Bloqueo de Malware y Phishing en el borde de la red

Hola y bienvenidos a este informe técnico de Purple. Soy su anfitrión y hoy nos adentraremos en una decisión de arquitectura crítica para los operadores de recintos: el bloqueo de malware y phishing en el extremo de la red (Network Edge). Nos dirigimos a gerentes de TI, arquitectos de red, directores de tecnología y directores de operaciones que administran redes en hoteles, cadenas de tiendas departamentales, estadios y recintos del sector público. Si usted administra WiFi para invitados o grandes redes públicas, conoce el dolor de cabeza que representan los dispositivos no gestionados. No es posible instalar un agente de endpoint en el smartphone de un invitado y, sin duda, tampoco se puede controlar en qué enlaces hacen clic. Entonces, ¿cuál es la solución? La protección en el extremo de la red. Al mover el punto de aplicación de la seguridad a la puerta de enlace, usted bloquea las amenazas antes de que lleguen al dispositivo. Analicemos la arquitectura técnica, empezando por el filtrado de DNS. Cuando un dispositivo se conecta a su red e intenta acceder a un dominio malicioso - por ejemplo, un enlace de phishing oculto en un SMS - la consulta DNS llega primero a su puerta de enlace de extremo. En lugar de resolver la dirección IP y permitir el flujo de tráfico, la puerta de enlace de extremo verifica el dominio con feeds de inteligencia de amenazas en tiempo real. Si se marca como malicioso, la solicitud DNS se desvía a un agujero de sumidero (sinkhole). La conexión se interrumpe antes de que se descargue un solo byte de malware. Esto es proactivo, no reactivo. Veamos un escenario del mundo real. Piense en una gran cadena de tiendas departamentales que ofrece WiFi para invitados gratuito. Durante la temporada navideña, la afluencia de personas se dispara y miles de dispositivos no gestionados se conectan diariamente. Una campaña de phishing dirigida afecta a la región, imitando a un servicio de paquetería popular. Sin protección en el extremo de la red, un invitado hace clic en el enlace, su dispositivo se ve comprometido mientras está en su red y, de repente, la reputación de su IP se desploma o, peor aún, se intenta un movimiento lateral contra su VLAN de punto de venta (POS). Con la protección en el extremo de la red, en el momento en que ese invitado hace clic en el enlace malicioso, la consulta DNS se intercepta. La puerta de enlace de extremo detecta que el dominio se registró hace tres horas y fue marcado por la inteligencia de amenazas. La conexión se bloquea, el invitado ve una página de bloqueo segura y su red permanece protegida. Sin necesidad de agentes de endpoint. Esta arquitectura también simplifica el cumplimiento normativo. Ya sea que se enfrente a PCI-DSS en el sector minorista, GDPR en Europa o el cumplimiento de IWF para redes WiFi públicas en el Reino Unido, el filtrado en el extremo proporciona el registro centralizado y la aplicación de políticas necesarios para las auditorías. Usted obtiene un registro de auditoría completo de las consultas DNS y de las amenazas bloqueadas. Ahora, hablemos de la implementación. El error más común es el bloqueo excesivo, lo que genera tickets de soporte técnico y frustra a los invitados. La clave es la aplicación de políticas granulares. Usted no querrá un bloqueo generalizado en todos los dominios registrados recientemente si su equipo de marketing suele crear sitios de campaña temporales con frecuencia. Necesita un enfoque por capas. La Capa 1 es la inteligencia de amenazas ascendente: bloquear actores maliciosos conocidos, servidores de comando y control de botnets y puntos de distribución de malware. La Capa 2 es el filtrado de contenido basado en categorías, garantizando el cumplimiento de las regulaciones locales. La Capa 3 es el control de acceso, aplicando diferentes políticas según el rol del usuario. Un invitado recibe una política restrictiva, mientras que el personal del establecimiento en un SSID corporativo recibe una política diferente. ¿Qué pasa con el DNS cifrado? Los protocolos como DNS sobre HTTPS (DoH) y DNS sobre TLS (DoT) pueden eludir el filtrado perimetral tradicional si no se gestionan correctamente. Su arquitectura perimetral debe tener esto en cuenta, ya sea bloqueando los solucionadores de DoH públicos conocidos para forzar la reversión a su DNS seguro, o implementando la inspección SSL para dispositivos gestionados, aunque esto último no es factible para las redes de invitados. Para el WiFi de invitados, forzar el tráfico a través de su DNS seguro y bloquear puertos alternativos es el enfoque estándar. Pasemos a una sesión de preguntas y respuestas rápidas basadas en las dudas más comunes de los clientes. Pregunta 1: ¿El filtrado perimetral añade latencia? Respuesta: Mínima. Un gateway perimetral robusto almacena en caché las respuestas de DNS y utiliza enrutamiento anycast al nodo de inteligencia de amenazas más cercano. La latencia añadida suele ser de milisegundos de un solo dígito, imperceptible para el usuario. Pregunta 2: ¿Cómo afecta esto al ROI? Respuesta: El ROI se mide en la reducción de incidentes y la simplificación de la gestión. Elimina el costo de licencia por dispositivo de la seguridad de endpoints para los dispositivos BYOD. También reduce drásticamente las horas de soporte técnico dedicadas a investigar dispositivos comprometidos o a lidiar con direcciones IP en la lista negra. Pregunta 3: ¿Puede esto proteger los dispositivos IoT? Respuesta: Sí. Este es un beneficio enorme. Las pantallas inteligentes en las habitaciones de hotel, la señalización digital en las tiendas minoristas o las terminales de punto de venta a menudo no pueden ejecutar agentes de endpoint. La protección perimetral los cubre automáticamente porque todo su tráfico debe pasar a través del gateway. En resumen, la protección exclusiva de endpoints es insuficiente para las redes de establecimientos modernas. Necesita un único punto de aplicación para todo el tráfico. La protección perimetral de la red es proactiva, rentable y cubre todos los dispositivos, gestionados o no gestionados. Es el estándar de arquitectura para un WiFi de invitados y redes de establecimientos seguros. Gracias por escuchar esta sesión informativa técnica. Asegúrese de consultar la guía de referencia completa para obtener diagramas de arquitectura detallados, pasos de implementación y lecturas adicionales sobre análisis de WiFi e implementaciones específicas de la industria. Manténgase seguro.