Servidores proxy ocultos: riesgos y detección
Un servidor proxy oculto es un proxy (un relé que reenvía tráfico en nombre de un cliente) configurado para pasar desapercibido. Puede ocultar la identidad del usuario, puede estar funcionando donde no debería o puede disfrazar su tráfico de navegación corriente. Los proxies en sí son infraestructura cotidiana; el problema es lo que uno oculto le permite a alguien hacer con tu visibilidad y tu control.
Qué es un proxy y qué hace que uno esté «oculto»
Un proxy se sitúa entre un cliente y un destino y retransmite el tráfico entre ambos, de modo que el destino ve al proxy y no al cliente original. Eso es útil y legítimo: los gateways web corporativos, las redes de distribución de contenidos y las herramientas de privacidad son proxies, y las organizaciones enrutan a propósito el tráfico saliente a través de proxies que registran para aplicar sus políticas.
Un proxy pasa a estar «oculto» cuando se diseña para evadir la atribución o la inspección. Eso abarca tres casos que se solapan: un proxy anónimo que oculta quién hace realmente una solicitud; un proxy no autorizado que funciona en silencio dentro de una red sin que nadie lo haya aprobado; y un proxy cuyo tráfico está disfrazado para mezclarse con el tráfico web normal. En todos los casos el reenvío es el mismo; lo que cambia es la intención de no ser visto ni gobernado.
Los proxies no son el enemigo; los ocultos sí
Conviene ser preciso, porque «proxy» no es una mala palabra. Los proxies autorizados son un control de seguridad básico: filtran y registran el acceso web, guardan contenido en caché y te dan un único punto donde aplicar políticas al tráfico saliente. La preocupación es específicamente el proxy oculto o no autorizado, el que existe para saltarse justo esos controles. La misma propiedad que hace valioso a un proxy aprobado (retransmite tráfico en nombre de alguien) convierte a uno no aprobado en una herramienta lista para la evasión.
Cómo se abusa de los proxies ocultos
- Evasión de políticas por parte de internos. Un empleado enruta su navegación a través de un proxy anónimo para llegar a sitios bloqueados o para mantener su actividad fuera de los registros. A menudo es más descuido que malicia, pero ciega los controles de los que dependes.
- Ocultación del origen por parte de atacantes. Un atacante retransmite su actividad a través de uno o varios proxies para que el tráfico observado no pueda rastrearse hasta su origen real, lo que dificulta la investigación y la atribución.
- Exfiltración de datos. Los datos robados salen de la red por un túnel a través de un proxy, a menudo disfrazados de tráfico saliente corriente hacia un destino de apariencia permitida, de modo que se cuelan por los controles de salida que vigilaban transferencias evidentes.
- Comando y control. El malware usa un proxy o un relé para recibir instrucciones y enviar resultados, con la comunicación disfrazada de conexiones web normales para esconderse entre el tráfico saliente legítimo. Es uno de los usos más silenciosos y peligrosos, porque mantiene vivo un punto de apoyo sin hacer saltar alarmas.
El hilo común es la ocultación: un proxy oculto rompe el vínculo entre el origen real y el tráfico que observas. Y las debilidades del reenvío automático de puertos que tratamos en nuestro explicativo sobre UPnP pueden facilitar aún más que un relé así abra una salida inesperada de la red.
El riesgo real: perder el control de la salida
La mayoría de los programas de seguridad vuelcan su esfuerzo en el tráfico entrante (lo que se permite que llegue a la red) y confían sin decirlo en todo lo que sale. Los proxies ocultos explotan justo ese hueco. Si el tráfico se retransmite a través de uno, puede que no consigas atribuirlo a un origen real ni inspeccionar lo que transporta, y el tráfico que no puedes atribuir ni inspeccionar es tráfico que no puedes gobernar. Esa única debilidad es lo que hace posibles la exfiltración de datos, el comando y control y la evasión de políticas. Invertir el comportamiento por defecto, tratando lo saliente con la misma sospecha que lo entrante, es una aplicación directa del pensamiento zero trust al perímetro de la red.
Filtrado de salida y detección
Como el problema es una salida de confianza y sin inspeccionar, las defensas consisten en controlar y vigilar lo que sale.
- Denegación por defecto del tráfico saliente. Permite salir solo a destinos y protocolos aprobados, para que un host no pueda llegar libremente a cualquier proxy de internet. Es el control con mayor palanca.
- Fuerza el tráfico a través de proxies autorizados. Dale al tráfico saliente un punto de paso obligado que controles y registres, para tener un lugar donde verlo en lugar de muchas salidas invisibles.
- Inspecciona el tráfico cifrado donde la política lo permita. La mayoría de los túneles se esconden hoy dentro de TLS, así que la visibilidad a menudo exige inspección en un límite controlado, dentro de los límites legales y de la política.
- Detecta las señales delatoras. Vigila las conexiones a redes de anonimato, relés en la nube y servicios de proxy conocidos; los puertos de destino inusuales; los intervalos regulares de beaconing que sugieren un comando y control automatizado; los protocolos que no coinciden, cuando el tráfico de un puerto no es el protocolo que ese puerto debería llevar; y los volúmenes salientes constantes o grandes que no encajan con el comportamiento normal de un host.
- Gobierna también las peticiones desde el servidor. Las aplicaciones que hacen solicitudes salientes pueden usarse como relés; limitar a dónde pueden conectarse forma parte de la misma disciplina, tratada en nuestro checklist de defensa contra SSRF.
