De la mano de la IA y el aumento de la complejidad tecnológica, los ataques son cada vez más sofisticados y frecuentes. La seguridad de red LAN/Wifi es fundamental;  vulneraciones básicas de WPA2, Rogue access-points bloqueos de Bluetooth a complejas intrusiones en infraestructuras críticas, subraya la necesidad de un enfoque proactivo y bien estructurado, o dicho de otra forma tener un plan.

Hay innumerables formas de abordar la seguridad LAN/Wifi, la experiencia nos ha llevado a identificar cuatro pasos esenciales para su implementación de la misma, a continuación se resumen con algunos ejemplos ilustrativos.

Paso uno: Proteger lo más preciado, la Infraestructura

La exposición de los equipos de red es una de las cuestiones más delicadas. Es donde “buenos y malos” se encuentran. Si cae, caerá todo, asegurar la infraestructura es lo primero ¿pero cómo?, algunos ejemplos:

• Autenticación, Autorización y Accounting (AAA): ¿Quién se conecta a los equipos? , ¿qué comandos pueden ejecutar?, etc..
• Eliminación de Protocolos Inseguros: Desactivar el uso de protocolos de red (telnet, http, snmpv2) donde no sean imprescindibles dando paso a los más seguros (ssh, snmpv3, sftp,)
• Seguridad por Diseño: Elegir siempre equipos diseñados con seguridad implícita como principio fundamental, por ejemplo soluciones de Core invisibles al usuario, protección contra ataques de Denegación de Servicio Distribuido (DDoS) en el plano de control o cumplir con estándares tipo ISO 27001.

• Configuración de contraseñas en los protocolos de control

Paso dos: Vigilancia Activa y Detección de Amenazas

Prevención, monitorización constante y capacidad de responder rápidamente.  Todo elemento de red tiene sus propios medios para detectar irregularidades (seguridad por diseño), activémoslas e integrémoslas! 

• Acceso a la red: Zero Trust Network Access (ZTNA) solución de NAC y piedra angular para implementar políticas de Zero Trust.

Permite controlar como mínimo quién se conecta cómo y desde dónde a los mínimos posibles recursos de red, trabajando en conjunto con AP’s y Switches.

Dono de no hay NAC, establecer unos mínimos o políticas de acceso WiFi 802.1x, certificados, portales, OpenRoaming, WPA3…

• Wireless Intrusion Prevention Systems (WIPS): Con sensores integrados en los Access Points, que detecten activamente Rogue-Aps, desasociaciones, escaneos  y una larga lista de etc , garantizando la seguridad en el medio aéreo.

• Configuración Segura de Switches: Una configuración adecuada previene conexiones no autorizadas, o instalación de switches no deseados en una roseta de red sin controlar, uso de falsos servidores DHCP, la suplantación de MAC address. 
• Firewall’s integrados con el NAC: Este ‘diálogo’ entre el NAC y los firewalls reduce significativamente el tiempo de detección y aislamiento de un atacante o una amenaza.

Paso tres: Ponerlo difícil, segmentación, cifrado, contraseñas, etc…

Reducir la superficie de ataque y el posible daño

• Segmentación de Red: es ‘la estrategia’ para contener la extensión de los ataques o los contagios entre zonas de diferentes sensibilidades.

• MAC-SEC (IEEE 802.1AE): Protección de capa 2 para cifrar el tráfico entre equipos.
• IP-SEC en nuestras conexiones WAN
• ZTNA (de nuevo) nos permitirá modular que zonas de nuestra red tendrán más o menos riesgo

Paso cuarto, un ecosistema seguro

Más allá de la electrónica de red, tener un entorno a la red abarca más cuestiones que van desde poner una llave a un rack a:

• Visibilidad Completa: Un control exhaustivo de todos los flujos de tráfico, tanto internos como externos.
• Inventario Riguroso: Conocer en detalle todos los equipos y usuarios conectados a la red.
• Gestión de Identidades: Saber qué usuario se conecta y a qué recursos.
• Auditorías Periódicas: Realizar revisiones regulares de las configuraciones de seguridad.
• Automatización: Implementar soluciones que permitan una gestión de seguridad eficiente y escalable, haciendo que los costos sean abordables.

Victor Oporto Palomo

Senior Systems Engineer  de Extreme Networks y miembro del Grupo de Trabajo de Calidad y Seguridad de AUTELSI