# Zero trust, identidad y segmentación (FAQ)

> 45 preguntas sobre Zero trust, identidad y segmentación, en lenguaje claro: qué comprobar, qué muestra NetSenX y qué no ve un sensor.

Source page: https://netsenx.com/es/faq/zero-trust

## ¿Es realista el zero trust para una pequeña empresa?

Como dirección, sí; como producto que se compra, no. Zero trust significa no confiar en una conexión solo porque viene de dentro de la red: cada usuario y cada dispositivo demuestra quién es y recibe acceso solo a lo que necesita, comprobado una y otra vez. Una pequeña empresa llega lejos con pocos pasos: autenticación multifactor en todas las cuentas expuestas a internet, redes separadas para invitados, dispositivos IoT y servidores, derechos de administrador solo donde hacen falta y mediante cuentas de administración aparte, y una VPN o pasarela que llegue solo a los sistemas que usa cada grupo. Hágalo en ese orden; cada paso es útil por sí solo. La monitorización de red comprueba el resultado: NetSenX muestra qué equipos hablan realmente entre sí en los segmentos monitorizados, en todos los planes, de modo que un camino que no debería existir se hace visible.

https://netsenx.com/es/faq/is-zero-trust-realistic-for-a-small-business

## ¿Cómo comprobamos que la segmentación de la red funciona de verdad?

Pruébela desde los dos lados y después observe el tráfico real. Desde un equipo que no debería entrar, intente llegar al segmento protegido con una simple prueba de conexión, y desde dentro del segmento protegido compruebe a qué llega hacia fuera. Revise las reglas del cortafuegos entre segmentos en busca de permisos demasiado amplios, excepciones antiguas y reglas que nadie sabe explicar. Después vigile, porque las reglas se desvían: cada solicitud de cambio, cada aplicación nueva y cada visita de un proveedor puede añadir una excepción, y la prueba real son las conexiones que cruzan de verdad una frontera. Repita la prueba tras los cambios de red y al menos una vez al año. NetSenX muestra en su mapa de red la comunicación entre equipos de los segmentos monitorizados y marca como movimiento lateral las sesiones nuevas que no encajan con el comportamiento normal de un equipo, en todos los planes, así que un camino inesperado entre segmentos se ve la primera vez que se usa. Un camino que existe pero nunca se usa es invisible para cualquier sensor pasivo.

https://netsenx.com/es/faq/how-to-check-that-network-segmentation-works

## ¿Qué significa en la práctica «assume breach» (asumir la brecha)?

Significa planificar como si un atacante ya estuviera dentro, en lugar de confiar solo en mantenerlo fuera. La razón es práctica: el phishing, las contraseñas robadas y los accesos de proveedores hacen que el perímetro se cruce tarde o temprano, así que las preguntas pasan a ser hasta dónde llega un intruso y con qué rapidez lo detecta. En la práctica: limitar a qué llega cada cuenta y cada equipo, separar las cuentas de administración de las de uso diario, conservar registros y trazas de red el tiempo suficiente para investigar, mantener copias de seguridad fuera de línea, vigilar el movimiento dentro de la red y ensayar qué hará cuando llegue una alerta, incluido quién decide desconectar una máquina. La detección dentro de la red forma parte de ello: NetSenX vigila el tráfico entre equipos en busca de escaneos, movimiento lateral y beaconing, en todos los planes, de modo que los pasos de un intruso tras entrar se hacen visibles.

https://netsenx.com/es/faq/what-does-assume-breach-mean

## ¿Puede el control de acceso a la red (NAC) sustituir a la monitorización?

No, hacen trabajos distintos. El control de acceso a la red (NAC) decide qué dispositivos pueden unirse a la red y en qué segmento acaban, a menudo con 802.1X, certificados de dispositivo o una comprobación de su estado. No vigila lo que hace después un dispositivo admitido, y la mayoría de las intrusiones usan dispositivos y cuentas que entraron legítimamente: un portátil víctima de phishing, la cuenta de un proveedor, una impresora con firmware antiguo. Use ambos si puede: NAC para dejar fuera los dispositivos desconocidos y colocar los conocidos en su sitio, y monitorización para ver cuándo un dispositivo conocido empieza a comportarse como un intruso. En una pequeña empresa, el NAC puede empezar de forma sencilla, con seguridad de puertos en los switches y Wi-Fi con certificados. NetSenX cubre la parte de monitorización: detecta escaneos, movimiento lateral y beaconing desde dispositivos admitidos en todos los planes, y su mapa de red muestra los dispositivos vistos en los segmentos monitorizados.

https://netsenx.com/es/faq/can-network-access-control-replace-monitoring

## ¿Contradice una VPN el zero trust?

Una VPN clásica lo hace en un aspecto: una vez conectado, el dispositivo del usuario suele estar dentro de la red con un acceso amplio, que es el modelo de «de confianza porque está dentro» del que se aleja el zero trust. Eso no significa que la VPN tenga que desaparecer mañana. Puede acercarla mucho al zero trust: exigir autenticación multifactor, dar a cada grupo acceso solo a los sistemas que necesita, comprobar antes de conectar que el dispositivo es un portátil de empresa gestionado y actualizado, y registrar cada sesión. Los productos de zero-trust network access (ZTNA) dan el paso siguiente y conectan al usuario con una aplicación cada vez en lugar de con la red. En cualquier caso, asuma que una sesión VPN puede ser abusada y vigile lo que hace. Con un sensor en un puerto SPAN o TAP detrás de la pasarela VPN, NetSenX detecta escaneos, movimiento lateral y beaconing desde los dispositivos de los usuarios de la VPN, en todos los planes.

https://netsenx.com/es/faq/does-a-vpn-contradict-zero-trust

## ¿Qué es el zero-trust network access (ZTNA)?

ZTNA es una forma de dar a los usuarios remotos acceso a aplicaciones concretas en lugar de a toda la red. El usuario inicia sesión a través de un proveedor de identidad, el servicio comprueba al usuario, el dispositivo y a menudo su ubicación y estado, y solo entonces abre una conexión con esa única aplicación; el resto de la red sigue siendo invisible para el usuario. Muchos productos lo ofrecen como servicio en la nube con un pequeño conector dentro de su red, de modo que nada tiene que escuchar desde internet. En una pequeña empresa puede sustituir a la VPN para aplicaciones web y escritorio remoto, y facilita dar a un proveedor acceso a un sistema sin abrirle la red. No elimina la necesidad de vigilar el interior: un servidor de aplicaciones comprometido aún puede llegar a sus vecinos. NetSenX no ofrece ZTNA; detecta movimiento lateral y escaneos desde equipos de los segmentos monitorizados, en todos los planes.

