Redes de cajeros y sucursales

Un cajero automático es un equipo de uso público con acceso físico para cualquiera, que habla con el sistema de autorizaciones del banco. Eso lo hace un extremo de riesgo alto: se diseña como si alguien pudiera conectar un equipo a su cable de red. La red del cajero debe llevar solo lo que el cajero necesita, que casi siempre es un destino y un puerto: el autorizador de la sucursal.

Por eso los cajeros viven en una VLAN propia, separados de las oficinas de la sucursal.

La política de flujos de un cajero es corta, así que lo que sale de ella llama la atención de inmediato: un cajero hablando con una dirección pública que no es el autorizador. Puede ser una configuración heredada, una actualización mal dirigida o algo peor; en los tres casos hay que investigarlo antes de decidir.

Lee los flujos observados por el cortafuegos de las sucursales.

Si un cajero comparte VLAN con equipos de oficina, cualquiera de esos equipos queda en su misma red de capa dos, y el aislamiento del cajero desaparece. Se detecta cruzando el número de VLAN de cada cajero con el uso que la tabla de VLAN le asigna.

Un equipo sin soporte del fabricante ya no recibe correcciones de seguridad. No se puede resolver parcheándolo; se resuelve con los controles de red que lo rodean y con un plan de reemplazo. Contarlos es el primer paso de ese plan, porque da la dimensión del problema y la prioridad de las sucursales que dependen de enlaces de radio.

El reemplazo de un cajero lleva meses de presupuesto y logística. Mientras tanto se aplican controles compensatorios: aislarlo en una VLAN propia, dejarle un solo flujo permitido, vigilar con alertas cualquier destino nuevo y fijar una fecha de reemplazo. Son medidas temporales, con dueño y fecha, no una forma de dejar de actuar.