Filtrado web por categorías y control de aplicaciones que sí aguanta
Bloquear una lista de direcciones bastaba cuando la web viajaba en claro y cada sitio tenía su dirección IP. Hoy decenas de miles de sitios comparten una misma dirección y el nombre viaja cifrado. La política tiene que apoyarse en otra cosa.
La lista de bloqueos que envejece sola
Alguien escribió una lista de sitios prohibidos hace tres años. Tiene cuarenta entradas y ninguna se ha revisado. Mientras tanto, el personal entra por un dominio nuevo que nadie anotó, el becario instaló un programa para conectarse a su casa y ventas descarga archivos desde un servicio que nadie aprobó. La lista sigue ahí, dando la sensación de que existe una política. Peor todavía: alguien bloqueó una dirección IP para frenar un sitio y de paso tumbó el portal de una entidad bancaria que casualmente vivía detrás del mismo servidor de distribución.
Por qué bloquear por dominio ya no sostiene una política
Cuatro razones técnicas, y ninguna se arregla añadiendo más entradas a la lista:
- Una dirección IP no identifica un sitio. Detrás de una sola dirección de una red de distribución pueden vivir decenas de miles de dominios. Bloquear por dirección es artillería: derriba lo que apuntabas y lo que estaba al lado.
- El nombre del sitio viaja dentro del cifrado. Hoy el firewall todavía alcanza a leer el nombre solicitado durante el saludo inicial de la conexión. Ese hueco se está cerrando: la extensión que cifra ese saludo ya es estándar, y cuando se generalice el aparato solo verá el nombre del intermediario, no el destino real.
- El nombre de afuera puede no ser el de adentro. Es posible presentarse con un dominio inocente en la capa visible y pedir otro distinto una vez establecida la conexión. Un filtro que solo mira el nombre exterior aprueba el tránsito.
- El resolutor deja de ser tuyo. Si el navegador consulta nombres cifrados contra un servicio público, tu filtrado de nombres no ve nada. Se bloquea en el firewall.
Lo que sí sobrevive: abrir la sesión con un certificado propio en los equipos administrados, clasificar el destino por categoría con una fuente que se actualiza a diario, y reconocer el programa por la forma de su tráfico, aunque salte de puerto o de dominio.
Control de aplicaciones: la parte que la gente no espera
El filtrado por categorías decide a dónde va la navegación. El control de aplicaciones decide con qué programa, y es el que atrapa lo que de verdad duele: túneles para saltarse la política, escritorios remotos instalados sin permiso, servicios de almacenamiento por los que sale información y clientes de intercambio de archivos.
Esto vive en el mismo aparato y tiene su propio precio en caudal. En un FortiGate 60F el control de aplicaciones declara 1.8 Gbps con objetos de 64 KB, y la cifra combinada de firewall, IPS y control de aplicaciones baja a 1 Gbps. Es más barato que la inspección completa de HTTPS, pero no es gratis, y conviene tenerlo en la hoja de cálculo antes de encenderlo.
Dos matices que evitan la mitad de las quejas:
- No todo se bloquea; algunas cosas se limitan. Video en horario de trabajo con cuota diaria funciona mejor que la prohibición total, que solo enseña a la gente a buscar la vuelta.
- La regla se escribe por grupo, no por persona. Mercadeo necesita redes sociales; contabilidad, no. Una política por cargo se sostiene cuando alguien entra o sale; una lista de nombres, no.
Cómo escribimos la política de navegación
Primero medimos, sin bloquear nada
Dos semanas de registro para ver qué se usa de verdad. Casi siempre aparece un servicio crítico para un área que nadie del comité conocía.
Bloqueamos primero lo que tiene riesgo legal
Contenido ilegal, sitios de descarga de programas alterados y anonimizadores. Ahí no hay discusión de negocio que tener.
Agrupamos por cargo, no por nombre
Tres o cuatro perfiles bastan en una empresa mediana. Cada uno con su lista de categorías permitidas y su cuota.