https://netsenx.com/es/faq/what-is-zero-trust-network-access-ztna

## ¿Sigue haciendo falta un cortafuegos si tenemos zero trust o SASE?

Sí, en la mayoría de las oficinas. El secure access service edge (SASE) lleva a un servicio en la nube el filtrado web, el acceso remoto seguro y algunas funciones de cortafuegos, y el zero trust cambia cómo se concede el acceso, pero sigue necesitando algo que bloquee las conexiones no solicitadas desde internet hacia la oficina, separe los segmentos de red entre sí y controle a qué pueden llegar los servidores y dispositivos que nunca ejecutan el cliente SASE. Impresoras, cámaras, máquinas y muchos servidores no llevan agente y solo los protege la red que los rodea. Así que el papel del cortafuegos se reduce sin desaparecer: protección de entrada, segmentación y reglas de salida para dispositivos no gestionados. Mantenga sus reglas cortas y revisadas. NetSenX no sustituye a un cortafuegos ni a un servicio SASE y no bloquea nada. Vigila el tráfico que cruza los segmentos monitorizados y detecta escaneos, movimiento lateral, beaconing y volumen saliente inusual, en todos los planes, lo que le dice cuándo se está eludiendo alguna de las dos capas.

https://netsenx.com/es/faq/is-a-firewall-still-needed-with-zero-trust-or-sase

## ¿Cómo limitan la segmentación y el mínimo privilegio el movimiento lateral?

Reducen lo que un intruso puede alcanzar desde el primer dispositivo que toma. El movimiento lateral consiste en saltar de ese dispositivo a otros, normalmente con escritorio remoto, carpetas compartidas o herramientas de administración, y con contraseñas recogidas por el camino. La segmentación pone cortafuegos o reglas de acceso entre grupos de sistemas, de modo que un portátil de oficina comprometido ni siquiera puede abrir una sesión con el servidor de base de datos o el sistema de copias de seguridad. El mínimo privilegio se asegura de que las cuentas encontradas en ese portátil tampoco puedan iniciar sesión en los servidores, porque los usuarios normales no son administradores locales en todas partes y las cuentas de administración no se usan para el correo. Una lista de los equipos autorizados a usar protocolos de administración cierra todavía más el hueco. Nada de esto es perfecto, y por eso va unido a la detección. NetSenX marca como movimiento lateral las sesiones nuevas entre equipos por protocolos de administración que no encajan con el comportamiento normal de un equipo, en todos los planes, y desde el plan Pro las correlaciona entre equipos en una sola historia.

https://netsenx.com/es/faq/how-does-segmentation-limit-lateral-movement

## ¿Por dónde empiezo a segmentar una red de oficina plana?

Por los sistemas cuya pérdida más dolería y por los dispositivos en los que menos confía. Un orden práctico para una pequeña empresa: invitados y dispositivos personales en una red propia solo con acceso a internet; impresoras, cámaras, pantallas y otros dispositivos IoT en una red de dispositivos que no pueda iniciar conexiones con los PC; servidores, sobre todo copias de seguridad, servidores de archivos y el controlador de dominio, en una red de servidores a la que los PC solo lleguen por los puertos que necesitan; y un camino propio para la administración. Cada paso sirve por sí solo, y la mayoría de los switches gestionables y cortafuegos pueden hacerlo con VLAN y reglas. Antes de escribir reglas, mire quién habla de verdad con quién, para no romper una dependencia olvidada, como un escáner que guarda en una carpeta compartida. El mapa de red de NetSenX muestra los equipos de los segmentos monitorizados y quién habla con quién, en todos los planes, lo que le da esa imagen de partida y después muestra si las nuevas fronteras se mantienen.

https://netsenx.com/es/faq/where-to-start-segmenting-a-flat-office-network

## ¿Cómo separo IT y OT con VLAN y listas de acceso?

Use VLAN para separar las redes y un cortafuegos, no solo listas de acceso del switch, para controlar lo que pasa entre ellas. Ponga los controladores de producción, los HMI y los servidores SCADA en sus propias VLAN, coloque un cortafuegos entre ellos y la red de oficina y añada una pequeña DMZ para los sistemas que necesitan ambos lados, como una copia del historian o una pasarela de acceso remoto. Escriba las reglas como lista de permitidos: qué equipo de oficina puede llegar a qué equipo OT, por qué puerto, y nada más; deniegue y registre el resto. Las listas de acceso del switch sirven para separaciones sencillas dentro de OT, pero no llevan estado de las conexiones y es fácil equivocarse a gran escala. Planifique el cambio con el ingeniero OT y en una ventana de mantenimiento, porque una dependencia pasada por alto puede parar una línea. Después vigile la frontera: desde el plan Pro, NetSenX marca el tráfico que cruza niveles de la red de planta, desde un puerto SPAN o TAP, sin sondear ningún dispositivo OT.

https://netsenx.com/es/faq/how-to-segment-it-and-ot-with-vlans-and-acls

## ¿Qué es la microsegmentación y la necesitan las pequeñas empresas?

La microsegmentación consiste en controlar el tráfico entre servidores o cargas de trabajo concretos, no solo entre zonas de la red, de modo que dos servidores del mismo segmento no puedan hablar entre sí si una regla no lo permite. Suele hacerse con cortafuegos de equipo, grupos de seguridad del hipervisor o de la nube, o un agente que aplica la política en cada máquina. Es muy eficaz contra un intruso que pasa de un servidor a otro, y habitual en centros de datos y en la nube. La mayoría de las pequeñas empresas sacan primero más partido de una segmentación normal: redes separadas para invitados, dispositivos, usuarios y servidores. Si tiene muchos servidores, la versión barata de la microsegmentación es activar el cortafuegos de cada servidor y permitir solo las conexiones que necesita. Elija lo que elija, deje que el tráfico real guíe las reglas. El mapa de red de NetSenX muestra qué equipos hablan entre sí en los segmentos monitorizados, en todos los planes, y las alertas de movimiento lateral muestran sesiones que no encajan con el comportamiento normal de un equipo.

https://netsenx.com/es/faq/what-is-microsegmentation

## ¿Es una VLAN una frontera de seguridad?

Solo cuando el tráfico entre VLAN pasa por un cortafuegos o por reglas de acceso que imponen algo. Una VLAN por sí sola separa dominios de difusión en un switch; si el router entre VLAN lo permite todo, la separación es cosmética, y es un hallazgo frecuente en redes pequeñas. Los puertos de switch mal configurados también pueden permitir a un atacante saltar entre VLAN, por ejemplo puertos trunk abiertos a dispositivos de usuario o la VLAN por defecto usada para todo. Para que las VLAN cuenten: enrute entre ellas a través de un cortafuegos con lista de permitidos, configure los puertos de usuario en una sola VLAN de acceso, desactive los puertos sin uso y mantenga las interfaces de gestión en su propia VLAN. Después compruebe con tráfico real que las reglas se cumplen. NetSenX muestra las conexiones entre equipos de los segmentos monitorizados y detecta escaneos y movimiento lateral en todos los planes, de modo que un equipo que cruza de una VLAN a otra donde no debe se hace visible, siempre que ese tráfico pase por un enlace replicado.

