espiar conexiones sin cifrar y atacar otros dispositivos de la red doméstica, incluido un portátil de trabajo. La empresa no puede gestionar el router, así que proteja el portátil: protección de endpoints, actualizaciones, el cortafuegos del propio portátil, VPN o conexiones cifradas para todo el tráfico de la empresa y ningún dispositivo personal en la VPN. Dé al personal una breve lista para casa: actualizar el router, cambiar su contraseña de administrador, desactivar la administración remota y la apertura automática de puertos (UPnP) y poner los dispositivos domésticos inteligentes en un Wi-Fi aparte si el router lo permite. NetSenX no ve las redes domésticas; ve lo que hace el portátil cuando llega a un segmento monitorizado de la empresa, o en cualquier lugar si ejecuta el agente.

Es aceptable con un portátil protegido y conexiones cifradas, y arriesgado sin ellos. La mayoría de las webs y de los servicios de empresa ya van cifrados, así que un desconocido en la misma red de una cafetería o un hotel no puede leer el contenido, pero sí ver qué dispositivos hay, intentar atacar los servicios abiertos de su portátil o montar una red falsa con el mismo nombre. Use la VPN de la empresa o la conexión compartida de su teléfono para todo lo sensible, mantenga activado el cortafuegos del portátil y desactivado el uso compartido de archivos, tome un aviso de certificado como motivo para desconectarse y olvide la red al terminar para que el portátil no vuelva a unirse sola. Las actualizaciones y la protección de endpoints importan más de viaje que en la oficina. NetSenX no ve la red de la cafetería. En un portátil que ejecuta el agente, en Linux o macOS, sus propias conexiones se vigilan esté donde esté, y el beaconing o un volumen saliente inusual generan una alerta en todos los planes.

Mejor no, y una regla escrita y breve ayuda más que una prohibición que nadie hace cumplir. El uso personal lleva riesgos al dispositivo que guarda datos de la empresa: juegos y extensiones del navegador de origen desconocido, software pirata, niños usando el portátil y cuentas personales con contraseñas reutilizadas. Si permite un uso personal limitado, fije límites claros: nada de instalar software sin informática, nada de familiares, un perfil de navegador aparte para las cuentas personales y ningún archivo de la empresa en almacenamiento personal en la nube. Asegúrese de que el personal no sea administrador local, para que la mayor parte del software no deseado no pueda instalarse solo. Es una cuestión de política y de protección de dispositivos, y un sensor de red no puede hacerla cumplir. NetSenX vigila dispositivos, no personas: detectaría las consecuencias, como el beaconing de un malware o subidas inusuales, cuando el tráfico del portátil cruza un segmento monitorizado o el portátil ejecuta el agente, pero no informa de los hábitos de navegación de nadie.

Para tareas limitadas y de bajo riesgo, si fija reglas; pero los dispositivos personales no deberían unirse a la VPN de la empresa ni guardar archivos de la empresa fuera de aplicaciones gestionadas. La empresa no ve si un teléfono o portátil personal está actualizado, cifrado o infectado, ni puede borrarlo cuando la persona se va. Un término medio habitual: correo y chat en teléfonos personales mediante aplicaciones gestionadas con PIN y borrado remoto solo de los datos de la empresa, acceso a la suite ofimática en la nube desde el navegador con autenticación multifactor, y todo lo que necesite acceso a sistemas internos solo en dispositivos de la empresa. Ponga las reglas por escrito, incluido qué pasa con los datos de la empresa cuando alguien se va, y acuérdelas con la representación de los trabajadores si la hay. En la red, un dispositivo personal que se conecta a un segmento monitorizado aparece en el mapa de red de NetSenX, y los escaneos, el beaconing o un volumen saliente inusual desde él se detectan en todos los planes.

