Después de leerlo, podrá comprobar una red frente a controles reconocidos y comparar lo documentado con lo que realmente existe.
Definición
Se apoya en fuentes reconocidas: los controles 8.20 a 8.22 de la ISO/IEC 27002 sobre seguridad de las redes, de los servicios de red y segregación, y los CIS Controls sobre activos de la empresa, configuración segura y gestión de la infraestructura de red.
Por qué importa
Con los años, las redes acumulan reglas de cortafuegos antiguas, equipos olvidados y cuentas de proveedores. Un atacante que entra usará precisamente eso para moverse.
Cómo funciona
Empiece comparando el diagrama documentado y el inventario de equipos con un escaneo de lo que realmente existe. La diferencia suele ser el primer hallazgo.
Después revise la segmentación y las reglas de cortafuegos, los accesos de administrador y la autenticación multifactor, las versiones de firmware, la red inalámbrica y el acceso remoto, el registro de eventos y las copias de configuración.
Registre la evidencia en cada línea, califique los hallazgos por riesgo y planifique las correcciones con un responsable y una fecha.
Un caso práctico
El inventario de una planta enumera 84 equipos y el escaneo encuentra 91. Siete son conmutadores no gestionados en la zona de producción. De 412 reglas de cortafuegos, 60 llevan un año sin usarse, y una deja pasar la red de oficinas a la red de producción sin restricción.
Esa regla se califica como alta y se elimina en una semana. La revisión de las reglas sin uso llega dentro del trimestre.
Buenas prácticas
- Escanee solo con autorización escrita y en franjas acordadas. Un escaneo puede alterar equipos frágiles.
- Dé a cada regla de cortafuegos un responsable y un motivo, para que la siguiente revisión sepa qué puede quitarse.
- Exija autenticación multifactor para los accesos de administrador y remotos.
- Haga copias de las configuraciones de los equipos y pruebe su restauración.
Errores frecuentes
- Fiarse de un diagrama que nadie ha actualizado desde la última migración.
- Quedarse en el cortafuegos y olvidar la red inalámbrica y los accesos de proveedores.
- Enumerar debilidades sin calificación ni responsable, lo que deja al equipo de red con un informe y sin plan.
- Confundir un escaneo de vulnerabilidades con una auditoría. El escaneo es una fuente entre varias.
Preguntas
- ¿Con qué frecuencia debe auditarse una red?
- Normalmente una vez al año y tras cambios importantes, con escaneos automatizados entre medias.
- ¿Qué herramientas usa una auditoría de red?
- Escáneres de descubrimiento y de vulnerabilidades, analizadores de reglas de cortafuegos y las exportaciones de configuración de los propios equipos.
- ¿Es una auditoría de red una prueba de penetración?
- No. La auditoría comprueba frente a criterios, y una prueba de penetración intenta explotar debilidades. Se complementan.
- ¿Qué documentos deben pedirse primero?
- Los diagramas de red, el inventario de equipos, los conjuntos de reglas de cortafuegos, la lista de administradores y los últimos registros de cambios.
- ¿Qué reglas de cortafuegos son las más arriesgadas?
- Las reglas con cualquier origen, cualquier destino o cualquier servicio, las reglas sin responsable y las reglas temporales antiguas que siguen activas.