https://netsenx.com/es/faq/is-a-vlan-a-security-boundary

## ¿Cómo compruebo que el Wi-Fi de invitados no llega a nuestra red interna?

Conéctese a la red de invitados con un teléfono o un portátil e intente llegar a sistemas internos: abra la dirección de un servidor de archivos, la página web de una impresora, la página de administración del router y el servidor de nombres interno de la oficina. En su propia red, una simple prueba de conexión o un ping a los rangos de direcciones internos muestra si algo responde. Después revise la configuración: aislamiento de clientes activado, red de invitados en su propia VLAN o en un puerto del router aparte, solo acceso a internet y la interfaz de administración del sistema Wi-Fi inaccesible desde ella. Repítalo tras cada cambio en el sistema Wi-Fi, porque las actualizaciones de firmware y los puntos de acceso nuevos pueden restablecer la configuración. Si el segmento de invitados está monitorizado, NetSenX muestra los dispositivos invitados en el mapa de red y marca cualquier sesión suya hacia equipos internos, así como escaneos o movimiento lateral, en todos los planes. Un dispositivo invitado que llega a un servidor interno aparece como una conexión que no debería existir.

https://netsenx.com/es/faq/how-to-check-guest-wifi-cannot-reach-the-internal-network

## ¿Basta con un Wi-Fi de invitados separado para la seguridad?

Es un buen primer paso, pero solo si está separado de verdad y no es la única separación que tiene. Una red de invitados con nombre propio pero con el mismo rango de direcciones y sin reglas entre ella y la oficina no está separada en absoluto; compruebe que está aislada y que solo ofrece acceso a internet. Además, solo protege frente a las visitas: los teléfonos del personal, los televisores inteligentes y la cafetera suelen acabar en la red de la oficina. Ponga los dispositivos personales y los IoT en la red de invitados o en una red de dispositivos, mantenga los portátiles de empresa en una red con autenticación por certificado o por usuario, cambie con regularidad la contraseña de invitados y no deje que la red de invitados llegue a las interfaces de administración del propio Wi-Fi. Después confírmelo con tráfico real. Si el segmento de invitados está monitorizado, NetSenX muestra sus dispositivos en el mapa de red y marca cualquier conexión suya hacia equipos internos, escaneos o movimiento lateral, en todos los planes.

https://netsenx.com/es/faq/is-a-separate-guest-wifi-enough

## ¿Puede alguien conectar un dispositivo a una toma de red libre de nuestra oficina?

En la mayoría de las pequeñas oficinas, sí: una toma activa en una sala de reuniones, en recepción o detrás de una impresora da a quien conecte un dispositivo el mismo acceso a la red que un PC de la empresa. Un pequeño ordenador escondido ahí puede comunicarse con su dueño y servir de puerta a la red durante meses. Ciérrelo con medidas sencillas: desactive los puertos del switch y las tomas de pared que no se usan, ponga salas de reuniones y recepción en la red de invitados, use la seguridad de puertos para permitir solo dispositivos conocidos en un puerto, o 802.1X para que un dispositivo tenga que autenticarse antes de obtener cualquier acceso. Recorra la oficina de vez en cuando y revise los switches en busca de dispositivos desconocidos. NetSenX ayuda a encontrar lo que ya entró: su mapa de red muestra los dispositivos vistos en los segmentos monitorizados, también los que no tienen agente, en todos los planes, y un dispositivo oculto que llama al exterior a intervalos regulares se marca como beaconing. Un dispositivo que permanece en silencio, o que está en un segmento no monitorizado, no se ve.

https://netsenx.com/es/faq/can-someone-plug-a-device-into-a-free-network-socket

## ¿Qué es 802.1X y lo necesita una oficina pequeña?

802.1X es un estándar que obliga a un dispositivo a demostrar su identidad antes de que un puerto del switch o una red Wi-Fi le deje entrar, normalmente con un certificado o un nombre de usuario y una contraseña que comprueba un servidor de autenticación. Un dispositivo que no lo supera no obtiene acceso o acaba en una red de invitados restringida. Es la forma más eficaz de impedir que dispositivos desconocidos simplemente se conecten, y en el Wi-Fi sustituye una contraseña compartida por credenciales por usuario o por dispositivo, de modo que el acceso de quien se va puede revocarse por separado. Necesita switches y puntos de acceso que lo admitan, un servidor de autenticación, a menudo incluido en servicios de identidad en la nube o en cortafuegos, y algo de cuidado con las impresoras y los dispositivos que no pueden autenticarse. Muchas oficinas pequeñas empiezan con 802.1X solo en el Wi-Fi y seguridad de puertos en las tomas con cable. NetSenX no impone el acceso a la red; su mapa de red muestra los dispositivos vistos en los segmentos monitorizados, en todos los planes, lo que ayuda a encontrar los que se le escaparon a su control de acceso.

https://netsenx.com/es/faq/what-is-802-1x-and-does-a-small-office-need-it

## ¿Basta la autenticación multifactor para evitar el robo de cuentas?

Detiene la mayoría, pero no todos. La autenticación multifactor (MFA) bloquea los ataques que dependen solo de una contraseña robada o adivinada, por eso la piden las aseguradoras y NIS2 la incluye entre sus medidas. Los atacantes se han adaptado: usan páginas de inicio de sesión falsas que reenvían el código en tiempo real, roban la cookie de sesión tras el inicio de sesión, inundan al usuario de solicitudes push hasta que acepta una o convencen al servicio de soporte de que restablezca un teléfono. Suba el listón: prefiera métodos resistentes al phishing, como las claves de acceso (passkeys) o las llaves de seguridad físicas, sobre todo para administradores y finanzas; use la coincidencia de números en las notificaciones push; limite la duración de las sesiones; y haga que el soporte verifique la identidad antes de restablecer la MFA. Vigile los registros de inicio de sesión en busca de inicios de sesión de riesgo. Un sensor de red no ve los inicios de sesión. Lo que muestra NetSenX es lo que hace después en la red el dispositivo de una cuenta robada, como movimiento lateral, escaneos o grandes subidas, en todos los planes.