Actúe primero sobre las cuentas y después sobre el dispositivo. El mismo día: cierre las sesiones activas del usuario y cambie la contraseña, compruebe que la autenticación multifactor sigue vinculada a su propio teléfono, revoque el certificado o el acceso VPN del portátil y, si usa gestión de dispositivos, bloquéelo o bórrelo a distancia. Si el disco estaba cifrado y el portátil bloqueado, lo más probable es que los datos estén a salvo; si no, dé por hecho que pueden leerse y compruebe si hay datos personales afectados, porque una brecha de datos personales puede tener que notificarse según el RGPD: implique a su delegado de protección de datos ese mismo día. Denuncie un robo a la policía y guarde el número de la denuncia para su aseguradora. Después compruebe si el dispositivo se ha conectado desde entonces: el mapa de red de NetSenX muestra cuándo se vio un dispositivo por última vez en un segmento monitorizado, y para un portátil con el agente el panel muestra cuándo se comunicó por última vez. Una herramienta de red no puede localizar ni borrar el portátil.

En parte, y depende más de las herramientas de la empresa que de la VPN. El tráfico que va por la VPN pasa por la red de la empresa, así que su cortafuegos y su monitorización ven con qué servidores se conecta su portátil y cuántos datos circulan. La mayor parte de ese tráfico va cifrado, de modo que un sensor de red no ve el contenido de las páginas, mensajes y archivos, salvo que la empresa use un sistema que lo descifre, algo que su política interna debería indicar. El software instalado en un portátil de empresa ve mucho más, por eso la política del portátil importa más que la VPN. Donde se usa NetSenX, vigila dispositivos y conexiones, no personas: registra metadatos de conexión como destinos, horarios y volumen para detectar ataques, nunca descifra el tráfico y nunca lee lo que usted escribe. Pida a su empresa su política de monitorización; en la UE, la normativa de protección de datos espera que el empleador informe al personal de cómo se le monitoriza.

Normalmente no, y la mayoría de las políticas de empresa lo prohíben. Una aplicación VPN personal envía todo el tráfico del portátil por los servidores de un tercero, lo que puede romper la VPN de la empresa, saltarse su filtrado web y su monitorización y entregar los metadatos del tráfico de la empresa a un proveedor que nadie ha evaluado. Las aplicaciones VPN gratuitas, en particular, ganan dinero de alguna manera, a menudo con datos. Además, su tráfico parece venir de otro país, lo que puede provocar bloqueos de cuenta y alertas de inicio de sesión de riesgo. Si necesita privacidad en un Wi-Fi público, use la VPN de la empresa o la conexión compartida de su teléfono. Si es administrador, bloquee la instalación de software no aprobado y busque portátiles cuyo tráfico se vaya de repente todo a una única dirección externa. En un segmento monitorizado, la vista VPN de NetSenX marca las direcciones que figuran en listas de servicios VPN comerciales, así que un portátil que lo envía todo por uno de ellos destaca.

Sí. Las aplicaciones de escritorio remoto que funcionan a través de la nube de su fabricante no necesitan ningún puerto abierto, así que pasan por delante del cortafuegos y crean una puerta permanente a la red de la oficina protegida solo por la cuenta de esa aplicación. Los estafadores que se hacen pasar por soporte técnico usan las mismas aplicaciones, y un atacante que robe la cuenta, o que ya esté dentro, puede volver en cualquier momento por la herramienta instalada, sin ningún malware. Quien la instaló normalmente tenía buena intención, así que ofrezca una alternativa aprobada: la VPN de la empresa, una pasarela de escritorio remoto o una única herramienta de soporte remoto aprobada con autenticación multifactor, gestionada por informática. Después bloquee la instalación de software no aprobado y elimine las demás. En la red, estas aplicaciones mantienen una conexión regular con sus servidores de retransmisión, que NetSenX marca como beaconing en todos los planes; cuando el agente se ejecuta en ese ordenador, la alerta indica el programa local. NetSenX no desinstala ni bloquea la aplicación.

Con tres fuentes: el inventario de software, el tráfico de red y el DNS. Su consola de gestión de equipos o de antivirus suele poder listar los programas instalados; busque en ella herramientas de escritorio remoto y de soporte remoto. En la red, estas aplicaciones mantienen una conexión constante con los servidores de retransmisión de su fabricante aunque nadie las use, así que un PC que contacta con el mismo servicio externo cada pocos minutos, de día y de noche, merece una revisión. Sus registros de DNS o del cortafuegos muestran los dominios del fabricante que consultan. Una vez localizadas, decida caso por caso: eliminar la herramienta o sustituirla por la aprobada. Evite que se repita retirando los permisos de administrador local y aplicando listas blancas de software. NetSenX marca esas conexiones regulares como beaconing, en todos los planes, desde un sensor SPAN o TAP o desde el agente en ese equipo, y cuando el agente se ejecuta en el ordenador, la alerta indica el programa. No mantiene un inventario de software; eso lo hacen sus herramientas de gestión de equipos.

