Reglas demasiado abiertas

Una regla se puede medir en cuatro dimensiones, y cada una que se abre agrava a las demás:

• Origen: quién puede iniciar. Un equipo, una subred, una zona, cualquiera.
• Destino: a qué puede llegar. Un servidor, una subred entera, cualquiera.
• Servicio: con qué puede hablar. Un puerto concreto, varios, cualquiera.
• Gobierno: quién responde por ella (dueño) y hasta cuándo vale (vencimiento). Una regla sin dueño no tiene a quién preguntarle si sigue haciendo falta; una sin vencimiento hay que revisarla por calendario.

No hay un número mágico: una regla de origen cualquiera es normal si apunta a un portal público de un solo servicio con dueño; la misma apertura hacia el servidor de carpetas compartidas es otra cosa.

Los servicios de administración remota expuestos a Internet son de los hallazgos más repetidos en una revisión de perímetro, porque son el primer sitio donde prueban credenciales los desconocidos. Una regla que los permite desde Internet hacia una subred entera, sin dueño y con una fecha ya pasada, pide una conversación urgente con quien la aprobó, no una decisión del revisor.

Abre la consola y consulta las reglas cuyo origen es Internet. Busca la que apunta a la subred completa.

Una regla con origen cualquiera hacia un servidor interno, que no es la regla final de negar, equivale a publicar ese servidor para todo el que llegue a la red, sea de Internet o de la zona de visitas. En esa pareja de condiciones no hay justificación que valga sin dueño.

Consulta en la consola las reglas sin dueño. Una de ellas tiene origen cualquiera y permite un servicio de carpetas compartidas de Windows.

Un servicio cualquiera borra la diferencia entre lo que la empresa quiso permitir y todo lo demás. Es la forma más corriente de abrir de más, y suele esconderse tras un comentario amable como «los servidores salen adonde necesiten». Los servidores no deberían tener ese permiso: una máquina comprometida lo hereda entero.

No toda regla con un origen externo es abierta. Un auditor externo que necesita llegar a una base de datos de contabilidad durante una auditoría tiene una regla bien escrita cuando cumple las cuatro medidas: un solo origen, un solo destino, un servicio, un dueño y una fecha de vencimiento. Esa regla se revisa en su fecha y se retira. La que hay que perseguir es la que parece igual de pequeña pero no tiene fecha ni dueño.