Firewall basado en host y lista de aplicaciones permitidas

Un firewall de red se encuentra en el perímetro y filtra el tráfico entre segmentos de red. Un firewall basado en host se ejecuta en el endpoint individual y filtra el tráfico entrante y saliente de ese equipo específico. Los firewalls basados en host proporcionan defensa en profundidad: incluso si un atacante elude el firewall de red (mediante una VPN, un empleado interno comprometido o un movimiento lateral desde otro host infectado), el firewall del host aplica las reglas de tráfico locales. Son especialmente importantes para los portátiles que salen del perímetro corporativo y se conectan a redes que no son de confianza.

Windows Defender Firewall (WDF) es el firewall de host integrado en todas las versiones modernas de Windows. Admite tres perfiles: Domain (conectado al dominio corporativo; normalmente más permisivo), Private (red doméstica de confianza) y Public (redes que no son de confianza; el más restrictivo). Las reglas de WDF pueden filtrar por puerto, protocolo, ruta de la aplicación, IP remota e identidad del usuario. El complemento MMC Windows Defender Firewall with Advanced Security (WFAS) y Group Policy permiten gestionar de forma centralizada las reglas del firewall en todos los equipos unidos al dominio.

Los firewalls de host de Linux utilizan el marco del kernel Netfilter, que se puede configurar mediante iptables (heredado, aunque todavía muy utilizado) o el moderno nftables. Las reglas se organizan en cadenas (INPUT, OUTPUT, FORWARD) dentro de tablas (filter, nat, mangle). La política predeterminada debe ser DROP, con reglas ACCEPT explícitas para el tráfico necesario: una postura de denegación predeterminada. Las herramientas de nivel superior, como ufw (Ubuntu) y firewalld (RHEL/CentOS), proporcionan interfaces más sencillas, aunque siguen utilizando Netfilter internamente.

Los firewalls basados en host pueden aplicar reglas en la capa de aplicación: filtran el tráfico según la aplicación que lo genera, no solo según el puerto. Windows Defender Firewall admite reglas basadas en aplicaciones: permite que C:\Program Files\MyApp\app.exe establezca conexiones salientes, mientras bloquea todo lo demás en el mismo puerto. Esto evita que el malware se apropie de puertos permitidos haciéndose pasar por una aplicación de confianza. Las reglas de la capa de aplicación son mucho más eficaces que las reglas basadas únicamente en puertos, que se pueden eludir vinculando el malware a puertos comunes como el 443.

La lista de aplicaciones permitidas (antes denominada lista blanca) es un control de seguridad que permite ejecutar únicamente aplicaciones aprobadas explícitamente en un endpoint. Cualquier ejecutable que no esté en la lista se bloquea, independientemente de que sea malware o simplemente software no aprobado. Es una defensa eficaz contra el malware, ya que incluso el malware nuevo de día cero se bloquea si no figura en la lista aprobada. El desafío es operativo: gestionar la lista en entornos grandes y dinámicos requiere un proceso maduro de gestión de cambios y genera un volumen considerable de tickets de soporte si no se ajusta correctamente.

AppLocker es la función integrada de control de aplicaciones de Windows, disponible en las ediciones Enterprise y Education. Filtra la ejecución por: ruta (bloquea ejecutables de %TEMP% o de directorios en los que el usuario puede escribir), hash del archivo (permite únicamente hashes conocidos y fiables) o editor (permite software firmado por Microsoft o Adobe). Las políticas de AppLocker se implementan mediante Group Policy y se registran en el registro de eventos de Windows (ID de evento 8003 = bloqueado). Ejecutar primero AppLocker en Audit Mode (registrando los bloqueos sin aplicarlos) permite a los equipos ajustar la lista de aplicaciones permitidas antes de comenzar la aplicación obligatoria.

