Puntos de acceso no autorizados, lectura de informes

Que un punto de acceso ajeno se oiga en el aire es normal: en un barrio hay decenas. La pregunta de seguridad es otra: ¿está conectado a la red de la empresa? Un punto de acceso doméstico enchufado a una toma de pared (por comodidad de alguien) abre la red interna a quien llegue a su señal, sin ninguno de los controles de la empresa. Por eso las controladoras clasifican lo observado: propio, vecino y no autorizado o sospechoso, y la diferencia entre los dos últimos se apoya en la evidencia del lado cableado.

Un SSID de la empresa lo anuncian los puntos de acceso del inventario. Si otra radio anuncia el mismo nombre y su dirección de hardware no está en el inventario, puede ser un punto de acceso mal configurado, un equipo de prueba olvidado o una red que imita a la corporativa para atraer clientes. La evidencia no decide cuál es: señala qué hay que comprobar físicamente.

Cruza informe_rf con aps_autorizados.

Cada punto de acceso propio oye a la red observada con una intensidad distinta (en dBm, más cerca de 0 es más fuerte). El que la oye más fuerte es el más cercano, y ahí empieza la búsqueda con el plano en la mano. No se emite nada hacia esa red: es lectura.

Mira lecturas para la observación de la tarea anterior.

La tabla de direcciones de un conmutador asocia cada dirección de hardware con el puerto por el que se aprendió. Si la dirección de una red observada aparece ahí, el equipo está enchufado a ese puerto, y esa es la ubicación que se revisa en el sitio. Interferir con los clientes de una red ajena (por ejemplo, forzando su desconexión) no es una forma de investigar: puede afectar a terceros y tener consecuencias legales según el país. La respuesta correcta es localizar, verificar y retirar con autorización.

Revisa tabla_mac_cableada para el equipo clasificado como sospechoso.

Un informe limpio separa ruido de hallazgos. Las redes de vecinos son ruido para este análisis (aunque sirvan para planear canales, como verás en la sala de radio), y contarlas permite decir cuánto del informe se descarta y por qué.