Cuando se tráfico de seguridad de red, suelo seguir el enfoque de menos es más. La simplicidad se considera la mejor alternativa que la complejidad para proteger todo en la red de campo de acción nave (LAN). A menudo puede encontrar ejemplos de docenas, si no cientos, de reglas de firewall utilizadas por organizaciones y grandes redes. Si admisiblemente esta es una excelente modo de ajustar con precisión lo que puede (y lo que es más importante, lo que no puede) aceptar a la LAN, es en gran medida excesivo para la seguridad del hogar. Todo lo que necesita es una política de reglas: denegación predeterminada.

Esta es la única política de reglas de firewall que siempre aseguro que esté activa en todas las redes, independientemente de su tamaño o complejidad. Una política de denegación predeterminada esencialmente bloquea todo el tráfico a menos que se permita explícitamente. Aunque técnicamente se tráfico de una sola política, en sinceridad consta de cuatro reglas de firewall:

• Impugnar todo el tráfico entrante de forma predeterminada.

• Deniegue todo el tráfico entre VLAN de forma predeterminada.

• Impugnar todo el tráfico saliente de forma predeterminada.

Ya sea que esté ejecutando múltiples servicios públicos y tenga una conexión de ISP ocupada o simplemente esté configurando su propia red por primera vez, este enfoque se considera la mejor praxis por una razón. Es lo que recomiendo que todas las redes tengan como piedra angular de la seguridad de la LAN, aislar todo el tráfico (tanto de entrada como de salida) a menos que otra regla lo permita específicamente.

Relacionado

Construí un firewall que impide que mis dispositivos IoT llamen a casa

Mis bombillas no necesitan llegada a Internet y nunca deberían hacerlo

Por qué permitir por defecto es peligroso

Utilizar una política de firewall de seguridad predeterminada supone que todos los sistemas internos son confiables, que los usuarios de la LAN tienen el conocimiento para sostener sus dispositivos seguros, que el software instalado no planteará ningún problema y que los ataques serán pocos y espaciados y tendrán punto fuera de la red. Desafortunadamente, no vivimos en un mundo valentísimo e incluso el dispositivo más seguro puede ser víctima de factores externos. La denegación predeterminada resuelve esto al considerar todo lo que no se requiere explícitamente como una responsabilidad potencial.

Así es como se debe manejar la seguridad de la red moderna, ya que los ataques ya no dependen de la fuerza bruta, sino que explotan medidas de seguridad laxas, lo que podría ser una mala configuración, un servicio antiguo aún activo y un llegada no monitoreado. En punto de sostener las puertas abiertas para que pase todo el tráfico, independientemente de si se hubiera permitido o no, una política de denegación predeterminada comienza con un frente seguro como colchoneta. Entonces todo se puede permitir explícitamente en la parte superior.

El principio de privilegio pequeño es un concepto de ciberseguridad en el que a todo (usuarios, aplicaciones y sistemas completos) se le otorgan derechos de llegada mínimos y permisos necesarios para realizar sus tareas específicas. Esto por sí solo ayuda a minimizar los daños potenciales causados ​​por infracciones y errores, reduciendo la superficie de ataque y mejorando la seguridad. Este es un enfoque importante ya que los sistemas sólo deben tener el llegada necesario para funcionar, ausencia más.

Es por eso que a menudo nos verás murmurar a los productos de Internet de las cosas (IoT) que disfrutan convocar a casa con datos de telemetría, lo que solo podría difundir un mundo de dolor cuando el firmware obsoleto y una conexión insegura podrían invitar a una parte malintencionada a causar algún daño. La política de denegación predeterminada es la única forma de hacer cumplir el principio de privilegio pequeño. A menos que un dispositivo o servicio específico tenga un motivo para comunicarse, no pertenece a la red.

Ejecutar su red doméstica y permitir que casi cualquier persona ingrese a la LAN es un pasatiempo peligroso y que podría tener consecuencias nefastas, especialmente si usted mismo aloja y almacena copias de seguridad localmente. Las redes domésticas modernas se están volviendo cada vez más complejas con la cirro integrada, entornos de trabajo híbridos, llegada remoto, API y automatización del hogar inteligente. A menos que se planifique adecuadamente con anticipación, la LAN puede convertirse rápidamente en un desastre proporcionado inseguro.

