Mitigación de puntos de acceso no autorizados en redes empresariales

Bienvenido al Purple Enterprise Architecture Briefing. Soy su anfitrión y hoy abordamos una vulnerabilidad crítica que elude millones de libras en seguridad perimetral: los Rogue Access Points. Si es director de TI, arquitecto de redes o gestiona operaciones para grandes recintos (cadenas de retail, hospitales, estadios), esto es para usted. Dejamos atrás la teoría y analizamos cómo mitigar realmente esta amenaza mediante sistemas de prevención de intrusiones inalámbricas, o WIPS. Pongámonos en contexto. Ha realizado una gran inversión en firewalls de última generación, detección de endpoints y reglas de proxy estrictas. Pero basta con que un empleado conecte un router doméstico de cincuenta libras a una toma de pared en una sala de reuniones para que, de repente, su LAN segura esté transmitiendo hacia el aparcamiento. Eso es un rogue AP. Es un puente no gestionado y sin cifrar directo a su red principal. Pero no se trata solo de empleados que buscan una mejor señal. Estamos viendo un aumento de los ataques Evil Twin. Aquí es donde un atacante se sitúa fuera de su edificio (tal vez en la cafetería de al lado) y transmite exactamente su SSID corporativo. 'Corp-WiFi'. Aumentan la potencia de la señal y los portátiles de sus empleados se conectan automáticamente al punto de acceso del atacante en lugar de al suyo. Ahora, el atacante se encuentra en medio de todo ese tráfico. Cada credencial, cada token de sesión, cada dato confidencial que pasa por esa conexión está potencialmente comprometido. También existe la variante del honeypot (una red abierta que transmite algo inocuo como 'Free Public WiFi'), que es especialmente peligrosa en entornos de hostelería y retail donde los clientes buscan activamente conectividad. Entonces, ¿cómo detenemos esto? El escaneo manual con un analizador de espectro portátil está prácticamente obsoleto como control principal. Es demasiado lento, demasiado costoso y deja enormes lagunas de visibilidad entre los ciclos de escaneo. El estándar empresarial es un WIPS continuo y automatizado. Profundicemos en la arquitectura técnica. Un despliegue de WIPS robusto se basa en una capa de sensores superpuestos. Aquí tiene dos enfoques principales. En primer lugar, el modo de sensor dedicado. Aquí es donde se despliegan puntos de acceso cuya única función es escuchar. No atienden al tráfico de clientes; simplemente escanean los espectros de dos coma cuatro, cinco y seis gigahercios de forma continua, en todos los canales. Esto le ofrece la detección de mayor fidelidad y la capacidad de contener las amenazas casi en tiempo real. Si se encuentra en el sector sanitario, de servicios financieros o en el sector retail sujeto a la normativa PCI, este es el estándar de oro. El coste de hardware adicional se justifica únicamente por la automatización del cumplimiento y la reducción del tiempo de respuesta ante incidentes. El segundo enfoque es el escaneo en segundo plano, a veces llamado fragmentación de tiempo (time-slicing). En este caso, sus puntos de acceso existentes atienden a los clientes con normalidad, pero cambian brevemente de canal a intervalos regulares para detectar amenazas. Es rentable porque no requiere hardware dedicado, pero se sacrifica la visibilidad continua. Un AP no autorizado podría estar activo y causando daños en los intervalos entre escaneos. Para entornos de menor riesgo o redes de retail distribuidas donde los sistemas superpuestos dedicados tienen un coste prohibitivo, este es un compromiso viable, siempre que se compense con controles sólidos en el lado cableado, de los que hablaremos en breve. Ahora bien, la detección es solo la mitad de la batalla. El verdadero poder de un WIPS es la clasificación y contención automatizadas. Y aquí es donde fallan la mayoría de las implementaciones. No puede limitarse a bloquear cada señal de WiFi que vea: acabará interfiriendo la señal de la empresa de al lado, y eso le acarreará graves problemas legales con los organismos reguladores de telecomunicaciones. Necesita reglas de clasificación estrictas y estructuradas por capas. Permítame guiarle a través de la lógica. Si el sensor WIPS detecta una dirección MAC desconocida —un BSSID que no está en su inventario autorizado—, que está transmitiendo su SSID corporativo y la intensidad de la señal es fuerte —por ejemplo, superior a menos sesenta y cinco dBm, lo que indica que está físicamente dentro o inmediatamente adyacente a su edificio—, se trata de un Evil Twin. Clasifíquelo como crítico. Automatice la contención de inmediato. Si el WIPS detecta un BSSID desconocido y puede correlacionar esa dirección MAC con un puerto de switch cableado en su red —lo que significa que el dispositivo está físicamente conectado a su LAN—, se trata de un verdadero dispositivo no autorizado interno. También es crítico. Sin embargo, el método de contención es diferente. Si la señal es débil —por debajo de menos setenta y cinco dBm— y el SSID no coincide con el suyo, es casi seguro que se trata de una red vecina. Regístrela, establézcala como línea base y no intervenga. Una vez clasificada, ¿cómo neutralizamos la amenaza? Disponemos de dos armas: la contención cableada y la contención inalámbrica. La regla de oro aquí es: primero el cable, luego lo inalámbrico. Si el WIPS puede correlacionar la dirección MAC inalámbrica del AP no autorizado con un puerto de switch físico en su red, la mejor respuesta es la supresión de puertos. El WIPS se comunica con su switch principal a través de SNMP o de una API REST moderna, y desactiva administrativamente ese puerto específico. El dispositivo pierde la conectividad de red. La amenaza ha desaparecido. De forma definitiva. Permanentemente. Hasta que alguien vuelva a habilitar