Es un único servidor reforzado por el que administradores y proveedores tienen que pasar para llegar a los sistemas internos, en lugar de conectarse directamente a cada servidor. Las sesiones remotas terminan en el bastión, que impone la autenticación multifactor, solo admite cuentas nominales, registra o graba cada sesión y es el único equipo desde el que los servidores aceptan conexiones de administración. Una pasarela de escritorio remoto hace lo mismo para el escritorio remoto, envolviéndolo en una conexión cifrada y autenticada. Lo necesita en cuanto más de un par de personas, o cualquier proveedor, administran sus servidores a distancia, o cuando SSH o el escritorio remoto tendrían que estar expuestos a internet. Mantenga el bastión actualizado y mínimo, sin otro software. La monitorización tiene entonces una regla sencilla que comprobar: las sesiones de administración solo deben llegar desde el bastión. NetSenX marca las sesiones inusuales entre equipos como movimiento lateral, en todos los planes, de modo que el tráfico de administración que se salta el bastión destaca.

Fail2ban ayuda, pero no hace seguro un servidor SSH expuesto. Bloquea direcciones tras varios inicios de sesión fallidos, lo que reduce los intentos de adivinar contraseñas y el ruido en los registros, pero los atacantes reparten sus intentos entre muchas direcciones, y no hace nada contra un fallo del propio servidor SSH ni contra una clave privada robada. La protección real está en la configuración: acceso solo con clave, acceso con contraseña y como root desactivados, OpenSSH al día y acceso limitado a direcciones de origen conocidas o detrás de una VPN o un bastión. Con eso en su sitio, Fail2ban es una capa adicional razonable. Revise con regularidad qué servidores exponen SSH; el riesgo son los olvidados. NetSenX ve las conexiones con los servidores SSH monitorizados y detecta intentos de inicio de sesión repetidos, escaneos y sesiones inusuales, en todos los planes. No bloquea direcciones por sí mismo; eso lo hacen Fail2ban o el cortafuegos.

Un poco contra el ruido, y nada contra un atacante dirigido. Los escáneres automáticos que solo prueban el puerto 22 no lo encontrarán, así que los registros se calman y llegan menos intentos de adivinar contraseñas. Pero un escaneo completo de puertos encuentra un servidor SSH en cualquier puerto, porque SSH se identifica en su primer mensaje, y quien busque su servidor en concreto hará ese escaneo. Trate el cambio de puerto como orden, no como protección, y mantenga las medidas que importan: acceso solo con clave, sin contraseña ni root, un OpenSSH actualizado y un acceso limitado por dirección de origen o a través de una VPN o un bastión. Documente el puerto para que los compañeros y su propia monitorización no lo tomen por algo desconocido. NetSenX ve las conexiones con los equipos monitorizados en cualquier puerto y detecta escaneos, intentos de inicio de sesión repetidos y sesiones inusuales, en todos los planes.

Mire el registro de autenticación del servidor: muchos inicios de sesión fallidos para root, admin o nombres de usuario aleatorios, desde una dirección o desde muchas, son la señal clásica, y herramientas como Fail2ban los cuentan por usted. En un servidor expuesto a internet, parte de esto es ruido de fondo constante; lo que importa es si algún intento tuvo éxito, así que busque inicios de sesión correctos desde direcciones desconocidas, a horas raras o en cuentas que casi nunca entran, y compruebe que el acceso con contraseña está desactivado. Los intentos desde dentro de su propia red son más graves, porque significan que un equipo comprometido está probando contraseñas. NetSenX marca los intentos de inicio de sesión repetidos contra equipos monitorizados como fuerza bruta, en todos los planes, junto con los escaneos y las sesiones inusuales, de modo que los intentos desde un equipo interno destacan. Desde la red no puede saber si se aceptó una contraseña; el registro del servidor sí.