https://netsenx.com/es/faq/is-mfa-enough-to-stop-account-takeover

## ¿Cuenta un despliegue parcial de MFA para aseguradoras y auditores?

Normalmente no como «MFA implantada», y una respuesta imprecisa en un formulario puede dar problemas más adelante. Los cuestionarios de las aseguradoras y los auditores suelen preguntar dónde se exige la MFA: correo, acceso remoto, aplicaciones en la nube, cuentas de administrador y copias de seguridad. Si la MFA cubre el correo pero no la VPN, o a los usuarios pero no a los administradores, dígalo con exactitud, porque la tramitación de un siniestro lo comprobará. Cierre primero los huecos que más usan los atacantes: acceso remoto, correo, cuentas de administrador y la consola de copias de seguridad, y después el resto de las aplicaciones en la nube. Elimine las excepciones que ya no hacen falta y documente las que mantenga, con un motivo y una fecha de fin. Las cuentas de servicio que no pueden usar MFA deben limitarse a orígenes conocidos y vigilarse en su lugar. NetSenX no comprueba la cobertura de MFA; eso lo informa su proveedor de identidad. Lo que NetSenX aporta a las pruebas es la parte de red: un historial de alertas con marcas de tiempo para los segmentos monitorizados, conservado durante el periodo de retención de su plan.

https://netsenx.com/es/faq/does-a-partial-mfa-rollout-count

## ¿Qué métodos de MFA resisten el phishing?

Las claves de acceso (passkeys) y las llaves de seguridad físicas basadas en el estándar FIDO2, y las tarjetas inteligentes con certificados. Resisten el phishing porque la llave comprueba la dirección web con la que habla y no responde a un sitio falso, así que no hay ningún código que el usuario pueda escribir en el sitio equivocado. Las aplicaciones de autenticación con coincidencia de números son una buena segunda opción; los códigos por SMS y las notificaciones push simples de aceptar o rechazar son los más débiles, porque una página falsa convincente o un usuario cansado pueden entregarlos. Empiece por las cuentas que más importan: administradores, finanzas, dirección y cualquiera con acceso a copias de seguridad o datos de clientes. Tenga una llave de repuesto por persona y un procedimiento de recuperación documentado, para que una llave perdida no acabe en un restablecimiento precipitado e inseguro. La MFA vive en su proveedor de identidad, no en la red. NetSenX no ve los inicios de sesión; muestra lo que hacen los dispositivos en los segmentos monitorizados después de usarse cualquier cuenta.

https://netsenx.com/es/faq/which-mfa-methods-resist-phishing

## ¿Qué es la fatiga de MFA o push bombing?

Es un ataque en el que alguien que ya tiene la contraseña de un usuario lanza un inicio de sesión tras otro, de modo que el teléfono del usuario se llena de solicitudes de aprobación, a menudo de noche, hasta que pulsa «aprobar» para que paren. A veces el atacante también llama o escribe al usuario haciéndose pasar por informática. Funciona contra las notificaciones push simples de aceptar o rechazar. Las defensas están del lado de la identidad: active la coincidencia de números, para que el usuario tenga que escribir un número que aparece en la pantalla de inicio de sesión; muestre la ubicación y la aplicación en la notificación; limite el número de solicitudes por minuto; genere alertas ante rechazos repetidos; y explique al personal que una solicitud inesperada significa que alguien conoce su contraseña, así que debe rechazarla y llamar a informática. Mejor aún, pase las cuentas clave a passkeys o llaves físicas. Un sensor de red no ve estas solicitudes. NetSenX muestra lo que ocurre si un atacante entra: sesiones inusuales, escaneos o subidas desde el dispositivo del usuario en los segmentos monitorizados, en todos los planes.

https://netsenx.com/es/faq/what-is-mfa-fatigue-or-push-bombing

## ¿Quién tiene derechos de administrador en nuestra empresa y cómo lo comprobamos?

Normalmente más personas y cuentas de las que nadie cree, así que elabore la lista a partir de los propios sistemas, no de memoria. Revise los grupos de administradores de su directorio o de su proveedor de identidad en la nube, los administradores locales de PC y servidores, los roles de administración de cada aplicación en la nube, como correo, contabilidad y archivos compartidos, las cuentas de administración de cortafuegos, switches, Wi-Fi y copias de seguridad, y las cuentas que usa su proveedor de informática. Busque antiguos empleados, cuentas compartidas, cuentas sin inicio de sesión desde hace meses y cuentas de servicio con derechos de administración. Después reduzca: elimine lo que nadie necesita, dé a los administradores una cuenta de administración aparte, exija en todas MFA resistente al phishing y repita la revisión cada trimestre y cada vez que alguien se vaya. Es trabajo de identidad, y un sensor de red no puede listar los derechos de administrador. NetSenX ayuda desde el otro lado: marca como movimiento lateral el uso de protocolos de administración entre equipos que no encaja con su comportamiento normal, en todos los planes.

https://netsenx.com/es/faq/how-to-find-out-who-has-admin-rights

## ¿Qué significa en la práctica el mínimo privilegio?

Significa que cada persona, cuenta y sistema recibe solo el acceso que necesita para su trabajo, durante el tiempo que lo necesita, y nada más. En la práctica, en una pequeña empresa: el personal no es administrador local de su PC; los administradores usan una cuenta de administración aparte para las tareas de administración y una normal para el correo y la navegación; las carpetas compartidas están abiertas a los equipos que las usan, no a todo el mundo; los proveedores reciben acceso a los sistemas que mantienen, activado cuando hace falta; las cuentas de servicio solo tienen los derechos que necesita su aplicación; y los accesos se revisan cuando alguien cambia de puesto o se va. La recompensa es que una contraseña robada o un portátil infectado llegan mucho menos lejos. También reduce el ruido: un acceso inusual destaca más cuando el acceso normal es estrecho. NetSenX vigila la parte de red: marca como movimiento lateral las sesiones nuevas entre equipos que no encajan con su comportamiento normal, en todos los planes, lo que a menudo revela accesos que nadie quiso conceder.

https://netsenx.com/es/faq/what-is-least-privilege-in-practice

## ¿También hay que vigilar las cuentas de servicio y los tokens de API?

Sí, y a menudo son las cuentas menos vigiladas de la empresa. Las cuentas de servicio ejecutan copias de seguridad, escaneos, integraciones y tareas programadas, muchas veces con derechos amplios, contraseñas que nunca cambian y sin autenticación multifactor. Los tokens y las claves de API de servicios en la nube están en scripts, archivos de configuración y repositorios de código, donde un atacante que encuentre uno puede usarlo desde cualquier lugar. Lleve un inventario con un responsable para cada uno, deles solo los derechos que necesitan, guarde los secretos en un almacén y no en archivos, rótelos según un calendario y de inmediato cuando se va alguien con acceso a ellos, limite desde dónde pueden usarse y genere una alerta cuando se use alguno desde un lugar o a una hora inusual; lo muestran los registros de identidad y de la nube. En la red, una cuenta de servicio siempre se usa desde algún equipo: NetSenX marca ese equipo cuando empieza sesiones nuevas con otros equipos, escanea o sube volúmenes inusuales, en todos los planes. No ve el token en sí dentro del tráfico cifrado.