Cada excepción con dueño y con fecha
Se apunta quién la pidió y cuándo se revisa. Sin fecha, las excepciones se acumulan hasta que la política deja de significar algo.
Revisamos el informe cada mes
Lo bloqueado que debía pasar y lo permitido que no debía. La política se afina con datos, no con la reunión del trimestre.
Qué entregamos
- Documento de política con las categorías permitidas por cada perfil de usuario
- Informe de la fase de solo observación, con lo que se usa y quién lo usa
- Lista de aplicaciones no aprobadas detectadas, con su volumen de tráfico
- Página de bloqueo en español, que explique a quién escribir para pedir acceso
- Registro de excepciones con solicitante y fecha de revisión
- Informe mensual de navegación, legible por alguien no técnico
Las cuatro etapas del trabajo
Diagnóstico
Qué filtra hoy tu equipo, qué se escapa y qué caudal queda disponible para encender lo que falta.
Propuesta
Perfiles, categorías y el impacto estimado en rendimiento, con el alcance y lo que queda fuera.
Implementación
Fase de observación, despliegue del certificado en los equipos administrados y paso a bloqueo por perfiles.
Soporte
Horario de oficina, de lunes a viernes: excepciones, ajustes de categoría e informe periódico.
Lo que nos preguntan sobre filtrado
¿Puedo bloquear la mensajería instantánea?
Técnicamente sí: el control de aplicaciones la reconoce por su firma. Antes de hacerlo comprueba si algún área la usa para atender clientes, porque es frecuente. Se puede permitir en un perfil y negar en otro.
¿Se enteran los usuarios de que se inspecciona su tráfico?
Deben enterarse. Una política de uso aceptable firmada es lo que sostiene la medida, y en la práctica se nota igual: la página de bloqueo lleva tu mensaje.
¿Qué pasa con la banca en línea y los trámites personales?
Se excluyen de la inspección. Además de la privacidad, hay una razón práctica: varias aplicaciones fijan el certificado que esperan recibir y simplemente dejan de conectarse cuando algo se interpone.
¿Y si el empleado usa datos del celular?
Ahí tu filtrado no llega, y conviene decirlo en vez de fingir lo contrario. Por eso el filtrado se combina con controles en el equipo y con permisos bien puestos en los sistemas: la navegación es una capa, no la única.
¿Cuánto rendimiento me cuesta encenderlo?
El control de aplicaciones es liviano comparado con abrir HTTPS. En el 60F son 1.8 Gbps de control de aplicaciones frente a 630 Mbps cuando además se inspecciona HTTPS. Si tu enlace es modesto, la diferencia no se siente.
¿No basta con filtrar en el servidor de nombres?
Es barato y ayuda, pero un navegador que consulta nombres cifrados contra un servicio público lo esquiva sin que el usuario lo note. Sirve como capa adicional, no como control principal.
¿Esto frena el ransomware?
Corta parte del camino: la descarga desde un sitio recién creado y la llamada del programa a su servidor de control. No cubre lo que llega por [correo](/ciberseguridad/proteccion-de-correo-y-phishing) ni la [propagación interna](/ciberseguridad/segmentacion-de-red-y-vlan).
Dónde encaja esto en el resto
El filtrado se aplica en el mismo aparato que hace todo lo demás, así que se planifica junto con él:
- El dimensionamiento del equipo, porque cada perfil que enciendes se descuenta del mismo caudal.
- El acceso desde fuera de la oficina, que decide si la navegación del personal remoto pasa o no por tu política.
- La red de invitados, donde la política es distinta a la del personal y conviene que lo sea.
- El respaldo, que es lo que queda cuando algo pasa el filtro.
El catálogo completo está en servicios.
Dónde encaja esto
«Filtrado web y control de aplicaciones» forma parte de nuestro bloque de ciberseguridad: ahí está Soluciones.
Empieza por saber qué se usa hoy en tu oficina
Dos semanas de observación sin bloquear nada dejan un informe con los sitios, los programas y el volumen por área. Con eso encima de la mesa, la política se decide en una reunión en vez de tres.