Filosofía de Seguridad en Ciberseguridad: Cómo Eliminar la Decisión del Usuario para Proteger tu Empresa

Filosofía de Seguridad: Eliminar la Decisión del Usuario

En el mundo actual de la ciberseguridad, uno de los principales desafíos es el “error humano”. Esto ocurre cuando las vulnerabilidades son explotadas a través de la ingeniería social, aprovechándose de la buena voluntad, la urgencia o el temor del usuario. Por ello, nuestra estrategia se basa en eliminar la carga de la seguridad de los hombros de los empleados, asegurando un entorno más seguro.

¿Por qué es crucial este enfoque?

1. Los empleados no son expertos en ciberseguridad: Es poco realista esperar que un colaborador de finanzas o recursos humanos distinga entre una conexión legítima y una estafa, especialmente bajo presión.
2. Fatiga de decisión: Ante numerosas alertas o llamadas urgentes de supuestos “soportes técnicos”, es fácil que el usuario se decante por una decisión rápida para resolver el problema.
3. Bloqueo Técnico vs. Bloqueo Humano: Si dependemos del criterio del empleado para decir “No”, existe un riesgo. Sin embargo, si el software está configurado para impedir que el usuario diga “Sí”, eliminamos esa posibilidad.

Al aplicar esta guía, transformamos nuestra seguridad de reactiva (esperar que el usuario detecte la amenaza) a preventiva, donde el sistema se encarga de rechazar las amenazas sin necesidad de intervención humana.

Protección contra Ingeniería Social y Accesos No Autorizados

Esta guía proporciona una configuración técnica avanzada para empresas en Chile utilizando la licencia Standard (y el addon de Namespace), para prevenir que atacantes externos engañen a los colaboradores y obtengan acceso remoto no autorizado.

1. Profundización en ACL (Listas de Control de Acceso)

La ACL es la primera línea de defensa y opera bajo el principio de “Denegar todo por defecto”. Si la lista de acceso está vacía, AnyDesk permite conexiones de cualquier persona (previa confirmación). Si hay una sola entrada en la lista, se bloquean automáticamente todas las conexiones que no coincidan con esa entrada.

Sintaxis y Estrategia de Configuración

En lugar de añadir IDs numéricos individuales (lo cual puede complicarse con el movimiento del personal), se sugiere usar Wildcards (Comodines) si tienes un Namespace, o IDs específicos si no.

A. Filtrado por ID Numérico (Básico)

Ideal si tus técnicos utilizan AnyDesk genérico o no cuentas con un Namespace.

• Formato: 123456789 (Un ID por línea).
• Ventaja: Control preciso.
• Desventaja: Debes actualizar el acceso de todos los empleados si cambias algún técnico.

B. Filtrado por Namespace y Wildcards (Avanzado)

Perfecto si tu empresa adquirió el addon de Namespace (ej. @miempresa).

• Formato: *@miempresa
• Funcionamiento: El comodín permite que cualquier técnico con un usuario que termine en @miempresa pueda conectar, mientras que bloqueará automáticamente a:
  • Usuarios @ad (la versión gratuita/pública).
  • Usuarios de otras empresas.
  • Atacantes utilizando cuentas robadas de otros dominios.

Ubicación en la Configuración

Para pruebas locales antes de realizar un despliegue:

1. Ingresa a Configuración > Seguridad.
2. Desbloquea el candado de seguridad (requerido admin).
3. Encontrarás la sección Lista de Control de Acceso.
4. Activa Restringir acceso a las siguientes ID y alias.
5. Ingresar los patrones (ej. *@miempresa o IDs específicos).

2. Configuración del Cliente Personalizado (Custom Client)

Es fundamental que los empleados no instalen el AnyDesk público. Genera un ejecutable MSI/EXE desde my.anydesk.com que contenga las reglas de seguridad integradas.

Pasos Clave en el Generador (my.AnyDesk):

Al crear un nuevo cliente en la pestaña Clients, configura lo siguiente:

A. Sección “Options” (Opciones)

• Disable Settings (Desactivar configuración): RADICAL. Aunque esta configuración puede no ser necesaria en empresas con buena gestión de privilegios, es recomendable activarla para evitar que un atacante logre evadir la seguridad a través de ingeniería social.
• Request Elevation at Startup: Recomendado. Esto solicita elevación de privilegios al iniciar, evitando bloqueos de Windows durante tareas administrativas.

B. Sección “Security” (Seguridad)

• Access Control List (ACL): Define aquí la lista blanca en el instalador.
• Interactive Access: Mantener en “Always Show Incoming Session Requests” (Siempre mostrar solicitudes). Es fundamental no permitir acceso sin supervisión, a menos que sea un servidor.

