Filtrado de contenido web y sumideros DNS

La navegación web es uno de los vectores de infección más comunes: las descargas maliciosas, los exploits de tipo drive-by y las páginas de phishing dependen de que los usuarios visiten URL maliciosas. El filtrado de contenido web controla a qué sitios web pueden acceder los usuarios y los dispositivos, bloqueando las categorías de contenido malicioso o que infringe las políticas antes de establecer la conexión. El filtrado puede aplicarse en la capa del proxy de red, en la capa DNS o directamente en el endpoint. Cuando se configura correctamente, el filtrado detiene las descargas de malware, las llamadas de retorno de comando y control (C2) y la exfiltración de datos, incluso cuando otras defensas fallan.

Un proxy web se sitúa entre los clientes e Internet. Cuando un usuario navega a una URL, la solicitud llega al proxy, que comprueba la URL con una base de datos de URL categorizadas (mantenida por proveedores como Webroot, Zscaler y Palo Alto). Si la categoría está bloqueada (malware, juegos de azar, contenido para adultos), el proxy devuelve una página de bloqueo. Si está permitida, el proxy obtiene el contenido y se lo devuelve al usuario. Los proxies explícitos requieren configurar el navegador; los proxies transparentes interceptan el tráfico sin configuración en el cliente. Las Secure Web Gateways (SWG) basadas en la nube amplían el filtrado a los usuarios remotos sin hacer que el tráfico pase por la red corporativa.

El filtrado basado en DNS bloquea los dominios maliciosos en la capa de resolución DNS, antes de establecer cualquier conexión TCP. Cuando un dispositivo consulta un dominio malicioso conocido, el resolvedor DNS devuelve una IP de sinkhole (o NXDOMAIN) en lugar de la dirección real, lo que impide completamente la conexión. Servicios como Cisco Umbrella, Cloudflare Gateway y Quad9 funcionan como resolvedores DNS en la nube que aplican inteligencia de amenazas en tiempo real a miles de millones de consultas. El filtrado DNS es especialmente eficaz para bloquear dominios de llamadas de retorno C2 y dominios de distribución de malware.

Un sinkhole DNS es un servidor que devuelve una dirección IP falsa y controlada para los dominios bloqueados. Cuando el malware de un endpoint intenta resolver su dominio C2, el sinkhole devuelve la IP del servidor sinkhole. El intento de conexión del malware llega al servidor sinkhole, que registra la conexión. Esto revela qué hosts internos están infectados (realizan consultas C2), con qué frecuencia intentan realizar llamadas de retorno y qué familia de malware está activa (según el dominio C2). Los sinkholes convierten el tráfico malicioso bloqueado en inteligencia de amenazas: no solo bloquean, sino que también identifican los hosts infectados para su remediación.

Las bases de datos de filtrado de URL clasifican miles de millones de URL en categorías: Malware, Phishing, C2 de botnets, Anonimizadores/VPN, Contenido para adultos, Juegos de azar, Redes sociales, Almacenamiento en la nube, Contenido multimedia en streaming, Noticias y cientos más. Los administradores configuran políticas de bloqueo (denegar siempre), políticas de permiso (permitir siempre) y políticas de advertencia (el usuario ve una advertencia y debe hacer clic para continuar). Los proveedores mantienen la categorización de URL en tiempo real; los nuevos dominios maliciosos normalmente se añaden minutos después de su detección. La calidad de la base de datos de categorización determina directamente la eficacia del filtrado.

Dado que la mayor parte del tráfico web utiliza HTTPS, los proxies de filtrado de contenido deben realizar una inspección SSL/TLS (también denominada SSL bumping o inspección man-in-the-middle) para ver el contenido de las sesiones cifradas. El proxy termina la sesión TLS del cliente, inspecciona el contenido y lo vuelve a cifrar para el servidor. Mediante MDM se distribuye un certificado de CA corporativa a todos los endpoints administrados, lo que permite que los clientes confíen en los certificados vueltos a firmar por el proxy sin mostrar advertencias del navegador. Deben excluirse de la inspección las categorías que no deberían inspeccionarse: banca, portales sanitarios y sitios de investigación jurídica, debido a cuestiones de privacidad y restricciones normativas.

