La seguridad de nuestro ordenador es una prioridad hoy. Los ciberataques y malware representan amenazas constantes que pueden comprometer nuestros datos personales, dinero, generar todo tipo de fallos, y la dinamitar la integridad de nuestro sistema. Aquí te comentaré sobre las herramientas y los trucos esenciales para blindar tu equipo, desde el uso de software antivirus de vanguardia hasta la implementación de hábitos de navegación seguros, para que puedas navegar con tranquilidad y proteger tu información más valiosa.
Índice de contenidos
Trucos y consejos para usuarios y administradores para mejorar la seguridad del sistema y la red
Antes de invertir en licencias de software o en comprar hardware de protección, hay muchas cosas que como usuarios o administradores de un sistema se pueden hacer. Entre ellas:
Seguridad elemental para usuarios
La base de una buena seguridad reside en la higiene digital de cada persona. Como usuario del sistema, deberías llevar a cabo las siguientes prácticas, siempre que sea posible:
- Utiliza la autenticación multifactor (MFA/2FA): esta es la medida de seguridad más importante. Actívala en todas las cuentas sensibles (correo, banca, redes, sistemas corporativos). Exige una segunda prueba de identidad (código, huella, etc.) además de la contraseña. Por tanto, incluso si la contraseña ha sido vulnerada, estarás protegido.
- Crea contraseñas fuertes y únicas: evita las llamadas contraseñas maestras, es decir, una misma para todo. Lo ideal es que sea diferente para cada sesión o servicio, y que tenga al menos 12 caracteres entre los que deben mezclarse mayúsculas, minúsculas, números y símbolos. No uses fechas, nombres, o palabras que estén en el diccionario o que puedan sacarse por ingeniería social. Si esto te parece complicado de llevar a cabo, utiliza un gestor de contraseñas como los que te recomiendo después…
- Mantén todo actualizado: instala inmediatamente las actualizaciones de tu sistema operativo, software y también del firmware o controladores, ya que es vital para parchear vulnerabilidades y que no puedan ser explotadas por ciberatacantes.
- Desconfía: desconfíar de correos electrónicos, mensajes o llamadas que soliciten información personal, te pidan hacer clic en un enlace urgente, o te amenacen es síntoma de que estás siendo víctima de ingeniería social o phishing, por tanto, ponerse en modo «paranoico» a veces es bueno.
- Protege tu red Wi-Fi: cambia la contraseña predeterminada del router, utiliza cifrado WPA3 (o WPA2 si es más antiguo) y configura en él una VPN siempre que sea posible para cifrar todo el tráfico de red y ocultar tu IP verdadera.
- Información es poder: mientras menos información dejes a la vista o en redes, mucho mejor.Esta información puede ser utilizada de forma maliciosa. Por ejemplo, exponer en algunos foros de ayuda logs o información de la versión que usas podría ser usado en tu contra…
Consejos avanzados para administradores
Más allá de las cosas elementales que siempre te suelen explicar en los artículos cotidianos, también hay algunas otras cosas avanzadas que puedes hacer por mejorar la seguridad:
- Control y gestión de cuentas: si eres administrador, trata de monitorizar las cuentas de usuario y limita el acceso a los datos más sensibles siempre que sea posible. Para tareas cotidianas, mejor usa cuentas sin privilegios para minimizar daños. También podría ser beneficioso configurar caducidad de contraseñas, para que pasado determinado tiempo caduquen y obliguen al usuario a cambiarla. Así, si el atacante ha obtenido la anterior contraseña, dejará de tener acceso.
- Configuración: evita la configuración por defecto del software, ya que algunas vulnerabilidades, incluso si se tienen y no han sido parcheadas, se puede evitar la explotación si se configura con parámetros diferentes.
- Segmentar la red: otra idea para mejorar la seguridad, especialmente en redes de empresas, es dividir la red en zonas aisladas o VLANs, y si una es vulnerada, evitar que el resto se vean afectadas. Además, sería bueno cerrar los puertos abiertos de red que no se vayan a utilizar, o incluso cambiar los cotidianos para que no sean tan evidentes. Por ejemplo, el puerto 22 para SSH se podría cambiar a otro…
- Backups: recuerda siempre hacer copias de seguridad para mantener tus datos a salvo, incluso si se corrompen por infecciones o se cifran con ransomware. Para ello, recuerda siempre la regla de respaldo 3-2-1, así lo recordarás fácil. Es decir, haz al menos 3 copias de seguridad de tus datos, que estén almacenadas en al menos 2 tipos de medios diferentes (p.e.: una unidad HDD y una SSD) y que una de las 3 copias se mantenga ubicada off-site, es decir, en otro emplazamiento para evitar que en caso de robo, incendio, inundación, etc., todas las copias se pierdan.
- Cifrado: cifra todos los datos de tus unidades para evitar que sean accesibles a terceros de forma sencilla. Esto reducirá el rendimiento, pero puede ser vital para evitar problemas en aquellos datos privados, sensibles o confidenciales.