C. Sección “Program Name & Icon” (Identidad Visual)

• Sube el logotipo de tu empresa.
• Renombra “AnyDesk” a “Soporte Remoto [TuEmpresa]”.
• “Efecto Psicológico”: Educa a los colaboradores para que reconozcan el software legítimo.

2.1. Gestión Avanzada: Clientes Dinámicos (Dynamic Configuration)

Los clientes personalizados tradicionales (Estáticos) tienen la limitación de que la configuración es permanente. En caso de que necesites cambiar la lista de acceso (ACL) o ajustar políticas de seguridad, deberás crear un nuevo instalador, lo que puede ser costoso y lento.

AnyDesk (versión 8.0.3 o superior) ofrece Configuración de Cliente Dinámico.

¿Qué son y cómo funcionan?

El cliente dinámico no tiene la configuración incrustada. En cambio, consulta periódicamente los servidores de AnyDesk para descargar su configuración más reciente.

Ventajas Críticas (Cero Re-despliegue)

1. Actualización de ACL en Tiempo Real:

   • Ejemplo: Si despides a un técnico con acceso crítico.
   • Solución: Entras a la consola web, eliminas la ID de la ACL, y ¡listo! Todos los computadores de la empresa se actualizan automáticamente.

2. Flexibilidad en Políticas:

   • Puedes ajustar la seguridad sin reinstalar el software.

3. Facilidad de Gestión:

   • Mantienes una “fuente única de verdad” en la nube, asegurando configuraciones iguales en todos los clientes.

Cómo Implementar Clientes Dinámicos

1. En my.anydesk.com, ve a la pestaña Files o Clients.
2. Activa la opción “Private key”.
3. Crea una nueva configuración de cliente.
4. Asegúrate de que la opción de Dynamic Configuration esté activa.
5. Al instalar, se vinculará a ese perfil en la nube.

3. El Addon “Namespace” (Espacio de Nombres)

En AnyDesk, los usuarios públicos tienen el alias nombre@ad. El Namespace permite tener un sufijo único, ej. nombre@miempresa.

¿Por qué es la herramienta definitiva contra la suplantación?

1. Verificación de Identidad (Anti-Spoofing)

Nadie más puede crear un alias que termine en @tuempresa, gracias a la verificación de dominio de AnyDesk.

• Escenario de ataque: Un hacker se presenta como “Soporte TI”. Su ID será hacker@ad.
• Defensa: Si tu ACL está configurada como *@tuempresa, la conexión es rechazada automáticamente.

2. Gestión Escalable

Con Namespace, al incorporar un nuevo técnico, simplemente creas su alias en la consola (nuevo.tecnico@tuempresa), y el acceso se permite instantáneamente.

3. Auditoría Forense

En los registros de conexión (my.anydesk.com > Sessions), es fácil rastrear las conexiones, ya que operan bajo alias corporativos.

Costo e Implementación

El Namespace es un “Add-on” (costo adicional) sobre la licencia Standard o Advanced, aunque puede estar incluido en licencias Enterprise. Se adquiere una sola vez por nombre.

Resumen de la Arquitectura Propuesta

Para lograr una seguridad robusta:

1. Adquirir Namespace: Comprar @miempresa.
2. Asignar Alias: Dar a cada técnico su alias corporativo (tecnico1@miempresa).
3. Crear Cliente Personalizado Dinámico:
   • Logo corporativo.
   • Configuración deshabilitada para el usuario.
   • Vinculado a perfil dinámico en la nube.
   • ACL Centralizada: *@miempresa.
4. Despliegue: Instalar este MSI vía GPO en todos los equipos.
5. Resultado: Solo los técnicos con alias @miempresa pueden iniciar conexiones. El resto está bloqueado y puedes revocar accesos en segundos.

Notas adicionales sobre la implementación

1. Despliegue vía GPO (Políticas de Grupo):
   Utiliza comandos de instalación silenciosa en tu Directorio Activo.
   AnyDesk_Custom_Client.msi /qn

2. Sin Namespace:
   Puedes aplicar la estrategia, pero deberás manejar una lista estática de IDs.

3. Seguridad Física del Técnico:
   Asegúrate de que los técnicos tengan:

   • Autenticación de Doble Factor (2FA) activada.
   • Contraseña fuerte en su sesión de Windows.

Invitamos a todas las empresas chilenas a probar gratis AnyDesk y descubrir todos sus beneficios. Si deseas conocer más sobre la compra de AnyDesk en Chile, no dudes en contactarnos.