La conclusión
Un servidor proxy oculto es simplemente un relé que alguien no quiere que veas, y esa invisibilidad es justo la cuestión, porque te quita la capacidad de atribuir e inspeccionar el tráfico. Los proxies no son el problema; la salida sin monitorear sí. Controla lo que sale de tu red con reglas de denegación por defecto y puntos de paso autorizados, inspecciona donde puedas y busca el beaconing, los puertos extraños y las conexiones a redes de anonimato que delatan a los proxies ocultos. El tráfico saliente merece exactamente el mismo escrutinio que el entrante.
Preguntas frecuentes
¿Qué es un servidor proxy oculto? Un proxy (un relé que reenvía tráfico para un cliente) configurado para pasar desapercibido, ya sea ocultando la identidad (proxy anónimo), funcionando sin autorización dentro de una red o disfrazando su tráfico de navegación corriente.
¿Los proxies son maliciosos en sí? No. Los proxies son infraestructura corriente que se usa para filtrar, registrar, guardar en caché y proteger la privacidad. La preocupación son los proxies ocultos o no autorizados que existen para saltarse controles u ocultar actividad.
¿Cómo los usan los atacantes y los internos? Los internos evaden el filtrado web y el monitoreo; los atacantes ocultan su origen, sacan datos robados por un túnel burlando los controles de salida y retransmiten el tráfico de comando y control para que el malware se mezcle con las conexiones salientes normales.
¿Cuáles son los principales riesgos? La pérdida de visibilidad y control sobre el tráfico saliente, que permite la exfiltración de datos, el comando y control y la evasión de políticas. Se esconden en la salida de confianza y sin inspeccionar.
¿Cómo se detectan y se previenen? Denegación por defecto de la salida, forzar el tráfico a través de proxies autorizados, inspeccionar el tráfico cifrado donde se permita y detectar conexiones a redes de anonimato, puertos inusuales, beaconing y protocolos que no coinciden.
Preguntas frecuentes
¿Qué es un servidor proxy oculto?
Un servidor proxy es un relé que reenvía tráfico de red en nombre de un cliente, de modo que el destino ve al proxy y no al cliente original. Un servidor proxy oculto es uno que pasa desapercibido a propósito: un proxy anónimo que oculta quién hace realmente la solicitud, un proxy no autorizado que funciona en algún punto de una red donde no debería, o un proxy cuyo tráfico está disfrazado para parecer navegación web corriente. Lo «oculto» tiene que ver con evadir la atribución y la inspección: el proxy hace el mismo reenvío que un proxy normal, pero de una forma diseñada para no ser visto ni gobernado.
¿Los servidores proxy son maliciosos en sí?
No. Los proxies son infraestructura corriente y útil. Las organizaciones usan proxies para filtrar y registrar el acceso web, guardar contenido en caché y aplicar la política de seguridad al tráfico saliente. Las redes de distribución de contenidos, los gateways web corporativos y las herramientas de privacidad son proxies de un tipo u otro. El problema no son los proxies como tecnología, sino los ocultos o no autorizados: un proxy que existe específicamente para saltarse controles, ocultar la identidad o sacar tráfico por un túnel sin inspección. El mismo reenvío que hace valioso a un proxy autorizado convierte a uno no autorizado en una herramienta de evasión.
¿Cómo usan los proxies ocultos los atacantes y los internos?
Los internos usan proxies anónimos para saltarse el filtrado web y el monitoreo: llegar a sitios bloqueados u ocultar su actividad de los registros. Los atacantes los usan de varias formas: para ocultar el origen real de su actividad de modo que no pueda rastrearse; para sacar datos robados de una red burlando los controles de salida, retransmitiéndolos a través de un destino de apariencia permitida; y para transportar el tráfico de comando y control del malware, retransmitiendo instrucciones y resultados para que su comunicación se mezcle con las conexiones salientes normales. En cada caso el proxy aporta ocultación: rompe el vínculo entre el origen real y el tráfico observado.
¿Cuáles son los principales riesgos de seguridad de los proxies ocultos?
El riesgo central es la pérdida de visibilidad y control sobre el tráfico saliente. Si el tráfico se retransmite a través de un proxy oculto, puede que no consigas atribuirlo a un origen real ni inspeccionar lo que contiene, lo que socava el monitoreo, la prevención de pérdida de datos y la aplicación de políticas. En concreto, eso permite la exfiltración de datos (datos sensibles que salen por un túnel disfrazados de tráfico corriente), el comando y control (malware que recibe instrucciones por un canal de apariencia benigna) y la evasión de políticas (usuarios que se saltan el filtrado). Una red que confía por defecto en su tráfico saliente les da a todos ellos un lugar donde esconderse.
¿Cómo se detecta y se previene el uso de proxies ocultos?
Trata la salida como algo que controlar e inspeccionar, no como algo en lo que confiar. Aplica reglas de salida de denegación por defecto para que solo sean alcanzables los destinos aprobados, y fuerza el tráfico a través de proxies autorizados que registren, para tener un punto de paso visible. Inspecciona el tráfico cifrado donde la política y la ley lo permitan, ya que la mayoría de los túneles se esconden hoy dentro de TLS. Para la detección, vigila las conexiones a redes de anonimato, relés en la nube y servicios de proxy conocidos; los puertos de destino inusuales; los patrones regulares de beaconing que sugieren un comando y control automatizado; los protocolos que no coinciden, cuando el tráfico de un puerto no corresponde al protocolo esperado; y los volúmenes salientes grandes o constantes que no encajan con el comportamiento normal del host. Combinar la prevención en el límite de salida con la detección por comportamiento saca a la luz los proxies que intentan seguir ocultos.