Muchos usuarios de computadoras no se dan cuenta, pero para la mayoría de las personas su enrutador de Internet es el dispositivo electrónico más importante en su hogar. Vincula la mayoría de sus otros dispositivos entre sí y con el mundo, por lo que tiene una posición altamente privilegiada que los hackers pueden explotar.
Desafortunadamente, muchos enrutadores de consumidores y pequeñas empresas vienen con configuraciones predeterminadas inseguras, tienen cuentas de puerta trasera indocumentadas, exponen servicios heredados y tienen firmware plagado de fallas básicas. Los usuarios no pueden solucionar algunos de estos problemas, pero hay muchas acciones que se pueden tomar para proteger al menos estos dispositivos de ataques automatizados a gran escala.
No permita que su enrutador sea una fruta sencilla para los hackers.
- Cómo conectar mi enrutador a un módem comcast
- Cómo aumentar el alcance de un enrutador inalámbrico
- ¿Qué preguntas se hacen en CCNA Router & Switching?
- ¿Cuál es el tiempo de arranque del enrutador?
- Cómo configurar correctamente un enrutador inalámbrico
Acciones basicas
- Evite usar enrutadores suministrados por los ISP. Estos enrutadores suelen ser menos seguros que los vendidos por los fabricantes a los consumidores. A menudo tienen credenciales de soporte remoto codificadas que los usuarios no pueden cambiar y los parches para sus versiones de firmware personalizadas van a la zaga de los parches para los mismos defectos lanzados por los fabricantes de enrutadores.
- Cambia la contraseña de administrador predeterminada. Muchos enrutadores vienen con contraseñas de administrador predeterminadas y los atacantes intentan constantemente entrar en dispositivos usando estas credenciales conocidas públicamente. Después de conectarse a la interfaz de administración del enrutador por primera vez a través de su navegador, la dirección debe ser la dirección IP predeterminada del enrutador que se encuentra en su etiqueta inferior o en la guía de configuración, asegúrese de que lo primero que haga es cambiar la contraseña .
- La interfaz de administración basada en web del enrutador no debe ser accesible desde Internet. Para la mayoría de los usuarios, no es necesario administrar el enrutador desde fuera de la LAN (red de área local). Si se necesita administración remota, considere usar una solución VPN (red privada virtual) para establecer primero un canal seguro a la red local y luego acceder a la interfaz del enrutador.
- Incluso dentro de la LAN, es bueno restringir qué direcciones IP (Protocolo de Internet) pueden administrar el enrutador. Si esta opción está disponible, es mejor permitir el acceso desde una sola dirección IP que no sea parte del conjunto de direcciones IP asignadas a las computadoras a través de DHCP (Protocolo de configuración dinámica de host). Por ejemplo, configure el servidor DHCP del enrutador para asignar direcciones IP desde 192.168.0.1 a 192.168.0.50 y luego configure la interfaz web para permitir solo el acceso desde 192.168.0.53. La computadora debe configurarse manualmente para usar esta dirección solo cuando necesite conectarse al enrutador.
- Active el acceso HTTPS a la interfaz del enrutador, si está disponible, y siempre cierre la sesión cuando haya terminado. Use el navegador en modo incógnito o privado cuando trabaje con el enrutador para que no queden cookies de sesión y nunca permita que el navegador guarde el nombre de usuario y la contraseña del enrutador.
- Cambie la dirección IP LAN del enrutador si es posible. La mayoría de las veces, a los enrutadores se les asignará la primera dirección en un bloque de red predefinido, por ejemplo 192.168.0.1. Si se le ofrece la opción, cambie esto a 192.168.0.99 u otra cosa que sea fácil de recordar y que no forme parte del grupo de DHCP. Todo el bloque de red utilizado por el enrutador también se puede cambiar a uno de los reservados para redes privadas. Hacer esto protegerá contra ataques de falsificación de solicitudes entre sitios (CSRF) que intentan acceder a los enrutadores a través de los navegadores de los usuarios utilizando las direcciones IP predeterminadas comúnmente asignadas a dichos dispositivos.
- Elija una contraseña compleja de Wi-Fi y un protocolo de seguridad sólido. WPA2 (Acceso protegido Wi-Fi II) debería ser la opción de elección, ya que los WPA y WEP más antiguos son susceptibles a ataques de fuerza bruta. Si el enrutador ofrece la opción, cree una red inalámbrica invitada, también protegida con WPA2 y una contraseña segura. Deje que los visitantes o amigos usen esta red de invitados aislada en lugar de la principal. Es posible que no tengan intenciones maliciosas, pero sus dispositivos pueden verse comprometidos o infectados con malware.