- Monitorización: ya sea mediante logs o registros o mediante software dedicado, siempre deberías estar pendiente de datos que puedan mostrar anomalías en el sistema o posibles intentos de ataque. Así podrás poder medidas. Y si se trata de un sistema complejo o una red corporativa, no estaría de más aplicar pruebas de pentesting o realizar auditorías de seguridad.
Protección por software
Ahora que ya sabes el ABC de la seguridad esencial que los usuarios y administradores deberían seguir, lo siguiente es ver una serie de herramientas, de software en este caso, que te pueden ayudar a fortificar tu sistema:
Protección de endpoint y sistema operativo
Lo principal es proteger el sistema operativo y el resto de sistemas conectados. Para ello, siempre deberías tener instalado:
- Antivirus o Antimalware: para detectar y eliminar cualquier tipo de malware. Además, una vez instalado, haz escaneos periódicos y siempre mantén la base de firmas actualizada. A la hora de elegir el antivirus, mira comparativas, y busca siempre aquellos que mejor resultados den.
- Firewall personal: un buen software cortafuegos te permite controlar el tráfico entrante/saliente en la red, y por tanto deteniendo algunos tipos de ataques.
- EDR (Endpoint Detection and Response): existe software EDR que permite monitorear, detectar y responder a amenazas avanzadas, aunque esto es más para entornos más corporativos que para usuarios domésticos…
- HIPS (Host-based Intrusion Prevention System): previene cambios no autorizados en el sistema operativo.
- Sandboxing: ejecuta archivos sospechosos en entornos aislados para analizar su comportamiento. En Linux también tienes varias opciones, como las jaulas chroot, software de sandboxing, o paquetes aislados por defecto.
En Linux también tienes, por ejemplo, los módulos SELinux y AppArmor, que van incluso más allá…
Protección de red
Cuando la base esté protegida, ahora es el momento de cuidar especialmente de la red. Aunque antes ya cité el firewall, que sirve para proteger el sistema, también puede proteger la red. Pero, además de eso, podemos contar también con:
- NIDS/NIPS (Network Intrusion Detection/Prevention Systems): detecta y bloquea intrusiones en la red, y puede ser bastante efectivo. Los hay incluso gratuitos, así que no te tienes que preocupar por aumentar los costes. Mira ejemplos como Snort y Suricata.
- Proxy seguro o Web Gateway: filtra y controla el acceso a internet, bloqueando sitios maliciosos. Por ejemplo, te recomiendo echarle un ojo a Snort, que también sirve como NIDS.
- Network Access Control (NAC): restringe el acceso a la red según el estado del dispositivo. Esto quizás es un poco extremo para usuarios domésticos, pero no estaría mal para entornos empresariales. Entre los ejempos, puedes echarle un ojo a Cisco NAC, ForeScout, FortiNAC, NordLayer, Portnox, Aruba ClearPass, etc.
Protección de identidad y acceso
Otro de los tipos de software que nos puede ayudar a gestionar y mejorar la seguridad son:
- Gestores de contraseñas: sirven para almacenar y cifrar credenciales de forma segura en una base de datos centralizada, y permiten recuperar las contraseñas de forma sencilla. Los hay muy buenos y gratuitos, como Keepass, Bitwarden, LastPass, etc.
- IAM (Identity and Access Management): Gestiona identidades y permisos en entornos empresariales. Si quieres, puedes mirar proyectos como Microsoft Active Directory (AD) o Keycloak…
Protección de aplicaciones y datos
- DLP (Data Loss Prevention): previene fugas de información sensible y que luego pueden usarse con malas intenciones o para atacar con dicha información. En este caso tienes ejemplos como Microsoft DLP, Trellix, Endpoint Protector by CoSoSys, etc.
- Antispam/Antiphishing: filtra correos maliciosos y engañosos. Utiliza estas opciones incluidas en la mayoría de servicios de correo electrónico o como complementos para tu navegador web.
- Cifrado de archivos: protege datos en reposo mediante algoritmos de cifrado. Te recomiendo software como VeraCrypt, FileVault, BitLocker, Cryptomator, etc.
- WAF (Web Application Firewall): protege aplicaciones web contra ataques como SQL injection o XSS. Si tienes este tipo de servicios, mira soluciones como ModSecurity, AWS WAF, Cloudflare WAF, Fortinet FortiWeb…
Inteligencia y monitorización
Más allá de todo lo anterior, también es importante tener siempre presente el estado de «salud» de tu red y sistemas. Es una forma de localizar amenazas y generar una respuesta temprana. Para esto, te recomiendo:
- SIEM (Security Information and Event Management): centraliza logs, detecta anomalías y genera alertas. Ejemplos de este tipo de software los tienes en Microsoft Sentinel, Splunk, QRadar, Elastic Security,…
- SOAR (Security Orchestration, Automation and Response): automatiza respuestas ante incidentes con aplicaciones como Rapid7 InsightConnect, entre otras.
