Ransomware y seguridad perimetral: por dónde entran de verdad los ataques

Las cuatro puertas de siempre

Cuando auditamos la red de una empresa que acaba de sufrir un incidente, casi siempre encontramos una de estas cuatro cosas.

• Un escritorio remoto publicado directamente a internet, con contraseña y sin segundo factor
• Equipos de red o cámaras con el firmware de fábrica y sin actualizar desde su instalación
• Un correo con adjunto ejecutado por un usuario con permisos de administrador
• Copias de seguridad accesibles desde el mismo dominio que acaba de ser comprometido

Qué hace y qué no hace un firewall

Un firewall con inspección de tráfico cifrado, filtrado web y control de aplicaciones corta una parte importante de lo que llega. Pero un firewall mal configurado, con reglas heredadas de hace años y puertos abiertos «temporalmente», solo da sensación de seguridad.

Por eso, cuando entramos en una empresa, lo primero que revisamos no es la marca del equipo: es la lista de reglas, qué está publicado hacia fuera y quién lo aprobó.

La red por dentro también cuenta

La mayor parte del daño de un ransomware ocurre después de la entrada, moviéndose lateralmente. Separar en redes distintas los servidores, los puestos, la wifi de invitados y los dispositivos de planta reduce muchísimo el alcance de un incidente.

Es un trabajo de electrónica de red y configuración, no de comprar un producto nuevo.

Cómo lo dejamos montado

Nuestro planteamiento estándar combina perímetro, segmentación, actualizaciones y copia protegida, con revisión periódica y no como una instalación de una sola vez.

• Firewall con reglas revisadas y sin publicaciones directas a internet
• Acceso remoto siempre por VPN y con doble factor
• Segmentación de red por tipo de dispositivo
• Actualización programada de firmware de switches, antenas y cámaras
• Copia de seguridad con retención inmutable, fuera del alcance del dominio