WDAC es el sucesor más potente de AppLocker y se aplica en el nivel del kernel, no en el espacio de usuario. A diferencia de AppLocker, WDAC no puede ser eludido por atacantes con derechos de administrador local, por lo que es el control preferido en entornos de alta seguridad. Las políticas de WDAC se escriben en XML y se convierten en archivos de política binarios que se implementan mediante MDM (Intune) o Group Policy. WDAC también permite la integración con Intelligent Security Graph (ISG), que utiliza el servicio de reputación en la nube de Microsoft para permitir automáticamente software con una reputación fiable, reduciendo la carga operativa de mantener manualmente la lista de aplicaciones permitidas.

Las listas de aplicaciones permitidas son eficaces, pero exigentes desde el punto de vista operativo. Entre los desafíos habituales se encuentran los LOLBins (Living-Off-the-Land Binaries): los atacantes utilizan herramientas del sistema Windows, como PowerShell, wscript.exe y mshta.exe, que normalmente aparecen en todas las listas de permitidos; por ello, la lista debe restringir cómo se invocan, no solo si se ejecutan. Los lenguajes de scripting (PowerShell, Python) suelen estar permitidos, pero pueden ejecutar código malicioso. Los falsos positivos (software legítimo bloqueado por la lista) generan tickets para el servicio de asistencia y presión para debilitar los controles. Los programas maduros de listas de permitidos abordan los LOLBins mediante políticas adicionales de modo de lenguaje restringido.

La lista de permitidos permite únicamente elementos aprobados explícitamente y bloquea todo lo demás, lo que proporciona una postura de seguridad más sólida. La lista de bloqueados (lista negra) bloquea elementos identificados explícitamente como maliciosos y permite todo lo demás, siguiendo el modelo tradicional de los antivirus. La lista de bloqueados no puede hacer frente a amenazas desconocidas; la lista de permitidos no puede hacer frente a los LOLBins ni a entradas demasiado amplias. La mayoría de los programas de seguridad maduros utilizan la lista de permitidos como control principal en sistemas críticos y emplean la detección basada en el comportamiento (EDR) para detectar el uso indebido de aplicaciones permitidas. En sistemas menos críticos, una lista de bloqueados bien ajustada con supervisión del comportamiento puede ser aceptable.

Los firewalls basados en host y las listas de aplicaciones permitidas son controles complementarios y por capas. La lista de permitidos evita que se ejecute código no autorizado; el firewall evita conexiones de red no autorizadas desde código autorizado, pero comprometido. Juntos, aplican los principios de mínimo privilegio tanto en la capa de aplicación como en la de red del endpoint. Añadir EDR como tercera capa crea una estructura de defensa en profundidad en la que cada control detecta lo que los demás podrían pasar por alto, aumentando considerablemente el coste y la complejidad de los ataques exitosos contra los endpoints.

El valor de los firewalls basados en host depende de la calidad de los registros que generan. Active el registro de las conexiones bloqueadas para capturar intentos de ataque y violaciones de las políticas. Active el registro de las conexiones permitidas en reglas confidenciales (como las que permiten herramientas administrativas) para mantener un registro de auditoría. Reenvíe los registros del firewall al SIEM para establecer correlaciones: un patrón de conexiones salientes bloqueadas desde un único host puede indicar que el malware intenta realizar conexiones de retorno C2. En Windows, los registros del firewall se escriben de forma predeterminada en %systemroot%\System32\LogFiles\Firewall\pfirewall.log y deben reenviarse mediante Windows Event Forwarding (WEF) o un agente de registros.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que los firewalls basados en host (Windows Defender Firewall, iptables) filtran el tráfico por endpoint con una postura de denegación predeterminada y reglas específicas para aplicaciones; las listas de aplicaciones permitidas (AppLocker, WDAC) impiden que se ejecuten ejecutables no autorizados, incluido el malware; y la combinación por capas de firewall, lista de permitidos y EDR crea una defensa en profundidad que aumenta considerablemente el coste de los ataques. A continuación, exploraremos la autenticación del correo electrónico: SPF, DKIM y DMARC.