Defensa en profundidad para una computadora

La defensa de la red suele enseñarse a las organizaciones: un centro de operaciones de seguridad que vigila el tráfico de toda una empresa. Las ideas subyacentes se aplican igual de bien a una sola Mac, reducida a una sola persona que observa. Esta lección establece los conceptos sobre los que se basa el resto del curso.

Defensa en profundidad: no se confía en ninguna capa por sí sola

Defensa en profundidad significa disponer varias protecciones independientes para que un fallo no deje la máquina abierta. En una Mac, las capas se ven así: el sistema operativo en sí (actualizado, con servicios innecesarios desactivados, cubierto en el curso de refuerzo de macOS de este sitio), un firewall que controla qué conexiones pueden entrar y salir, las cuentas y privilegios que un software necesitaría para causar un daño real y, finalmente, su propia atención a lo que parece inusual. Ninguno de ellos es suficiente por sí solo. Una Mac desactualizada pero con un buen firewall aún puede verse comprometida a través de una aplicación vulnerable; una Mac completamente actualizada sin ningún firewall aún puede filtrar datos a cualquier aplicación que decida enviar.

La matriz D3FEND de MITRE, construida conjuntamente con la Dirección de Ciberseguridad de la NSA, organiza exactamente este tipo de pensamiento en capas en categorías nombradas de técnicas defensivas: fortalecer un sistema, detectar actividad sospechosa, aislar lo que está comprometido y, finalmente, desalojar a un atacante y restaurar el funcionamiento normal. Está escrito para grandes organizaciones que comparan herramientas y técnicas, pero las categorías se asignan claramente a una sola Mac: el curso de refuerzo de macOS en este sitio cubre el refuerzo, este curso cubre la detección y el aislamiento, y nada de esto depende de poseer un gran equipo de seguridad para ser útil a menor escala.

Minimizar la exposición: la superficie de ataque, desde el lado de la red

La idea que acompaña a la defensa en profundidad es minimizar la exposición: reducir lo que es alcanzable y lo que puede alcanzar, en primer lugar. El curso de refuerzo de macOS cubre esto desde el interior de la máquina, cerrando servicios y puertos; La defensa de la red cubre la misma idea desde el tráfico mismo, decidiendo qué conexiones deberían existir. Un servicio que nunca se activa no puede ser atacado a través de la red; una conexión que nunca está permitida no puede filtrar datos, entregar una carga útil o recibir instrucciones de un atacante.

Privilegio mínimo, aplicado al tráfico de red.

El privilegio mínimo generalmente se describe en términos de cuentas: otorgarle a un usuario o proceso solo el acceso que necesita, nada más. La misma lógica se aplica a las conexiones de red. Una aplicación meteorológica no tiene ninguna razón legítima para comunicarse con un dominio en un país en el que no se encuentran sus servidores; un editor de texto no tiene ningún motivo legítimo para realizar conexiones de red. Vale la pena cuestionar el tráfico que no coincide con lo que debería hacer una aplicación, de la misma manera que lo sería una cuenta que intenta hacer algo fuera de su función.

Denegación por defecto y lo que cuesta

Un enfoque de denegación predeterminada bloquea todo excepto lo que se ha permitido explícitamente; default-allow bloquea solo lo que se ha identificado explícitamente como malo. La negación predeterminada es, en principio, la postura más fuerte, ya que no depende de que ya se sepa acerca de una amenaza, pero tiene un costo real e inevitable: algo que realmente necesitabas ocasionalmente también será bloqueado, y tienes que darte cuenta y solucionarlo tú mismo. Un cliente de correo que de repente no puede buscar mensajes nuevos, o un controlador de impresora que no puede encontrar la impresora, generalmente deniega por defecto hacer exactamente lo que fue configurado para hacer, en un momento que es más molesto que útil.

Esta compensación es la razón por la que los firewalls de denegación predeterminada tienden a preguntar, en lugar de decidir silenciosamente, la primera vez que una aplicación intenta conectarse: la persona que usa la máquina es a menudo la única que puede decir si se espera una conexión determinada. La siguiente lección cubre las herramientas específicas en macOS que le permiten aplicar la denegación predeterminada en diferentes niveles, desde una sola aplicación hasta toda la red.