Contramedidas de red, aislamiento, filtrado y monitoreo

En D3FEND, Isolate agrupa técnicas que restringen lo que puede alcanzarse: aislamiento de red, filtrado de tráfico entrante y saliente, listas de denegación de nombres. Detect agrupa técnicas que analizan lo que ocurre: análisis de tráfico, de consultas de DNS, de desviaciones respecto de lo normal.

Un mismo producto puede cumplir las dos funciones según cómo esté configurado. Un cortafuegos que registra y bloquea filtra; el mismo cortafuegos en modo monitor (solo registra) detecta, pero no impide nada. En el mapa cuenta lo que hoy ocurre, no lo que el producto sabría hacer.

Un control que sigue en modo monitor mucho tiempo suele ser un control que nadie se atrevió a poner en bloqueo, o que se olvidó. La columna estado_desde dice desde cuándo está en su estado actual.

Consulta controles.

El filtrado de salida limita adónde puede conectarse un equipo comprometido. La tabla segmentos dice, por zona, si la salida se bloquea, solo se registra o no tiene ningún filtro. Sin filtro de salida, un canal hacia fuera solo se ve si algún sensor lo registra.

La política del equipo dice que un control nuevo puede estar en modo monitor hasta 90 días para medir falsos positivos; después debe pasar a bloqueo o justificarse. La fecha del informe es el 9 de mayo de 2028.

Cuenta solo los controles que están en modo-monitor y superan los 90 días.

La denegación de nombres de DNS bloquea los dominios que están en una lista. Su valor depende de la calidad y la frescura de esa lista; su límite es que solo conoce lo que alguien ya clasificó.