https://netsenx.com/es/faq/do-service-accounts-and-api-tokens-need-monitoring

## ¿Son un problema las cuentas de administración compartidas y qué hacemos en su lugar?

Sí. Cuando varias personas usan una misma cuenta de administración, después nadie puede decir quién hizo qué, la contraseña rara vez se cambia cuando alguien se va y la autenticación multifactor es difícil de vincular a una persona, así que la cuenta a menudo se queda sin ella. Dé a cada administrador, incluido el personal de su proveedor de informática, una cuenta de administración nominal con MFA resistente al phishing, y elimine o desactive la compartida. Donde una cuenta integrada no pueda eliminarse, como el administrador local de los PC o la cuenta de emergencia de un cortafuegos, dé a cada máquina una contraseña aleatoria única gestionada por una herramienta, guarde precintadas las credenciales de emergencia y genere una alerta cuando se usen. Registre las acciones de administración por persona y revise cada trimestre la lista de cuentas de administración. Un sensor de red no puede saber qué persona usó una cuenta. NetSenX muestra desde qué equipo empiezan las sesiones de administración y marca como movimiento lateral las que no encajan con el comportamiento normal de un equipo, en todos los planes, de modo que una cuenta compartida usada desde una máquina extraña destaca.

https://netsenx.com/es/faq/how-to-handle-shared-admin-accounts

## ¿Son seguros los gestores de contraseñas para una empresa?

Sí, para la mayoría de las empresas son mucho más seguros que las alternativas: contraseñas reutilizadas, hojas de cálculo y notas adhesivas. Un buen gestor de contraseñas empresarial permite que cada persona use contraseñas largas y únicas, comparte las credenciales del equipo sin enviarlas por correo y retira el acceso de quien se va en un solo paso. El almacén pasa a ser valioso, así que protéjalo: exija para él MFA resistente al phishing, elija un proveedor que cifre el almacén de forma que él mismo no pueda leer su contenido, compruebe dónde se guardan sus datos, bloquee el acceso al almacén desde dispositivos no gestionados si el producto lo permite y documente el procedimiento de recuperación. No guarde las credenciales de administración del propio gestor de contraseñas solo dentro de él. Un gestor de contraseñas no detiene el phishing por sí solo, aunque ayuda, porque no rellena una contraseña en un sitio falso. NetSenX no ve contraseñas ni almacenes; vigila lo que hacen los dispositivos en la red.

https://netsenx.com/es/faq/are-password-managers-safe-for-a-company

## ¿Qué hace buena una política de contraseñas en la empresa?

La longitud, la unicidad y la autenticación multifactor, en lugar de reglas de complejidad y cambios mensuales obligatorios. Las directrices de identidad digital del NIST (SP 800-63B) favorecen las contraseñas largas, comprobar las nuevas contraseñas frente a listas de contraseñas filtradas y cambiar una contraseña cuando hay indicios de que se ha comprometido, no según un calendario fijo, porque los cambios periódicos forzados empujan a la gente hacia patrones previsibles. En la práctica: una longitud mínima que permita frases de contraseña, ninguna reutilización entre sistemas, un gestor de contraseñas para todos, bloqueo de contraseñas filtradas y comunes, bloqueo o ralentización tras fallos repetidos y MFA en todo lo que esté expuesto a internet. Las cuentas de administración y de servicio merecen contraseñas más largas, generadas al azar y guardadas en un almacén. Explique los motivos al personal; una política que se entiende se cumple más. NetSenX no impone contraseñas. En la red marca como fuerza bruta los intentos de inicio de sesión repetidos contra equipos monitorizados, en todos los planes, lo que muestra cuándo alguien está adivinando.

https://netsenx.com/es/faq/what-makes-a-good-company-password-policy

## ¿Qué es el inicio de sesión único (SSO) y mejora la seguridad?

El inicio de sesión único (SSO) permite a las personas iniciar sesión una vez con una cuenta de empresa en un proveedor de identidad y usar después muchas aplicaciones sin contraseñas separadas, normalmente mediante los estándares SAML u OpenID Connect. Bien implantado, mejora la seguridad: menos contraseñas que reutilizar o robar, un único lugar para imponer la MFA y las reglas de dispositivos, un único lugar para ver los inicios de sesión y un único interruptor que apagar cuando alguien se va, lo que cierra a la vez el acceso a todas las aplicaciones conectadas. La otra cara es la concentración: el proveedor de identidad se convierte en la llave de todo, así que proteja sus cuentas de administración con MFA resistente al phishing, guarde precintada una cuenta de acceso de emergencia y vigile sus registros de inicio de sesión. Las aplicaciones fuera del SSO conservan sus propias contraseñas; haga una lista para que las bajas no las olviden. El SSO es infraestructura de identidad, no monitorización de red, y NetSenX no ve los inicios de sesión. Muestra lo que hacen los dispositivos en la red después de que alguien inicie sesión.

https://netsenx.com/es/faq/what-is-single-sign-on-and-does-it-improve-security

## ¿Cómo vigilamos el acceso remoto de una asesoría contable externa a nuestros PC?

Primero haga que el acceso sea estrecho y visible, y después vigílelo. Acuerde por escrito a qué PC pueden llegar los contables, con qué herramienta, en qué horario y con qué cuentas, idealmente una cuenta nominal por persona con autenticación multifactor. Prefiera una herramienta de acceso remoto que usted controle, con registro de sesiones, a una que haya instalado el contable; actívela para la ventana del cierre de mes y desactívela después. Mantenga los PC de contabilidad en un segmento que no pueda llegar al resto de la red. Pregunte a la asesoría cómo protege sus propios sistemas, porque su compromiso se convierte en el suyo. Después vigile el patrón: las sesiones remotas aparecen en la red como conexiones desde una dirección externa hacia equipos internos concretos en horas concretas. NetSenX muestra esas conexiones y, si una sesión empieza a llegar a otros equipos internos, marca movimiento lateral, en todos los planes; las conexiones periódicas de una herramienta remota fuera de la ventana acordada aparecen como beaconing. NetSenX no gestiona quién tiene acceso.