Uno de los principales desafíos del filtrado basado en DNS es DNS over HTTPS (DoH). Los navegadores como Chrome y Firefox admiten DoH y envían consultas DNS cifradas a resolvedores como 1.1.1.1 o 8.8.8.8, en lugar de hacerlo al resolvedor recursivo local. Esto evita los controles de sinkhole y filtrado DNS porque las consultas nunca llegan al servidor DNS corporativo. Medidas empresariales: deshabilitar DoH mediante Group Policy, bloquear las IP de los resolvedores DoH en el firewall o redirigir todo el tráfico de los puertos 443/853 al resolvedor corporativo compatible con DoH mediante un proxy transparente.

Los sistemas de filtrado de contenido solo son tan eficaces como su inteligencia de amenazas. Las plataformas modernas de filtrado consumen varias fuentes de inteligencia: fuentes comerciales (FireEye, Recorded Future y ThreatConnect) con IOC maliciosos seleccionados; fuentes de código abierto (AlienVault OTX, abuse.ch y Emerging Threats); y fuentes organizativas personalizadas procedentes de incidentes anteriores. Los IOC de las fuentes de inteligencia —dominios, IP, URL, hashes de archivos maliciosos— se incorporan automáticamente a las políticas de filtrado minutos después de su detección, lo que proporciona protección casi en tiempo real contra amenazas recién descubiertas sin esperar a las actualizaciones de las bases de datos de los proveedores.

El filtrado web va más allá de bloquear sitios completos. La aplicación de Safe Search en los motores de búsqueda (Google y Bing) añade parámetros de búsqueda segura a todas las consultas, filtrando los resultados explícitos sin bloquear completamente el motor de búsqueda. El modo restringido de YouTube puede aplicarse mediante la reasignación de DNS CNAME. Las redes sociales pueden permitirse para uso empresarial mientras se bloquean aplicaciones específicas de redes sociales (carga/descarga) mediante filtrado en la capa de aplicación del proxy. Estos controles granulares permiten a las organizaciones equilibrar el uso empresarial con la aplicación de políticas sin decisiones binarias de bloqueo o permiso.

El filtrado web genera una telemetría detallada que alimenta las operaciones de seguridad. Informes que se deben supervisar: accesos a la categoría de malware por usuario y dispositivo (indican un posible compromiso), intentos de llamadas de retorno C2 (requieren una investigación inmediata), intentos de eludir las políticas (patrones de uso de anonimizadores/VPN) y riesgo de exfiltración de datos (cargas grandes a almacenamiento personal en la nube). Las alertas sobre accesos de alta confianza a categorías maliciosas deben integrarse con SIEM y sistemas de gestión de tickets para activar flujos de trabajo de investigación automatizados. La elaboración periódica de informes para la dirección demuestra el volumen de amenazas bloqueadas en la capa web.

El filtrado web puede aplicarse en la capa de red (proxy, resolvedor DNS) o en la capa del endpoint (mediante un agente instalado en el dispositivo). El filtrado basado en red protege todos los dispositivos sin necesidad de instalar componentes en cada uno, pero deja de funcionar cuando los usuarios están fuera de la VPN. Los agentes de endpoint amplían el filtrado a los usuarios remotos al ejecutar el filtro localmente en el dispositivo y enviar la telemetría a la nube para actualizar las políticas. Los modelos híbridos combinan ambos enfoques: filtrado de red para el tráfico local y agentes de endpoint para los trabajadores remotos. El filtrado DNS basado en la nube (Cisco Umbrella) logra una cobertura casi universal haciendo que el resolvedor corporativo siga al dispositivo allí donde se encuentre.

Compruebe sus conocimientos sobre los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que los proxies de filtrado de URL comprueban las solicitudes web con bases de datos categorizadas y bloquean los sitios maliciosos o que infringen las políticas; los sinkholes DNS devuelven IP falsas para dominios maliciosos conocidos e identifican los hosts infectados mediante los intentos de llamadas de retorno registrados; y la evasión mediante DoH es una amenaza importante para el filtrado basado en DNS que requiere Group Policy, reglas de firewall o un proxy transparente para mitigarla. A continuación, exploraremos la inspección SSL/TLS y los ataques man-in-the-browser.