Superficie de ataque y una base de hardening

Reforzar una computadora no significa volverla irrompible. Significa quitar las puertas y ventanas que nadie usa, para que a las que quedan sea más fácil vigilarlas. Este curso recorre ese proceso para una sola Mac usada por una sola persona: sin flotilla de servidores, sin departamento de TI, solo los ajustes y revisiones que cualquiera puede hacer por su cuenta.

Qué significa “superficie de ataque”

La superficie de ataque de una computadora es todo lo que hay en ella que se podría alcanzar o abusar: cada cuenta que puede iniciar sesión, cada servicio esperando una conexión de red, cada app que puede ejecutarse, cada puerto que quedó abierto. Cada uno es una pequeña apuesta a que nunca va a salir mal. Una base de hardening es el conjunto de cambios que reduce cuántas apuestas estás haciendo, sin fingir que las que quedan están libres de riesgo.

macOS ya parte de una posición razonablemente sólida: las Macs recientes cifran el almacenamiento por defecto, el código tiene que estar firmado para poder ejecutarse, y la Protección de Integridad del Sistema impide incluso a una cuenta de administrador reescribir en silencio archivos centrales del sistema. Las siguientes cuatro lecciones cubren las partes que todavía puedes mejorar: cómo se cifra el disco y cómo arranca la máquina, quién tiene una cuenta y qué puede hacer, qué servicios y puertos están abiertos, y cómo verificar las defensas que ya vienen integradas.

Los principios de diseño detrás de los ajustes

Los ajustes individuales de este curso sirven todos a un pequeño conjunto de ideas de fondo. El mínimo privilegio significa darle a una cuenta, o a un programa, solo el acceso que necesita, nunca más “por si acaso sirve después”. El aislamiento de procesos y la separación de dominios significan evitar que los errores de una app se filtren a otra: una pestaña de navegador comprometida no debería poder leer los archivos de tu cliente de correo. Los estados privilegiados y no privilegiados son la distinción entre una cuenta de administrador y una estándar, y entre un proceso que corre como root y uno que corre como usuario común. Ninguna de estas ideas es específica de macOS; son los mismos principios sobre los que se construye cualquier sistema operativo moderno, y cada ajuste del resto de este curso en realidad es una de ellas aplicada a una pantalla o comando específico.

Por qué importa el orden

Algunos cambios te protegen aunque nunca hagas nada más; otros solo importan una vez que lo básico ya está en su lugar. Una base sensata hace primero los cambios de alto valor y bajo esfuerzo.

1. Cifra el disco (FileVault) para que los datos queden protegidos aunque la Mac se pierda, la roben, o la incauten mientras está apagada.
2. Mantén actualizados macOS y las apps, ya que la mayoría de las correcciones a debilidades conocidas llegan como actualizaciones de software, no como ajustes nuevos.
3. Separa cuentas y privilegios: usa una cuenta estándar para el día a día, y guarda el acceso de administrador para cuando de verdad se necesite.
4. Desactiva los servicios y puertos que no uses: compartir archivos, compartir pantalla, e inicio de sesión remoto son ajustes por defecto comunes que se dejan encendidos sin razón.
5. Verifica. macOS ya trae defensas activas de fábrica; revisa que sigan activas, con cierta regularidad, con los comandos de solo lectura que cubre este curso.

Costos, y lo que este curso no te va a decir que hagas

Cada uno de estos cambios tiene un costo: un disco cifrado necesita una llave de recuperación guardada en algún lugar seguro; una cuenta estándar significa escribir una contraseña más seguido; un puerto cerrado podría ser uno que de verdad necesitabas para una impresora o un disco de respaldo. El hardening es una serie de intercambios, y el intercambio correcto depende de para qué sirve la máquina y quién podría ir tras ella.

Este curso nunca va a sugerir desactivar la Protección de Integridad del Sistema, Gatekeeper, o el cifrado de disco que las Macs con Apple silicon aplican por defecto. Algunas guías de hardening escritas para usuarios avanzados incluyen pasos así, o traen scripts y listas de reglas de terceros para importar a un firewall de bajo nivel. Están pensadas para gente dispuesta a aceptar el riesgo de una actualización rota o de una falla más difícil de diagnosticar; la orientación de este curso es deliberadamente más acotada, y cada ajuste se contrasta contra la documentación de la propia Apple antes de incluirse.