- Deshabilite WPS (configuración protegida de Wi-Fi). Esta es una característica poco utilizada diseñada para ayudar a los usuarios a configurar redes Wi-Fi fácilmente mediante el uso de un PIN impreso en una pegatina. Sin embargo, se encontró una vulnerabilidad grave en muchas implementaciones de proveedores de WPS hace unos años que permite a los piratas informáticos entrar en las redes. Debido a que es difícil determinar qué modelos de enrutadores específicos y versiones de firmware son vulnerables, lo mejor es simplemente desactivar esta función en los enrutadores que lo permitan. En cambio, puede conectarse al enrutador a través de una conexión por cable y acceder a su interfaz de administración basada en la web y, por ejemplo, configurar Wi-Fi con WPA2 y una contraseña personalizada (no se necesita WPS).
- Cuantos menos servicios haya expuesto su enrutador a Internet, mejor. Esto es especialmente cierto si no ha habilitado esos servicios usted mismo y no sabe lo que hacen. Servicios como Telnet, UPnP (Universal Plug and Play), SSH (Secure Shell) y HNAP (Protocolo de administración de la red doméstica) no deberían ser accesibles desde Internet, ya que pueden presentar serios riesgos de seguridad. También deben desactivarse en la red local si no son necesarios. Los servicios en línea como Shields UP de Gibson Research Corporation (GRC) pueden escanear la dirección IP pública de su enrutador en busca de puertos abiertos. Shields Up también puede buscar UPnP por separado.
- Mantenga actualizado el firmware de su enrutador. Algunos enrutadores permiten buscar actualizaciones de firmware directamente desde la interfaz, mientras que otros incluso tienen una función de actualización automática. A veces, estas comprobaciones pueden romperse debido a cambios en los servidores del fabricante a lo largo de los años. Es una buena idea consultar regularmente el sitio web de soporte del fabricante manualmente para obtener actualizaciones de firmware para su modelo de enrutador.
Cosas más complejas
- La segmentación de red se puede utilizar para aislar dispositivos riesgosos. Algunos enrutadores de consumo ofrecen la opción de crear VLAN (redes de área local virtuales) dentro de una red privada más grande. Estas redes virtuales se pueden usar para aislar dispositivos de Internet de las cosas, que los investigadores han demostrado repetidamente que están llenos de vulnerabilidades. Muchos dispositivos IoT pueden controlarse a través de aplicaciones de teléfonos inteligentes a través de servicios externos en la nube, por lo que siempre que tengan acceso a Internet, estos dispositivos no necesitan poder comunicarse con los teléfonos inteligentes directamente a través de la red local después de la configuración inicial. Los dispositivos de IoT a menudo exponen protocolos administrativos desprotegidos a la red local para que un atacante pueda ingresar fácilmente a dicho dispositivo desde una computadora infectada con malware, si ambos están en la misma red.
- El filtrado de direcciones MAC puede mantener los dispositivos no autorizados fuera de su red Wi-Fi. Muchos enrutadores permiten restringir qué dispositivos están permitidos en la red Wi-Fi en función de su dirección MAC, un identificador único de su tarjeta de red física. Habilitar esta función puede evitar que los atacantes se conecten a una red Wi-Fi incluso si robaron su contraseña. La desventaja es que la lista blanca manual de dispositivos legítimos puede convertirse rápidamente en una carga administrativa en redes más grandes.
- El reenvío de puertos debe combinarse con el filtrado de IP. No se puede acceder a los servicios que se ejecutan en una computadora detrás de un enrutador desde Internet a menos que las reglas de reenvío de puertos estén definidas en el enrutador. Muchos programas de software intentarán abrir puertos en el enrutador automáticamente a través de UPnP, lo que no siempre es seguro. Si UPnP está desactivado, las reglas se pueden agregar manualmente y algunos enrutadores ofrecen la opción de especificar la dirección IP de origen o el bloqueo de red que puede conectarse en un puerto específico para llegar a un determinado servicio dentro de la red. Por ejemplo, si desea acceder a un servidor FTP en la computadora de su casa desde el trabajo, puede crear una regla de reenvío de puertos para el puerto 21 (FTP) en su enrutador, pero solo permitir conexiones desde el bloque de red IP de su empresa.
- El firmware personalizado puede ser más seguro que el firmware de fábrica. Hay varios proyectos de firmware basados en Linux y mantenidos por la comunidad para una amplia gama de enrutadores domésticos. OpenWRT, DD-WRT y Asuswrt-Merlin (solo para enrutadores Asus) son solo algunos de los más populares. Por lo general, ofrecen características y personalizaciones más avanzadas que el firmware de fábrica y sus mantenedores son más rápidos para corregir fallas cuando se identifican que los proveedores de enrutadores. Debido a que estos paquetes de firmware están dirigidos a entusiastas, la cantidad de dispositivos que los usan es mucho menor en comparación con aquellos que ejecutan firmware suministrado por el proveedor. Esto hace que los ataques generalizados contra firmware personalizado sean menos probables. Sin embargo, es muy importante tener en cuenta que cargar firmware personalizado en un enrutador requiere una buena cantidad de conocimiento técnico, probablemente anulará su garantía y, si se hace incorrectamente, puede dejar el dispositivo inutilizable. ¡Usted ha sido advertido!