Solo si un servidor ejecuta una versión vulnerable de OpenSSH en una configuración vulnerable, así que empiece por localizar todos sus servidores SSH. regreSSHion (CVE-2024-6387), publicada en julio de 2024, afecta al servidor OpenSSH en Linux basado en glibc desde la versión 8.5p1 hasta la 9.8p1, sin incluirla, además de a versiones muy antiguas anteriores a la 4.4p1; otros fallos tienen otros rangos, así que lea cada aviso. Elabore la lista de servidores a partir de su inventario y de la red, incluidos equipos dedicados, contenedores y máquinas de pruebas olvidadas. Compruebe el paquete instalado en el sistema de seguimiento de seguridad de su distribución, porque las distribuciones suelen incorporar correcciones sin cambiar el número de versión, y después parchee o limite el acceso mientras no pueda. Desde el plan Pro, el inventario criptográfico NQCI, en versión preliminar, muestra cada servidor SSH cuyo banner de versión ha visto, con la versión anunciada; necesita captura de paquetes, activada para un agente Linux o un sensor SPAN/TAP. Un banner es un indicio, no un veredicto, así que confírmelo en el servidor.

Por sí solo no: una sesión SSH normal transporta sus pulsaciones de teclado y la salida de pantalla del servidor, y un servidor comprometido no puede colocar un programa en su ordenador a través de ella. Los riesgos vienen de las funciones que usted añade. El reenvío del agente permite al servidor usar sus claves SSH mientras está conectado, así que un servidor comprometido puede llegar a otros servidores en su nombre; úselo solo hacia equipos de confianza, o use en su lugar una configuración de equipo de salto. El reenvío de puertos y el de X11 abren canales de vuelta hacia su máquina. Los archivos que copia desde el servidor pueden llevar malware como cualquier descarga. Y un cliente SSH vulnerable podría, en teoría, ser atacado por un servidor malicioso, así que mantenga el cliente actualizado. En la red, una sesión desde el portátil de un administrador hacia un servidor es normal; NetSenX marca las sesiones inusuales entre equipos como movimiento lateral, en todos los planes, de modo que una sesión SSH que empieza a saltar de un servidor a otro destaca.

SSH puede llevar otro tráfico dentro de su conexión cifrada, así que quien pueda abrir una conexión SSH saliente puede tunelizar casi cualquier cosa por ella. Un reenvío de puertos hace accesible desde fuera un servicio interno, o desde dentro un servicio externo, sin que cambie ninguna regla del cortafuegos; un reenvío dinámico convierte la conexión SSH en un proxy para todo el tráfico de un usuario. Los atacantes lo usan para mantener el acceso remoto y sacar datos sin llamar la atención. Reduzca el riesgo: permita SSH saliente solo desde los equipos que lo necesitan y solo hacia destinos conocidos, desactive los reenvíos en sus servidores SSH donde no hagan falta y trate como sospechosa una sesión SSH larga desde un puesto de trabajo hacia una dirección de internet desconocida. Un sensor de red no ve dentro del túnel, pero sí ve el túnel: NetSenX marca las conexiones largas o regulares con equipos externos como beaconing y las grandes transferencias como volumen saliente inusual, en todos los planes.

Sí, SSH está pensado para redes no fiables: la conexión va cifrada y el servidor demuestra su identidad con su clave de host. El punto débil es aceptar una clave de host equivocada. La primera vez que se conecte, y cada vez que SSH avise de que una clave de host ha cambiado, compare la huella con una obtenida por otro canal antes de seguir; en la red de una cafetería, una clave cambiada es motivo para parar. Use acceso con clave en lugar de contraseña, proteja su clave privada con una frase de paso y mantenga actualizado el cliente SSH. Mejor aún, conéctese a través de la VPN de la empresa o de la conexión compartida de su teléfono, para que la red de la cafetería solo vea un túnel cifrado. NetSenX no ve las redes Wi-Fi públicas. Ve la sesión SSH cuando llega a un servidor monitorizado, y detecta los intentos de inicio de sesión repetidos y las sesiones inusuales que afectan a ese servidor, en todos los planes.