- Threat Intelligence Platforms: recopilan y analizan información sobre amenazas emergentes. Puedes ver ejemplos como Mandiant Threat Intelligence, Anomali ThreatStream, y más.
Te puede interesar conocer las diferencias entre seguridad nivel empresarial vs nivel militar
Protección por hardware
Aunque lo anterior es suficiente para todos los usuarios domésticos y también para muchas empresas, si quieres un plus e ir más allá para crear toda una fortaleza digital, entonces deberías pensar en soluciones de ciberseguridad por hardware:
Actualmente, el hardware ya suele incluir algunas soluciones de seguridad, como por ejemplo los famosos chips TPM (Trusted Platform Module) incluido en las placas base para el Secure Boot, o las extensiones o tecnologías de seguridad incluidas en las CPUs de AMD, Intel, etc., como NX bit o XD bit, SMEP, SEV, SGX, TXT, etc.
Control de acceso e identidad
Aunque en el apartado de sotware ya mencioné algo así, también se puede conseguir por medio de hardware con:
- Llaves de seguridad físicas: autenticación multifactor (MFA) resistente a phishing. En Amazon puedes encontrar productos como YubiKey, Titan Security Key, FIDO2, y más. Gracias a ellas obtendrás contraseñas de un solo uso (OTP) mediante tokens de autenticación por hardware.
- Tarjetas inteligentes (Smart Cards): se usan en entornos corporativos para inicio de sesión seguro. Son como las típicas tarjetas de las habitaciones de algunos hoteles, y que permiten acceso a zonas restringidas solo al personal autorizado. No obstante, en muchos entornos ya se implementan sensores biométricos en su lugar, como los lectores de huellas para seguridad perimetral.
- Dispositivos de bloqueo físico: algunos equipos incluyen desde tornillos que no son los habituales para puntas Philips o que están sellados para evitar que sean manipulados, pasando también por otras medidas como vallas/jaulas físicas, o los famosos candados Kensington.
Protección de red
- Firewall de hardware: igual que un firewall por software, pero más avanzado, y que actúa de forma autónoma, sin sobrecargar la CPU de tu equipo. Él se encargará de filtrar el tráfico de entrada y salida independiente del sistema operativo.
- Routers con seguridad integrada: existen algunos routers que incorporan VPN, firewalls y sistemas de detección de intrusos (IDS/IPS). Si ya tienes uno de tu proveedor que no lo tiene, puedes usar otro neutro en modo puente, entre otras opciones.
- UTM (Unified Threat Management): dispositivos todo-en-uno que combinan firewall, IDS/IPS, antivirus y filtrado web. Son básicamente servidores que puedes configurar tú mismo con un portátil o PC viejo, o incluso con una SBC. Por ejemplo, puedes usar OPNsense o pfSense, si no quieres adquirir soluciones comerciales caras. Algunos pueden incluir incluso IDS y IPS físico.
- Balanceadores de carga con seguridad: en caso de que tengas un servidor propio, también puedes incluir en tu kit de ciberseguridad uno de estos sistemas que distribuyen tráfico y previenen ataques DDoS. Su aspecto es similar al firewall, y también se puede montar en armarios rack…
- Sondas de red (Network Probes): monitorean tráfico para detectar anomalías, aunque esto solo es para casos muy concretos, y no es necesario en la mayoría de casos, pero me ha parecido interesante incluirlas.
Protección de datos
- Discos duros y SSD con cifrado por hardware (SED, Self-Encrypting Drive): protegen datos incluso si se extrae físicamente la unidad, ya que se cifra todo el contenido. El propio controlador de la unidad cifra y descifra el contenido cuando es necesario, sin sobrecargar la CPU.
- NAS (almacenamiento en red) con cifrado integrado: útil para almacenamiento compartido en empresas. Ya los conoces, como los de Synology, QNAP, que algunos cuentas con medidas de seguridad o configuraciones RAID de redundancia para proteger tus datos y evitar así subir datos sensibles a los servicios de almacenamiento en la nube, que están en manos de terceros. Si quieres otra alternativa, puedes usar TrueNAS, OpenMediaVault, etc., que te permiten usar un equipo viejo o que no necesites como servidor.
- HSM (Hardware Security Module): es un dispositivo dedicado para gestionar claves criptográficas con alta seguridad. Empresas como Ultimaco, Entrust, Thales, etc., tienen este tipo de sistemas, o también los hay en la nube como servicios, en AWS, IBM, Google y Azure. Por supuesto, ya cada vez más dispositivos lo incluyen de serie, como Secure Enclave de Apple, Tensor Security Core de Google, PSP de AMD, etc.
Con todo esto estarás bien protegido, aunque recuerda que la seguridad 100% no existe…
Comenta con tus dudas o sugerencias…
