Security

Problema Los playbooks de ransomware modernos ya no se limitan a cifrar discos. Un paso recurrente es comprometer el plano de control de identidad: modificar configuraciones de Azure AD, Okta, OneLogin o cualquier IdP, desactivar MFA, eliminar aplicaciones SSO o cambiar políticas de acceso condicional. El objetivo es doble: mantener persistencia y, al mismo tiempo, bloquear a los equipos de respuesta que dependen de esas credenciales para contener la brecha. ...

Problema En entornos con cientos o miles de servidores Linux, la trazabilidad de cambios suele estar fragmentada. Los equipos de operaciones gestionan parches en un sistema (por ejemplo, un repositorio apt o dnf), la autorización de esos cambios se registra en una herramienta de tickets o una hoja de cálculo, y el acceso real a la máquina se controla mediante bastiones, claves estáticas o soluciones de gestión de secretos. Cuando un auditor pide evidencia de que “Juan Pérez estuvo autorizado a aplicar el parche X en la máquina host01 el 12‑03‑2024 y lo hizo con su propia credencial”, el responsable debe combinar logs de gestión de paquetes, registros de bastión y auditorías de tickets. Esa costosa costura manual genera errores, lagunas y, en el peor caso, incumplimiento. ...

Problema En varios portátiles y desktops con Windows 11, después de aplicar una actualización de Windows que incluye un firmware (BIOS/UEFI) nuevo, el arranque se detiene con el mensaje “Boot manager has been blocked by the current security policy”. El equipo no pasa del control de Secure Boot y no carga el sistema operativo, aunque desactivar temporalmente Secure Boot permite iniciar Windows sin problemas. El síntoma se repite en máquinas que usan BitLocker, en configuraciones con claves de arranque firmadas y en entornos donde la política de firma de Secure Boot se actualiza automáticamente. ...

Problema En varios portátiles y desktops con Windows 11, después de instalar una actualización que incluye un firmware BIOS/UEFI, el arranque se detiene con el mensaje “Boot Manager Blocked by Current Security Policy”. La causa típica es que Secure Boot está habilitado y la base de datos de claves (DB/KEK) del firmware ha sido modificada por la actualización, mientras que el cargador de arranque de Windows sigue firmado con una clave que ya no coincide. El síntoma es idéntico en distintas marcas: el sistema no pasa del splash de Secure Boot y sólo arranca cuando se desactiva temporalmente Secure Boot en la BIOS. ...

Problema Muchas organizaciones tienen un catálogo creciente de aplicaciones web internas que se ejecutan en contenedores Docker o en clústers de Kubernetes. Los usuarios necesitan acceder a esas apps desde sus smartphones, pero el parque de dispositivos es mixto: algunos están gestionados mediante Intune, otros son BYOD y no pueden recibir agentes, certificados ni configuraciones especiales. El reto consiste en ofrecer acceso clientless (a través del navegador o una app mínima) manteniendo: ...

Problema En entornos con pocos equipos y sin dominio, los auditores suelen solicitar pruebas de que los usuarios no administrativos no pueden abrir, borrar o exportar los registros del sistema. La petición típica incluye: Capturas que demuestren “Access is denied” al intentar abrir el Visor de eventos. Evidencia de que la política de auditoría está habilitada. Configuración de políticas locales que respalden el control. Sin Active Directory, la única forma de aplicar y documentar esas restricciones es a través de la política de grupo local (Local GPO) y de la configuración de auditoría de seguridad. ...

Problema Muchas pequeñas empresas gestionan sus equipos Windows de forma aislada, sin Active Directory ni políticas de dominio. Los auditores suelen exigir pruebas de que los usuarios estándar no pueden abrir, exportar o borrar los registros del sistema. En un entorno sin AD, ¿cómo se garantiza y documenta esa restricción usando solo configuraciones locales? Causa En Windows, la capacidad de leer los registros de seguridad y de sistema está ligada a los privilegios SeSecurityPrivilege y SeBackupPrivilege. Por defecto, los miembros del grupo Administrators poseen ambos, mientras que los usuarios estándar no los tienen. Sin embargo, la interfaz de Event Viewer permite al usuario abrir los logs de Aplicación y Sistema en modo de solo‑lectura, lo que a veces se interpreta como “acceso permitido”. La verdadera barrera debe aplicarse a los logs críticos (Security, Setup, Forwarded Events) y a la operación de exportar o borrar. ...

Problema En entornos Windows es frecuente encontrarse con la pantalla del navegador que muestra ERR_SSL_VERSION_OR_CIPHER_MISMATCH al intentar abrir una URL HTTPS que debería devolver JSON, como https://api.nuget.org/v3/index.json. El error no es un simple 404; indica que el cliente y el servidor no lograron negociar un algoritmo de cifrado compatible. El síntoma típico incluye: Navegador o herramienta curl devuelve el mensaje de error mencionado. PowerShell muestra fallos de Schannel en el Visor de eventos. Varios procesos (OneDrive, Visual Studio, etc.) registran “A fatal error occurred while creating a TLS client credential”. Aunque el caso concreto es NuGet, el patrón se repite con cualquier servicio que requiera TLS 1.2/1.3 y que dependa de la pila de seguridad de Windows (Schannel). El objetivo de este post es ofrecer una guía reutilizable para diagnosticar y corregir este tipo de fallos en cualquier máquina Windows. ...

Problema En entornos donde OPNSense actúa como firewall, servidor OpenVPN y host de servicios como Caddy y Unbound, es frecuente que los clientes VPN pierdan la capacidad de resolver nombres internos (por ejemplo homeassistant.mynetwork.local) y, como consecuencia, no puedan alcanzar los sitios publicados por el reverse proxy. La conectividad IP (ping, acceso a interfaces LAN) funciona, pero cualquier solicitud basada en el nombre de dominio interno devuelve NXDOMAIN o timeout. El síntoma se reproduce tanto en IPv4 como en IPv6 y ocurre únicamente cuando el tráfico proviene de la interfaz tun0 del túnel VPN. ...

Problema En un homelab o cualquier entorno self‑hosted es frecuente ejecutar varios servicios detrás de un proxy inverso. Cada servicio necesita TLS para evitar tráfico en texto plano, pero la validación HTTP‑01 de Let’s Encrypt no funciona cuando el objetivo está aislado en la red local o no es accesible desde Internet. El reto es decidir entre certificados auto‑firmados y certificados públicos obtenidos mediante el desafío DNS‑01, y además garantizar que la renovación y rotación sean automáticas y seguras. ...