Caso de éxito: auditoría de ciberseguridad de la red y las webs de una empresa de formación a distancia en Madrid

Una empresa de formación a distancia con la que trabajamos desde 2006 quería saber, con datos y no con opiniones, cuál era el estado real de su seguridad informática: qué había en su red, qué podía explotar un atacante que entrara en ella y qué debía hacerse primero. En NOÁTICA hicimos una auditoría de ciberseguridad técnica y organizativa en dos bloques, con un plan de protección priorizado y una comparativa de servicios para contratar. Este caso describe el método, lo que se encontró (por categorías, sin detalles que permitan identificar nada) y cómo se lee un informe de este tipo.

Proyecto para un cliente de la provincia de Madrid. Caso anonimizado: por confidencialidad, la ubicación y los datos que podrían identificar al cliente se han modificado.

La situación de partida

La revisión inicial describía un escenario muy habitual en empresas de tamaño medio que han crecido poco a poco:

• Una única red sin segmentar. Equipos de trabajo, servidores, impresoras y teléfonos convivían en la misma subred. Si un equipo se ve comprometido, el atacante puede llegar a casi todo lo demás.
• Sin gestión centralizada de identidades. No había un directorio único que gobernara quién accede a qué.
• Sistemas fuera de soporte. Un servidor antiguo y varios puestos con una versión de Windows que ya no recibe actualizaciones de seguridad.
• Protección del puesto tradicional. Un antivirus clásico, sin detección avanzada de comportamientos.
• Doble factor de autenticación no generalizado y sin un plan estructurado de concienciación del personal.
• Copias de seguridad sin pruebas periódicas de restauración y sin copia aislada. Es decir, copias que probablemente existen, pero de las que nadie ha comprobado que sirvan ante un ataque de tipo ransomware.
• Sin vigilancia centralizada de lo que ocurre en los sistemas ni monitorización del correo.
• En las webs públicas: falta de aviso y gestión de cookies, cabeceras de seguridad ausentes y, en una de ellas, protocolos de cifrado obsoletos y ficheros de configuración accesibles desde el exterior.

Ninguno de estos puntos es raro. Lo interesante de una auditoría es que los ordena, los mide y dice cuáles importan más.

Qué hicimos en la auditoría de ciberseguridad

El trabajo se organizó en dos bloques: diagnóstico y resultados.

Bloque 1: diagnóstico

Inventario de la red interna. Se identificaron los dispositivos conectados. Parece un paso menor, pero es la base de todo: no se puede proteger lo que no se sabe que existe.

Escaneo automatizado de vulnerabilidades. Una herramienta de análisis recorre los equipos de la red y detecta fallos conocidos, versiones desactualizadas y configuraciones débiles. Los hallazgos se clasifican por criticidad, de modo que se pueda actuar primero sobre los más graves.

Pruebas de intrusión interna, de forma manual. Es la parte que más enseña. Un técnico se conecta a la red como lo haría un atacante que ya ha logrado entrar, por ejemplo mediante un equipo infectado, y comprueba hasta dónde podría llegar. En este caso, en poco tiempo se capturaron credenciales cifradas de usuarios reales, y se demostró que era posible reenviar una autenticación contra un servidor interno que no exigía firma obligatoria en el protocolo de compartición de archivos. Todo se hizo sin ejecutar comandos en los equipos y sin modificar nada: el objetivo era demostrar el riesgo, no causarlo.

Análisis de seguridad web y de cifrado. Se revisaron dos dominios públicos: cabeceras de seguridad, configuración de los certificados y de los protocolos de cifrado (SSL/TLS), exposición de ficheros y aviso de cookies.

Bloque 2: resultados

Un plan de protección de negocio. El documento agrupa las medidas por áreas:

• Política de seguridad.
• Vigilancia activa de los sistemas.
• Concienciación del personal.
• Seguridad de redes y de puestos de trabajo.
• Gestión de usuarios y contraseñas.
• Copias de seguridad y recuperación ante ransomware.
• Parcheo y actualización.
• Cumplimiento del RGPD y de la normativa de servicios de la sociedad de la información.
• Acompañamiento para contratar servicios gestionados.

Una tabla de priorización en corto, medio y largo plazo, para que la empresa sepa por dónde empezar con los recursos disponibles.

Un caso de uso con dos diagramas de red: el actual y el propuesto. El propuesto introduce segmentación en redes virtuales (VLAN), una zona desmilitarizada (DMZ) para los servicios expuestos, doble cortafuegos, doble factor de autenticación y una solución de detección y respuesta en los puestos (EDR).

Una comparativa de servicios para contratar: monitorización, respuesta a incidentes, doble factor, protección de móviles y del puesto de trabajo. Es una forma de que la empresa decida con alternativas a la vista.

Lo que se entregó

• Una memoria técnica del servicio de más de cien páginas.
• Un anexo con el informe de vulnerabilidades por equipo.
• El plan de protección y la tabla de priorización.
• Los diagramas de red actual y propuesto.
• La comparativa de servicios.