Relacionado

Configurar OPNsense en una mini PC fue más obediente que configurar mi antiguo enrutador

Rendimiento consistente con comportamiento predecible

Impugnar todo el tráfico entrante de forma predeterminada

La forma más segura de ejecutar su red

Aunque el tráfico entrante sería una prioridad, es fundamental que bloqueemos todo lo que entra y sale de la LAN. La primera regla que utilizo es desmentir todo el tráfico entrante. Especialmente cuando se ejecutan servicios y servidores públicos expuestos. Puede resultar complicado comprender la prontitud con la que pueden producirse los ataques una vez que se ha descubierto un punto de entrada. Al aislar todo el tráfico entrante de forma predeterminada, garantizamos que todos los servicios que se ejecutan internamente de la LAN solo sean accesibles si se publican explícitamente.

Esto elimina la exposición accidental, que puede ocurrir al configurar una red por primera vez. Incluso he contrarrestado un caso en el que accidentalmente dejé la puerta de entrada abierta al mundo en militar, por lo que ciertamente nos puede acontecer a todos. Luego, con toda la red efectivamente bloqueada, podemos implementar nuevas reglas de permiso que pueden revisarse, registrarse e incluso revocarse, si surge la escazes. En punto de aislar las cosas una por una, podemos comenzar desde cero y anexar reglas sobre la marcha.

Relacionado

Cómo configurar y usar el firewall en Windows 11

El Firewall de Windows funciona admisiblemente desde el primer momento, pero así es como puedes configurarlo

Impugnar todo el tráfico entre VLAN de forma predeterminada

Mantenga todo segregado en la LAN

Incluso con las mejores reglas de firewall implementadas para cubrir lo que proviene de la WAN a su red nave, aún podría estar en peligro dependiendo de lo que esté ejecutando en casa. El hardware de IoT es excelente para anexar sensores fríos y otros dispositivos que funcionan con baterías a su hogar inteligente, pero algunos de ellos pueden venir con firmware obsoleto e incluso llegada por puerta trasera o colección de telemetría para enviarlos a algún servidor azaroso fuera de su hogar. Eso no es bueno, especialmente si queremos un hogar seguro.

Se recomienda insistentemente segregar su red para separar todo el tráfico de IoT y del hogar inteligente en su propia VLAN. Lo mismo ocurre con los servidores y otras infraestructuras importantes, sus invitados y otros dispositivos que necesitan ser examinados y, finalmente, el sistema de seguridad de su hogar. Así es como configuré mi LAN y evita que cualquier dispositivo se comunique entre sí a menos que yo lo desee explícitamente. El hecho de que estén en la misma red no significa que siempre deban comunicarse con otros clientes.

Relacionado

Cómo utilicé las VLAN para separar mis dispositivos domésticos inteligentes y por qué usted todavía debería hacerlo

Por qué ahora siempre uso VLAN para separar dispositivos domésticos inteligentes.

Impugnar todo el tráfico saliente de forma predeterminada

Esto es lo opuesto a nuestra primera regla.

Al igual que aislar todo el tráfico entrante, todavía quiero aislar todo el tráfico saliente. Eso no quiere aseverar que no confíe en mis dispositivos y en las personas que usan su hardware en la LAN, pero sí garantiza que si poco se infecta con malware o algún otro software malvado, no comenzará a transmitirse repentinamente desde nuestra casa al mundo foráneo. Lo mismo ocurre con esos molestos productos de AliExpress que disfrutan enviando datos a algún servidor azaroso. No bajo mi supervisión.

Relacionado

5 reglas de firewall esenciales que todo laboratorio doméstico debería tener

Antiguamente de comenzar a arriesgar con servicios y herramientas, esto es lo que debes configurar primero.

Configurar tu propio firewall es obediente

OPNsense es un paquete brillante para crear su propio enrutador y firewall. Todo lo que se necesita es una mini PC o algún otro dispositivo con suficientes puertos Ethernet y un procesador Intel para manejar la carga. Instale OPNsense y estará avispado. De forma predeterminada, OPNsense bloqueará todo el tráfico como una regla generada automáticamente, protegiendo eficazmente su LAN tan pronto como esté activa. Se puede personalizar en gran medida, pero está prácticamente avispado para configurarlo y olvidarlo.