Bloqueo de malware y phishing en el extremo de la red

Hola y bienvenidos a esta sesión técnica de Purple. Soy vuestro anfitrión y hoy vamos a analizar a fondo una decisión de arquitectura fundamental para los operadores de recintos: bloquear el malware y el phishing en el extremo de la red. Nos dirigimos a responsables de TI, arquitectos de red, directores de tecnología y directores de operaciones que gestionan redes en hoteles, cadenas de tiendas, estadios y recintos del sector público. Si gestionáis redes de WiFi para invitados o grandes redes públicas, sabéis perfectamente el dolor de cabeza que suponen los dispositivos no gestionados. No se puede instalar un agente de endpoint en el smartphone de un invitado y, desde luego, tampoco se puede controlar en qué enlaces hace clic. Entonces, ¿cuál es la solución? La protección en el extremo de la red. Al trasladar el punto de aplicación de la seguridad a la pasarela, se bloquean las amenazas antes incluso de que lleguen al dispositivo. Vamos a desglosar la arquitectura técnica empezando por el filtrado DNS. Cuando un dispositivo se conecta a vuestra red e intenta acceder a un dominio malicioso (por ejemplo, un enlace de phishing oculto en un SMS), la consulta DNS llega primero a vuestra pasarela de extremo. En lugar de resolver la dirección IP y permitir que fluya el tráfico, la pasarela de extremo comprueba el dominio con fuentes de inteligencia de amenazas en tiempo real. Si está marcado como malicioso, la solicitud DNS se desvía a un sumidero (sinkhole). La conexión se interrumpe antes de que se descargue un solo byte de malware. Esto es proactivo, no reactivo. Veamos un caso real. Imaginemos una gran cadena de tiendas que ofrece WiFi gratuito para invitados. Durante la temporada navideña, la afluencia de público se dispara y miles de dispositivos no gestionados se conectan a diario. Una campaña de phishing dirigida afecta a la región, imitando a un servicio de mensajería muy conocido. Sin protección en el extremo, un invitado hace clic en el enlace, su dispositivo se ve comprometido mientras está en vuestra red y, de repente, la reputación de vuestra IP cae en picado o, lo que es peor, se intenta un movimiento lateral contra vuestra VLAN de TPV. Con la protección en el extremo de la red, en el momento en que ese invitado hace clic en el enlace malicioso, se intercepta la consulta DNS. La pasarela de extremo detecta que el dominio se registró hace tres horas y que la inteligencia de amenazas lo ha marcado. La conexión se bloquea, el invitado ve una página de bloqueo segura y vuestra red sigue estando protegida. Sin necesidad de agentes de endpoint. Esta arquitectura también simplifica el cumplimiento normativo. Ya sea que os enfrentéis a PCI-DSS en el sector minorista, a GDPR en Europa o al cumplimiento de la IWF para redes de WiFi públicas en el Reino Unido, el filtrado en el extremo proporciona el registro centralizado y la aplicación de políticas necesarios para las auditorías. Dispondréis de un registro de auditoría completo de las consultas DNS y de las amenazas bloqueadas. Ahora, hablemos de la implementación. El error más común es el exceso de bloqueo, que genera tickets de soporte y frustra a los invitados. La clave está en la aplicación granular de políticas. No querréis un bloqueo generalizado de todos los dominios registrados recientemente si vuestro equipo de marketing crea con frecuencia sitios web de campaña temporales. Necesita un enfoque por capas. La capa 1 es la inteligencia de amenazas ascendente: bloquear actores maliciosos conocidos, servidores de comando y control de botnets y puntos de distribución de malware. La capa 2 es el filtrado de contenidos basado en categorías, garantizando el cumplimiento de las normativas locales. La capa 3 es el control de acceso, aplicando diferentes políticas en función del rol de usuario. Un invitado obtiene una política restrictiva, mientras que el personal del establecimiento en un SSID corporativo obtiene una política diferente. ¿Qué ocurre con el DNS cifrado? Protocolos como DNS sobre HTTPS (DoH) y DNS sobre TLS (DoT) pueden eludir el filtrado perimetral tradicional si no se gestionan correctamente. Su arquitectura de borde debe tener esto en cuenta, bien bloqueando los solucionadores de DoH públicos conocidos para forzar la vuelta a su DNS seguro, o bien implementando la inspección SSL para los dispositivos gestionados, aunque esto último no es viable para las redes de invitados. Para el WiFi de invitados, el enfoque estándar consiste en forzar el tráfico a través de su DNS seguro y bloquear los puertos alternativos. Pasemos a una ronda rápida de preguntas y respuestas basadas en las dudas más habituales de los clientes. Pregunta 1: ¿Añade latencia el filtrado perimetral? Respuesta: Mínima. Una pasarela de borde robusta almacena en caché las respuestas DNS y utiliza enrutamiento anycast al nodo de inteligencia de amenazas más cercano. La latencia añadida suele ser de milisegundos de un solo dígito, imperceptible para el usuario. Pregunta 2: ¿Cómo afecta esto al ROI? Respuesta: El ROI se mide en la reducción de incidentes y la simplificación de la gestión. Elimina el coste de las licencias por dispositivo de la seguridad de endpoints para los dispositivos BYOD. También reduce drásticamente las horas de soporte técnico dedicadas a investigar dispositivos comprometidos o a lidiar con direcciones IP en listas negras. Pregunta 3: ¿Puede esto proteger los dispositivos IoT? Respuesta: Sí. Este es un beneficio enorme. Las Smart TV de las habitaciones de hotel, la señalización digital en las tiendas o los terminales de punto de venta a menudo no pueden ejecutar agentes de endpoint. La protección perimetral los cubre automáticamente porque todo su tráfico debe pasar por la pasarela. En resumen, la protección exclusiva de endpoints es insuficiente para las redes de establecimientos modernas. Necesita un único punto de aplicación para todo el tráfico. La protección perimetral de la red es proactiva, rentable y cubre todos los dispositivos, gestionados o no gestionados. Es el estándar arquitectónico para un WiFi de invitados y redes de establecimientos seguros. Gracias por escuchar esta sesión informativa técnica. Asegúrese de consultar la guía de referencia completa para ver diagramas de arquitectura detallados, pasos de implementación y más información sobre analítica WiFi y despliegues específicos de cada sector. Manténgase seguro.