físicamente el puerto. ¿Pero qué pasa si es un Evil Twin? No está en su red cableada, por lo que no puede desactivar un puerto. Aquí es donde utilizamos la contención inalámbrica. El sensor WIPS suplanta la dirección MAC del AP no autorizado y transmite tramas de desautenticación IEEE 802.11 dirigidas a todos los clientes asociados. Simultáneamente, suplanta las direcciones MAC de los clientes y envía tramas de desautenticación de vuelta al AP no autorizado. Esto interrumpe continuamente la asociación, obligando a los clientes a buscar AP legítimos. Vale la pena señalar que 802.11w (tramas de gestión protegidas) dificulta la ejecución de ataques de desautenticación contra los clientes que lo admiten. Sin embargo, el WIPS aún puede interrumpir el propio AP no autorizado, y la combinación de desautenticación y la transmisión del SSID legítimo por parte de sus AP a mayor potencia suele ser suficiente para desplazar el ataque. Hablemos de los errores de implementación, porque hay varios que vemos repetidamente en el terreno. El mayor error es la contención automatizada excesivamente agresiva sin los límites de RSSI adecuados. Si configura su política de contención para que se active ante cualquier BSSID desconocido, independientemente de la intensidad de la señal, contendrá a sus vecinos. Eso es una interferencia ilegal. Establezca un umbral mínimo de RSSI (normalmente de menos sesenta y cinco a menos setenta dBm) y solo automatice la contención para señales que superen ese umbral. Para cualquier señal más débil, genere una alerta para investigación manual. El segundo error es tratar el WIPS como una solución independiente. El WIPS es su red de seguridad. Su defensa principal debe ser el control de acceso a la red IEEE 802.1X en sus switches de borde cableados. Si un empleado conecta un router no autorizado, el puerto del switch debería exigir autenticación, fallar (porque el router no es un dispositivo gestionado ni certificado) y negarse a transmitir tráfico. Detiene la amenaza antes de que obtenga una dirección IP. Antes de que aparezca como una señal de RF. El 802.1X es la herramienta de prevención de AP no autorizados más rentable de su arsenal. El tercer error es ignorar la respuesta física. El WIPS puede triangular la ubicación física de un AP no autorizado en un plano de planta utilizando la intensidad de la señal de múltiples sensores. Pero el WIPS no puede retirar físicamente el dispositivo. Necesita un proceso: se activa la alerta, se identifica la ubicación y el personal de TI o de seguridad se desplaza al lugar dentro de un SLA definido. Sin ese bucle de respuesta humana, solo estará conteniendo la amenaza indefinidamente en lugar de eliminarla. Muy bien, pasemos a una sesión de preguntas y respuestas rápidas basada en escenarios comunes de clientes. Pregunta uno: Nuestros AP no autorizados no transmiten un SSID. ¿Puede el WIPS detectarlos de todos modos? Sí, por supuesto. Los WIPS modernos no se basan únicamente en las tramas de baliza (beacon frames). Monitorizan las solicitudes de sondeo (probe requests) de los dispositivos cliente y las respuestas de sondeo de los puntos de acceso. Incluso si el SSID está oculto (una baliza de SSID nulo), la firma de RF y la dirección MAC siguen siendo visibles para el sensor. Configure su WIPS para marcar cualquier BSSID no reconocido, independientemente de la visibilidad del SSID. Pregunta dos: ¿Afecta el WIPS al rendimiento de nuestro WiFi para invitados? Si utiliza sensores dedicados, el impacto en el tráfico de los clientes es nulo. Los sensores son completamente independientes de su infraestructura de servicio. Si utiliza la división de tiempo (time-slicing), hay un impacto menor en la latencia a medida que el AP cambia de canal, pero para la navegación web estándar y las aplicaciones empresariales, generalmente es imperceptible. Para aplicaciones sensibles a la latencia como VoIP o videoconferencias, se recomiendan encarecidamente los sensores dedicados. Pregunta tres: ¿Cómo ayuda esto directamente al cumplimiento de PCI DSS? El Requisito 11.1 de PCI DSS exige que las organizaciones realicen pruebas trimestrales para detectar la presencia de puntos de acceso inalámbricos e identificar todos los puntos de acceso inalámbricos autorizados y no autorizados. WIPS automatiza esto por completo: es continuo, no trimestral. La consola de administración genera exactamente los registros de auditoría e informes que requieren los QSA, lo que ahorra a su equipo semanas de esfuerzo manual y reduce significativamente el coste del cumplimiento normativo. Para resumir los puntos clave de la sesión de hoy: Los AP no autorizados representan una elusión crítica de su inversión en seguridad perimetral. Un solo dispositivo no gestionado puede anular toda su defensa perimetral. Mitigarlos requiere pasar de escaneos manuales periódicos a un WIPS automatizado y continuo. La tecnología está madura y el ROI es demostrable. La clasificación precisa no es negociable. Los umbrales de RSSI y la correlación cableada evitan los falsos positivos y le mantienen del lado correcto de la legislación de telecomunicaciones. Priorice siempre la supresión de puertos cableados sobre la desautenticación inalámbrica cuando el dispositivo no autorizado esté conectado físicamente a su LAN. Es definitivo. Respalde su WIPS con 802.1X en el extremo cableado. La prevención siempre es más barata que la contención. Y, por último, cierre el ciclo con un proceso de respuesta física. La tecnología identifica la amenaza; su equipo la elimina. Para obtener topologías de despliegue más detalladas, casos de éxito y guías de configuración independientes del proveedor, consulte la guía de referencia técnica completa en el sitio web de Purple. Gracias por su atención y mantenga sus redes seguras.