Después de la auditoría, la empresa fue aplicando parte de las medidas del plan. No publicamos el detalle de cuáles, porque describiría su configuración de seguridad actual.

Por qué las pruebas manuales importan

Un escáner automático es imprescindible, pero tiene un límite: lista fallos aislados. No explica cómo se combinan. Una prueba manual sí. Las dos cosas que se comprobaron aquí, la captura de credenciales cifradas y el reenvío de una autenticación, no son «un fallo» concreto: son la consecuencia de una red plana, de un protocolo sin firma obligatoria y de una configuración heredada. Esa diferencia es la que lleva a recomendaciones de fondo, como segmentar la red, y no solo a una lista de parches.

Cómo lee la dirección un informe así

Una memoria de cien páginas no se lee entera, y no tiene por qué. Esto es lo que recomendamos mirar primero:

1. La tabla de priorización. Dice qué hacer ahora, qué después y qué puede esperar.
2. Los hallazgos de criticidad alta. Suelen ser pocos y concentran el riesgo.
3. El diagrama propuesto. Resume en una página la arquitectura a la que se quiere llegar.
4. La comparativa de servicios. Convierte el plan en decisiones de contratación.

El resto de la memoria es documentación de respaldo para el equipo técnico.

Qué persigue el plan

Los beneficios que busca el documento son previstos, no medidos, y así los presentamos:

• Reducir la superficie de ataque y el movimiento lateral de un atacante dentro de la red.
• Detectar antes los incidentes y responder más rápido, mediante monitorización y servicios de detección y respuesta.
• Alinear la organización con ISO 27001, el Esquema Nacional de Seguridad y el RGPD.

La memoria recomienda también alinear estas medidas con el sistema de gestión ISO 27001 que la empresa ya tenía certificado, de modo que cada mejora quede registrada y se pueda demostrar en las auditorías.

Lo que aprendimos

La segmentación es la medida que más cambia el riesgo. Casi todos los demás hallazgos se vuelven menos graves cuando un equipo comprometido ya no puede ver el resto de la red.

Las copias de seguridad no valen hasta que se restauran. Una copia sin prueba de restauración y sin una versión aislada es una hipótesis, no una protección.

La concienciación del personal también es un control. La mayoría de los ataques comienzan con una persona que hace clic. Un plan estructurado de formación breve y continua cuesta poco y reduce mucho.

Priorizar es más útil que listar. Con decenas de hallazgos, lo que se necesita es un orden, un responsable y un plazo para cada uno.

Errores frecuentes en las empresas que no han auditado su red

• Dar por buena una red porque «nunca ha pasado nada».
• Mantener sistemas fuera de soporte por miedo a romper una aplicación.
• Confiar en que el antivirus lo cubre todo.
• Tener copias de seguridad y no probar nunca una restauración.
• Activar el doble factor solo en el correo y olvidar el resto de accesos.
• Contratar herramientas sin un plan: se compra tecnología y no se define quién vigila las alertas.

¿Quiere saber qué vería un atacante en su red?

Podemos revisar su infraestructura, comprobar con pruebas controladas hasta dónde se podría llegar y entregarle un plan ordenado por prioridad. Consulte nuestras páginas sobre auditoría de seguridad en la empresa, auditoría con pentesting y ciberseguridad gestionada, o cuéntenos su caso.

Auditoría de ciberseguridad: lo esencial del proyecto

La auditoría de ciberseguridad empezó por un inventario completo de la red interna, porque no se puede proteger lo que no se sabe que existe. En esta auditoría de ciberseguridad, las pruebas manuales demostraron cómo se encadenaban fallos que un escáner muestra por separado. El resultado de la auditoría de ciberseguridad fue un plan priorizado en corto, medio y largo plazo, con diagramas de red y una comparativa de servicios. La empresa fue aplicando después parte de las medidas que propuso la auditoría de ciberseguridad.

Para ampliar información, puede consultar los recursos de INCIBE para empresas.

Preguntas frecuentes

¿Una prueba de intrusión interna puede dañar los sistemas?

Se diseña para no hacerlo. Se acuerda el alcance, se evitan acciones destructivas y, en este caso, no se ejecutó ningún comando ni se modificó nada: se demostró el riesgo sin materializarlo.

¿En qué se diferencia un escáner de vulnerabilidades de una prueba de intrusión?

El escáner detecta fallos conocidos de forma automática. La prueba de intrusión combina fallos y configuraciones para comprobar qué podría lograr un atacante de verdad.

¿Se puede auditar solo la web?

Sí. El análisis de cabeceras, cifrado y exposición de ficheros se hace por separado y es más rápido que una auditoría completa de la red.

¿La auditoría incluye aplicar las correcciones?

La auditoría entrega el diagnóstico y el plan. Aplicar las medidas es un trabajo posterior que el cliente puede encargarnos o llevar a otro proveedor.

¿Sirve la auditoría para obtener la certificación ISO 27001?

Es un buen punto de partida, porque muestra riesgos y controles que la norma exige revisar. La certificación, en cualquier caso, la concede un organismo acreditado, no nosotros.