https://netsenx.com/es/faq/how-to-monitor-an-external-accountants-remote-access

## ¿Qué pasa si hackean a nuestro proveedor de informática o a nuestra asesoría contable?

Su acceso se convierte en el acceso del atacante. Un proveedor de informática suele tener derechos de administración en sus servidores, herramientas de gestión remota en cada PC y contraseñas de sus cuentas en la nube; una asesoría puede tener acceso remoto a los PC de contabilidad y a su banca en línea. Los atacantes lo saben, y algunos incidentes graves se han extendido desde un proveedor de servicios a muchos de sus clientes. Prepárese antes de que ocurra: haga la lista de cada proveedor con acceso y de lo que alcanza, exija cuentas nominales con autenticación multifactor, limite sus herramientas a los sistemas que atienden, pregunte cómo protegen su propio entorno y cómo le avisarán de un incidente, y ponga esas obligaciones en el contrato, algo que NIS2 también espera dentro de la seguridad de la cadena de suministro. Acuerde cómo cortaría su acceso en una emergencia. NetSenX muestra las conexiones del proveedor con su red y detecta movimiento lateral, escaneos, beaconing y volumen saliente inusual desde los equipos que usa, en todos los planes. No vigila los sistemas del propio proveedor.

https://netsenx.com/es/faq/what-happens-if-our-outsourced-it-or-bookkeeper-is-hacked

## ¿Cómo encuentro herramientas de acceso remoto antiguas que los proveedores dejaron en nuestros servidores?

Combinando el inventario de software con el tráfico de red. En cada servidor, liste los programas instalados y los servicios en ejecución y busque herramientas de escritorio remoto y de soporte remoto, clientes VPN y agentes de plataformas de gestión remota; pregunte a cada proveedor qué herramientas instaló, cuándo y si las sigue usando. En la red, busque lo que hacen esas herramientas incluso en reposo: conexiones periódicas con los servidores de retransmisión del fabricante, o conexiones desde una dirección en la nube que nadie de su lado sabe explicar. Elimine lo que ya no se necesita, ponga lo necesario detrás de su propio camino de acceso controlado y cambie las contraseñas que conocía el proveedor. NetSenX marca esas conexiones periódicas como beaconing en todos los planes y coloca los destinos externos en servidores en la nube alquilados en su cola de revisión, donde usted los confirma, los marca como sospechosos o los deja para más tarde. Cuando el agente se ejecuta en el servidor, la alerta también indica el programa local.

https://netsenx.com/es/faq/how-to-find-old-remote-access-tools-suppliers-left-on-servers

## ¿Cómo controlamos y vigilamos el acceso de proveedores externos a nuestra red?

Con un único camino controlado, cuentas nominales y un registro de cada sesión. Lleve un registro de los proveedores con acceso: quiénes son, a qué sistemas llegan, con qué herramienta y bajo qué contrato. Haga pasar todo acceso de proveedores por una pasarela, una VPN o un bastión que sean suyos, con autenticación multifactor y una cuenta personal por técnico; active el acceso en ventanas acordadas y desactívelo después; y registre o grabe las sesiones. Revise el registro cada trimestre y elimine los accesos que ya no se usan. Exija a los proveedores que le informen de incidentes en su lado y compruebe que puede cortar su acceso con rapidez. En la red, las sesiones de proveedores deberían empezar entonces solo desde ese único camino. NetSenX muestra las conexiones, detecta movimiento lateral y escaneos desde los equipos que usan los proveedores, en todos los planes, y coloca los destinos externos en servidores en la nube alquilados en su cola de revisión, de modo que una herramienta que se salta su camino se hace visible.

https://netsenx.com/es/faq/how-to-monitor-third-party-vendor-access

## ¿Qué significa en la práctica la seguridad de la cadena de suministro de NIS2 para una pequeña empresa?

Significa gestionar los riesgos de ciberseguridad que vienen de sus proveedores y prestadores de servicios como parte de su propia gestión de riesgos. La Directiva (UE) 2022/2555 incluye la seguridad de la cadena de suministro entre las medidas de su artículo 21, incluida la seguridad de las relaciones con proveedores y prestadores de servicios directos. En la práctica, para una entidad incluida en su ámbito: saber qué proveedores tienen acceso a sus sistemas o datos, evaluar lo crítico que es cada uno, exigir en los contratos medidas de seguridad básicas y la notificación de incidentes, limitar y controlar su acceso y revisar todo ello con regularidad. Si usted es proveedor de una entidad sujeta a NIS2, cuente con que le pidan pruebas parecidas aunque NIS2 no se le aplique directamente. Las transposiciones nacionales pueden añadir detalles, así que consulte la ley de su país. NetSenX no evalúa proveedores. Muestra lo que hace su acceso en su red monitorizada: conexiones, movimiento lateral, escaneos y beaconing desde los equipos que usan, en todos los planes.

https://netsenx.com/es/faq/what-is-nis2-supply-chain-security-for-a-small-company

## ¿Cómo nos daríamos cuenta de que el dispositivo de un antiguo empleado sigue conectándose?

Sobre todo por las cuentas y en parte por la red. Del lado de la identidad: desactive las cuentas de la persona el último día, revoque los certificados VPN y las sesiones de las aplicaciones, quite sus dispositivos de la gestión de dispositivos, cambie las contraseñas compartidas que conocía y revise las reglas de reenvío del correo y los dispositivos personales registrados para la MFA. Después vigile los registros de inicio de sesión de esa cuenta y genere una alerta ante cualquier uso. Del lado de la red, un dispositivo que todavía tiene acceso, como un teléfono personal con la contraseña del Wi-Fi de la oficina o un PC de casa con un perfil VPN guardado, aparece cuando se conecta: el mapa de red de NetSenX muestra los dispositivos vistos en los segmentos monitorizados con su primera y última aparición, en todos los planes, así que un dispositivo que creía desaparecido vuelve a aparecer, y la vista VPN muestra túneles y sesiones de pasarela. Cambie la contraseña del Wi-Fi o, mejor, use credenciales Wi-Fi por usuario, para que los dispositivos de quien se fue no puedan volver. NetSenX vigila dispositivos, no personas, y no sigue a un antiguo empleado.

https://netsenx.com/es/faq/how-would-we-notice-an-ex-employees-device-still-connecting

## ¿Cómo sabemos si se está usando una contraseña robada?

Sobre todo por los registros de inicio de sesión, porque recogen quién entró, desde dónde y cómo. Busque inicios de sesión desde países nuevos, dispositivos desconocidos o proveedores de hosting, inicios de sesión correctos justo después de muchos fallidos, métodos de MFA recién registrados, reglas nuevas de reenvío de correo y accesos a aplicaciones que la persona nunca usa. La mayoría de los proveedores de identidad y de las suites ofimáticas en la nube pueden marcar los inicios de sesión de riesgo; actívelo y asegúrese de que alguien lea las alertas. Consulte los servicios públicos de aviso de filtraciones para el dominio de su empresa y actúe ante sus avisos restableciendo la contraseña y comprobando si se reutilizaba. La red muestra la otra mitad: lo que el atacante hace con la cuenta. NetSenX detecta movimiento lateral, escaneos, beaconing y subidas inusuales desde dispositivos de los segmentos monitorizados, en todos los planes, y a menudo es así como un robo de cuenta se hace visible dentro de la empresa. No ve el inicio de sesión en sí ni lee contraseñas.

