Superficie de ataque y una base de hardening

Reforzar un ordenador no significa hacerlo irrompible. Significa quitar las puertas y ventanas que nadie usa, para que las que quedan sean más fáciles de vigilar. Este curso recorre ese proceso para un único Mac usado por una persona: sin flota de servidores, sin departamento de TI, solo los ajustes y comprobaciones que cualquiera puede hacer por sí mismo.

Qué significa “superficie de ataque”

La superficie de ataque de un ordenador es todo lo que hay en él que podría alcanzarse o utilizarse indebidamente: cada cuenta con la que se puede iniciar sesión, cada servicio a la escucha de una conexión de red, cada app que puede ejecutarse, cada puerto que queda abierto. Cada uno de ellos es una pequeña apuesta a que nunca saldrá mal. Una base de hardening es el conjunto de cambios que reduce el número de apuestas que estás haciendo, sin fingir que las que quedan estén libres de riesgo.

macOS ya parte de una posición razonablemente sólida: los Mac recientes cifran el almacenamiento por defecto, el código tiene que estar firmado para ejecutarse, y System Integrity Protection impide que incluso una cuenta de administrador reescriba en silencio archivos centrales del sistema. Las siguientes cuatro lecciones cubren las partes que todavía puedes mejorar: cómo se cifra el disco y cómo arranca la máquina, quién tiene una cuenta y qué puede hacer, qué servicios y puertos están abiertos, y cómo verificar las defensas que ya vienen integradas.

Principios de diseño detrás de los ajustes

Los ajustes concretos de este curso responden todos a un pequeño conjunto de ideas subyacentes. El mínimo privilegio significa dar a una cuenta, o a una pieza de software, solo el acceso que necesita, nunca más “por si acaso resulta útil más adelante”. El aislamiento de procesos y la separación de dominios significan evitar que los errores de una app se filtren a la de otra: una pestaña del navegador comprometida no debería poder leer los archivos de tu cliente de correo. Los estados privilegiados y no privilegiados son la distinción entre una cuenta de administrador y una estándar, y entre un proceso que se ejecuta como root y uno que se ejecuta como un usuario ordinario. Ninguna de estas ideas es exclusiva de macOS; son los mismos principios sobre los que se construye cualquier sistema operativo moderno, y cada ajuste del resto de este curso no es más que una de ellas aplicada a una pantalla o un comando concretos.

Por qué importa el orden

Algunos cambios te protegen aunque no hagas nada más; otros solo importan una vez que lo básico ya está en su sitio. Una base sensata hace primero los cambios de mayor valor y menor esfuerzo.

1. Cifra el disco (FileVault) para que los datos estén protegidos incluso si el Mac se pierde, se roba o se incauta mientras está apagado.
2. Mantén macOS y las apps actualizados, ya que la mayoría de las correcciones para debilidades conocidas llegan como actualizaciones de software, no como ajustes nuevos.
3. Separa cuentas y privilegios: usa una cuenta estándar en el día a día, reserva el acceso de administrador para cuando de verdad se necesite.
4. Desactiva los servicios y puertos que no uses: la compartición de archivos, la compartición de pantalla y el inicio de sesión remoto son valores por defecto habituales que se dejan activados sin motivo.
5. Verifica. macOS viene con defensas ya activas; comprueba que lo siguen estando, con regularidad, con los comandos de solo lectura que cubre este curso.

Costes, y lo que este curso no te dirá que hagas

Cada uno de estos cambios tiene un coste: un disco cifrado necesita una clave de recuperación guardada en algún lugar seguro; una cuenta estándar significa escribir una contraseña más a menudo; un puerto cerrado podría ser uno que de verdad necesitabas para una impresora o un disco de copia de seguridad. Reforzar un sistema es una serie de compromisos, y el compromiso correcto depende de para qué se use la máquina y de quién podría tenerla como objetivo.

Este curso nunca sugerirá desactivar System Integrity Protection, Gatekeeper, ni el cifrado de disco que los Mac con chip Apple aplican por defecto. Algunas guías de hardening escritas para usuarios avanzados incluyen pasos como esos, o distribuyen scripts y listas de reglas de terceros para importar en un firewall de bajo nivel. Están dirigidas a personas dispuestas a aceptar el riesgo de una actualización rota o de un fallo más difícil de diagnosticar; la orientación de este curso es deliberadamente más limitada, y cada ajuste se contrasta con la propia documentación de Apple antes de incluirse.