La estación de administración separada

El concepto de Secure Admin Workstation (SAW o PAW) establece que las tareas con altos privilegios (gestión de controladores de dominio, consolas cloud, hipervisores) deben ejecutarse desde hardware dedicado y blindado, nunca desde un equipo estándar de usuario. En una estación SAW está terminantemente prohibido configurar clientes de correo electrónico, mensajería o herramientas ofimáticas, eliminando los vectores primarios de entrada de phishing y drive-by download.

Las estaciones SAW no deben conectarse de forma directa y descontrolada a todos los servidores, sino canalizar sus accesos a través de pasarelas de gestión privilegiada (PAM).

Abre el laboratorio y lee reglas-transito-saw.txt. Identifica el componente de destino en la primera regla de la matriz donde se gestionan las sesiones administrativas.

Una estación de administración nunca debe poseer enrutamiento directo hacia la Internet pública, impidiendo cualquier intento de conexión hacia servidores de comando y control externos.

Consulta la última fila de reglas-transito-saw.txt y revisa la acción asignada al tráfico con destino ANY_INTERNET.

El acceso a una estación SAW debe requerir factores resistentes a suplantación como tarjetas inteligentes físicas (Smartcards FIDO2/PIV) vinculadas al chip TPM del equipo.