https://netsenx.com/es/faq/how-to-detect-a-stolen-password-being-used

## ¿Deberían los administradores usar cuentas separadas para las tareas de administración?

Sí. Un administrador que lee el correo y navega por la web con una cuenta de administración expone las llaves de todo a cada mensaje de phishing y a cada web maliciosa. Con una cuenta de administración aparte, usada solo para tareas de administración y nunca para el correo ni la navegación, una cuenta de uso diario comprometida le da al atacante mucho menos. Vaya más allá donde pueda: exija MFA resistente al phishing en las cuentas de administración, úselas solo desde un puesto de administración dedicado o un bastión, dé a cada cuenta de administración solo los derechos sobre los sistemas que gestiona y desactive las cuentas de administración que llevan meses sin usarse. Esto también se aplica al personal de su proveedor de informática. Es higiene de identidad que una herramienta de red no puede imponer. Sí afina la monitorización: cuando las sesiones de administración solo se esperan desde un puesto o un bastión, NetSenX marca como movimiento lateral los protocolos de administración usados desde otros equipos, en todos los planes.

https://netsenx.com/es/faq/should-admins-use-separate-accounts-for-admin-work

## ¿Qué es la gestión de accesos privilegiados (PAM) y la necesitamos?

La gestión de accesos privilegiados (PAM) es un conjunto de herramientas y prácticas para controlar las cuentas más poderosas: administradores, root, cuentas de servicio y cuentas de emergencia. Sus funciones típicas son un almacén que guarda y rota las contraseñas de administración, el préstamo de credenciales por un tiempo limitado, la grabación de sesiones, la aprobación antes del acceso y los derechos «justo a tiempo» que solo existen mientras dura una tarea. Los productos PAM completos encajan en empresas grandes y entornos regulados. Una pequeña empresa puede cubrir lo esencial sin ellos: un inventario de cuentas privilegiadas, cuentas de administración aparte con MFA resistente al phishing, contraseñas de administrador local únicas gestionadas por una herramienta, un bastión para la administración remota y una revisión trimestral. Elija un producto PAM cuando el número de administradores, proveedores o las exigencias de auditoría hagan que ese trabajo manual deje de ser fiable. NetSenX no es una herramienta PAM. La complementa mostrando dónde ocurren en la red las sesiones privilegiadas y marcando como movimiento lateral las que no encajan con el comportamiento normal de un equipo, en todos los planes.

https://netsenx.com/es/faq/what-is-privileged-access-management

## ¿Ve la monitorización de red los ataques contra cuentas y el directorio?

En parte, y NetSenX menos de lo que cabría esperar. Muchos ataques de identidad ocurren dentro de los sistemas de inicio de sesión: password spraying contra cuentas en la nube, phishing de códigos MFA, robo de tokens de sesión y abuso de permisos del directorio. Dejan rastro en los registros del proveedor de identidad, del directorio y de la nube, no en la red de su oficina, así que los detectan las herramientas que leen esos registros, como la detección de riesgos del proveedor de identidad, un EDR o un SIEM. Algunos ataques al directorio sí cruzan la red, por ejemplo un puesto que de repente pide muchos tickets de servicio al controlador de dominio, y herramientas especializadas vigilan esos protocolos. NetSenX no genera alertas sobre eventos de identidad. Lo que ve es el comportamiento de los dispositivos alrededor: los intentos de inicio de sesión repetidos contra equipos monitorizados como fuerza bruta, y el movimiento lateral, los escaneos y el beaconing que siguen al robo de una cuenta, en todos los planes. Úselo junto a sus registros de identidad, no en su lugar.

https://netsenx.com/es/faq/can-network-monitoring-see-identity-attacks

## ¿Exige NIS2 el zero trust?

No, NIS2 no menciona el zero trust, pero varias de las medidas que exige apuntan en la misma dirección. El artículo 21 de la Directiva (UE) 2022/2555 pide a las entidades incluidas medidas basadas en el riesgo que comprenden, entre otras, políticas de control de acceso, gestión de activos, uso de autenticación multifactor o autenticación continua, comunicaciones seguras y seguridad de la cadena de suministro. Las prácticas de zero trust, como verificar a cada usuario y dispositivo, conceder el mínimo privilegio y segmentar la red, son una forma práctica de cumplir esas medidas, pero la directiva le deja elegir el método, y las transposiciones y guías nacionales pueden añadir detalles; consulte la ley de su país. Lo que buscan los auditores es un análisis de riesgos documentado, medidas acordes con él y pruebas de que funcionan. NetSenX aporta pruebas del lado de la red: qué equipos hablan entre sí en los segmentos monitorizados y alertas de movimiento lateral, escaneos y beaconing, en todos los planes. No le hace cumplir la normativa.

https://netsenx.com/es/faq/does-nis2-require-zero-trust

## ¿Cómo limitamos a qué llega un portátil comprometido?

Asuma que un portátil acabará comprometido y decida de antemano qué poco debe poder tocar. Los portátiles normales rara vez necesitan hablar entre sí, así que bloquee el tráfico entre portátiles con el cortafuegos del equipo o la configuración de los switches; deje que lleguen a los servidores solo por los puertos que usan sus aplicaciones; mantenga fuera de su alcance las copias de seguridad, las interfaces de gestión y los caminos de administración del controlador de dominio; y asegúrese de que el usuario no sea administrador local, para que un malware no pueda desactivar fácilmente la protección ni recoger las contraseñas de otras cuentas. En la VPN, dé a cada grupo acceso solo a lo que necesita. Después compruebe el resultado con tráfico real, porque un conjunto de reglas sobre el papel suele tener huecos. NetSenX muestra qué equipos hablan entre sí en los segmentos monitorizados y marca como movimiento lateral las sesiones nuevas entre equipos que no encajan con el comportamiento normal de un portátil, junto con escaneos y beaconing, en todos los planes, así que ve adónde podría llegar todavía un portátil comprometido.