Pone ese servidor directamente en internet, donde los escaneos automáticos lo encuentran enseguida y los ataques no paran nunca, así que es tan peligroso como débiles sean el servicio y su mantenimiento. Un puerto redirigido a un servidor web que se parchea cada semana es un riesgo manejable; un puerto redirigido a un NAS, a un grabador de cámaras, al escritorio remoto o a una máquina de pruebas antigua es una vía de entrada habitual en las pequeñas oficinas. Prefiera las alternativas: una VPN para el personal, un servicio alojado en la nube o un proxy inverso en un segmento de red aparte. Si tiene que redirigir, redirija un puerto a un único equipo reforzado, actualizado, con autenticación fuerte, accesos registrados y aislado del resto de la red, para que un compromiso se quede allí. Revise en el router las redirecciones olvidadas y la apertura automática de puertos (UPnP), y desactívelas. NetSenX ve las conexiones entrantes a equipos monitorizados y detecta escaneos, intentos de inicio de sesión repetidos y movimiento lateral desde el equipo expuesto, en todos los planes.

Mírese desde fuera, con regularidad. Haga la lista de sus direcciones IP públicas y nombres de dominio, incluidos los servidores en la nube y la conexión a internet de la oficina, escanéelos después desde fuera de su red con un escáner de puertos de confianza y pregunte a su CERT nacional si ofrece un servicio de aviso de sistemas expuestos. Compare los puertos abiertos con lo que pretendía: todo lo que no sepa explicar, como un escritorio remoto, una base de datos, un NAS o la página de administración de un router, debe cerrarse o pasar detrás de una VPN. Repítalo tras cada cambio en el cortafuegos, el router o la nube, y revise los registros públicos de certificados en busca de subdominios olvidados. Escanee solo direcciones que sean suyas o que esté autorizado a probar. NetSenX no escanea sus direcciones públicas. Dentro de la red ve las conexiones entrantes a equipos monitorizados, en todos los planes, de modo que un servicio que responde de forma inesperada a conexiones externas, o un equipo escaneado o atacado con inicios de sesión repetidos, aparece en su tráfico.

Sí, y en una red de oficina suele ser un riesgo innecesario. Universal Plug and Play (UPnP) permite que cualquier dispositivo de la red pida al router que abra un puerto hacia internet, sin contraseña y sin avisar a nadie. A las videoconsolas y a las aplicaciones de vídeo les gusta; también a los dispositivos comprometidos y al malware, que lo usan para hacerse accesibles desde fuera. Las cámaras y los grabadores suelen abrir puertos así al instalarse. Desactive UPnP en el router de la oficina, y en los routers domésticos desde donde trabaja el personal, compruebe después qué puertos ya están redirigidos y elimine los que no sepa explicar. Algunos routers exponen además UPnP hacia el lado de internet por error, lo que es peor; un escaneo externo lo revela. Un sensor de red no ve la configuración del router, pero sí su efecto: NetSenX ve las conexiones entrantes desde internet a equipos monitorizados, de modo que un dispositivo que de repente recibe conexiones desde fuera destaca.

A menudo nadie hasta el lunes, y por eso a los atacantes les gustan los fines de semana y los festivos. La solución pasa menos por tener más gente y más por decidir de antemano qué merece despertar a alguien. La mayoría de las pequeñas empresas no pueden cubrir un turno de noche, así que elija unos pocos eventos que justifiquen una llamada, como un inicio de sesión de administrador correcto desde un lugar inusual, una sesión remota a un servidor de madrugada o una gran transferencia al exterior, y envíe solo esos a un teléfono. Todo lo demás puede esperar a la revisión de la mañana. Asegúrese de que su VPN y su proveedor de identidad envían las alertas de inicio de sesión a un sitio donde alguien las lea, y acuerde quién está de guardia en vacaciones. NetSenX detecta las 24 horas, las personas no: marca movimiento lateral, beaconing, escaneos y volumen saliente inusual en todos los planes y, desde el plan Pro, puede enviar las alertas a Slack o a un webhook para que lleguen a un teléfono. No ofrece un centro de operaciones de seguridad con personal.