https://netsenx.com/es/faq/how-to-limit-what-a-compromised-laptop-can-reach

## ¿Deberían nuestros servidores poder conectarse a cualquier dirección de internet?

No. La mayoría de los servidores necesitan una lista corta de destinos de salida, como servidores de actualizaciones, un destino de copias de seguridad y unos pocos servicios de socios, y nada más. Un acceso de salida sin restricciones es lo que permite a un malware en un servidor contactar con su servidor de control, descargar herramientas y subir datos robados. Restrínjalo con filtrado de salida en el cortafuegos: permita los destinos que necesita cada servidor, haga pasar el acceso web por un proxy si lo tiene, y deniegue y registre el resto. Empiece en modo solo registro durante unas semanas para ver qué usan realmente los servidores y después endurezca. Las reglas basadas en dominios son más fáciles de mantener que las listas de direcciones, porque los servicios en la nube cambian de dirección. Lo mismo vale para impresoras, cámaras y dispositivos OT. NetSenX muestra a qué destinos externos se conectan los equipos monitorizados, detecta beaconing y volumen saliente inusual en todos los planes y coloca los destinos en servidores en la nube alquilados en su cola de revisión, lo que le da la lista que necesita para escribir las reglas.

https://netsenx.com/es/faq/should-servers-be-allowed-to-browse-the-internet

## ¿Cómo escribimos reglas de segmentación sin romper nada?

Basándolas en el tráfico observado, introduciéndolas por fases y conservando un camino de vuelta. Primero registre durante unas semanas quién habla de verdad con quién, incluidas las tareas que se ejecutan rara vez: copias de seguridad, nóminas, informes de cierre de mes, el escáner que guarda en una carpeta compartida. Redacte a partir de ahí reglas de permiso, revíselas con el responsable de cada sistema y decida qué conexiones observadas no deberían existir en absoluto. Después configure el cortafuegos para que registre lo que bloquearían las nuevas reglas, sin bloquear, e investigue cada coincidencia. Solo entonces aplíquelas, segmento a segmento, con un plan de vuelta atrás y alguien disponible. Mantenga documentado el conjunto de reglas, con un motivo y un responsable para cada regla. El mapa de red de NetSenX muestra la comunicación entre equipos de los segmentos monitorizados, en todos los planes, que es la imagen del tráfico observado que este método necesita, y sus alertas de movimiento lateral muestran después las sesiones que no encajan con la nueva normalidad.

https://netsenx.com/es/faq/how-to-build-allow-rules-from-real-traffic

## ¿Sigue siendo útil una DMZ para una pequeña empresa?

Sí, siempre que aloje algo a lo que deba llegar internet u otra red no fiable. Una zona desmilitarizada (DMZ) es un segmento de red aparte entre el exterior y su red interna, donde se colocan los sistemas que deben aceptar conexiones de fuera, como un servidor web, un relé de correo, una pasarela de acceso remoto o un servidor de transferencia de archivos. Si uno de ellos se ve comprometido, el atacante está en la DMZ, y las reglas del cortafuegos le impiden abrir conexiones hacia la red interna. La misma idea separa en las fábricas la red de oficina de la de producción. Muchas pequeñas empresas ya no alojan servicios públicos por sí mismas, y entonces la DMZ es pequeña o innecesaria; pero en cuanto redirige un puerto a un servidor interno, tiene un problema de DMZ sin DMZ. Mantenga los equipos de la DMZ actualizados y mínimos, y permita hacia dentro solo las conexiones concretas que necesitan. En un segmento monitorizado, NetSenX detecta movimiento lateral y escaneos desde un equipo de la DMZ hacia equipos internos, en todos los planes.

https://netsenx.com/es/faq/is-a-dmz-still-useful

## ¿Podemos segmentar la red de una oficina pequeña sin comprar hardware nuevo?

A menudo sí, al menos en parte. Revise lo que ya tiene: muchos routers y cortafuegos profesionales admiten VLAN y reglas entre ellas, muchos switches gestionables también, y la mayoría de los sistemas Wi-Fi pueden crear una red de invitados aparte con aislamiento de clientes. Si sus switches no son gestionables, empiece por lo que no los necesita: un Wi-Fi de invitados aislado para visitas y dispositivos personales, el cortafuegos de cada PC y servidor configurado para permitir solo lo necesario, el tráfico entre portátiles bloqueado y las carpetas compartidas limitadas a los grupos que las usan. Sustituya poco a poco los switches no gestionables, empezando por donde están los servidores y las copias de seguridad. Anote lo que separó y por qué, para que la siguiente persona no lo deshaga. Después compruebe con tráfico real que funciona. NetSenX muestra qué equipos hablan entre sí en los segmentos monitorizados, en todos los planes; un agente en un puerto SPAN o TAP, que requiere un switch capaz de replicar o un TAP, cuenta como un solo dispositivo para ese segmento.

https://netsenx.com/es/faq/how-to-segment-a-small-office-without-new-hardware

## ¿Cómo protegemos nuestro controlador de dominio o servidor de directorio?

Trátelo como el sistema más valioso que tiene, porque quien lo controla controla todas las cuentas. Limite quién puede iniciar sesión en él: solo unas pocas cuentas de administración nominales con MFA resistente al phishing, usadas desde un puesto de administración dedicado y nunca para el correo ni la navegación. Manténgalo actualizado, no ejecute nada más en él, bloquee su acceso a internet salvo lo que necesita y deje que los PC normales lleguen a él solo por los puertos que requiere la autenticación, no por escritorio remoto ni recursos compartidos de administración. Guarde una copia del directorio fuera de línea y probada, y un plan de recuperación documentado, porque reconstruir un directorio bajo presión es difícil. Revise con regularidad la pertenencia a los grupos de administradores y vigile los registros de seguridad del directorio con una herramienta que los lea. En la red, NetSenX marca como movimiento lateral las sesiones nuevas hacia el controlador de dominio que no encajan con el comportamiento normal de un equipo, como un PC de marketing que abre una sesión remota de madrugada, en todos los planes. No lee los registros del directorio.

https://netsenx.com/es/faq/how-to-protect-the-domain-controller

## ¿Significa zero trust vigilar a los empleados?

No. Zero trust consiste en no conceder acceso solo por confianza: cada dispositivo y cada cuenta demuestra quién es, recibe solo lo que necesita y su acceso se comprueba de forma continua. Se refiere a dispositivos, cuentas y conexiones, no al trabajo de las personas, y no exige leer el contenido de nadie. Sí implica registrar cosas, como los inicios de sesión, el estado de los dispositivos y las conexiones de red, así que sea transparente: explique al personal qué se registra, por qué y durante cuánto tiempo, implique a la representación de los trabajadores si la hay y haga una evaluación de impacto relativa a la protección de datos cuando la ley lo exija. Mantenga los datos al mínimo y la finalidad limitada a la seguridad. NetSenX está hecho así: vigila dispositivos y conexiones, no personas, analiza metadatos de conexión para detectar ataques, nunca descifra el tráfico y no puntúa ni clasifica a los empleados. Sus alertas indican equipos y direcciones; cuando una alerta necesita el contexto de una persona, ese paso queda dentro de su propio proceso.

https://netsenx.com/es/faq/does-zero-trust-mean-monitoring-employees

FAQ: https://netsenx.com/es/faq