Laboratorio de proxy de salida
Gestiona el secure web gateway de una empresa ficticia: categorías, excepciones por grupo, exenciones de inspección TLS, tipos de archivo, DLP de subidas, dominios nuevos y salida de servidores.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
El firewall decide qué puede conectarse; el web gateway decide adónde pueden ir las personas y los servidores, y cada regla que escribes ahí o detiene algo o rompe algo. En este laboratorio gestionas el control de salida de una empresa de logística ficticia de 1.800 personas a lo largo de 6 rondas, partiendo de una política que el último administrador dejó casi abierta de par en par. Construyes la política entera: 20 categorías de URL más los sitios sin categorizar, listas de permitidos y bloqueados, excepciones por grupo (Developers, Finance, Marketing, Executives), inspección TLS con exenciones de descifrado, controles por tipo de archivo, DLP en las subidas, tratamiento de los dominios recién registrados y salida de los servidores. En cada ronda haces una prueba en seco de la política contra una muestra de tráfico sin etiquetar y después la publicas; la reproducción muestra, para cada petición, qué regla coincidió y si el resultado fue el correcto, con el motivo. El tráfico incluye una baliza de C2 hacia un dominio de pocos días, malware disfrazado de PDF, una lista de clientes que sale hacia una nube personal, un bypass por DNS-over-HTTPS, una página de inicio de sesión que imita a otra, una aplicación con certificate pinning que se rompe con la inspección, desarrolladores descargando paquetes y el CEO reservando vuelos. La puntuación pondera las amenazas detenidas (55 %) frente a la productividad rota (45 %), con una penalización por descifrar sesiones de banca o de salud. Las partidas tienen semilla (?seed=) y el resumen final exporta tu política en Markdown. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Empieza por la tabla de categorías y decide qué pasa con los sitios que nadie ha categorizado.
- Ronda a ronda, añade listas, excepciones por grupo, inspección TLS y sus exenciones, tipos de archivo, DLP, dominios nuevos y salida de servidores.
- Haz una prueba en seco contra la muestra de tráfico, publica y lee en la reproducción qué regla coincidió en cada petición.
- Revisa el resumen y exporta tu política final en Markdown.
Preguntas frecuentes
¿Qué es el laboratorio de proxy de salida?
Un laboratorio de formación en el navegador en el que eres responsable del proxy web, o secure web gateway, de una empresa ficticia. A lo largo de 6 rondas construyes su política de salida: categorías de URL, listas de permitidos y bloqueados, excepciones por grupo, inspección TLS y sus exenciones, controles por tipo de archivo, prevención de pérdida de datos en las subidas, dominios recién registrados y salida de los servidores. Cada publicación reproduce todo el tráfico visto hasta ese momento, así que un cambio puede detener una amenaza nueva y aun así romper algo de una ronda anterior.
¿Qué diferencia hay entre un firewall y un proxy web?
Un firewall decide qué direcciones y puertos pueden conectarse. Un proxy de reenvío o secure web gateway se sitúa sobre el propio tráfico web y decide por nombre de host, categoría de URL, usuario y grupo y, si descifra TLS, por contenido: tipos de archivo, subidas y rutas. La mayoría de las organizaciones necesitan ambos: el firewall obliga a que el tráfico web pase por el proxy, y el proxy decide adónde pueden ir las personas y los servidores.
¿Un proxy necesita inspección TLS para filtrar HTTPS?
No para las decisiones a nivel de host. El gateway lee el nombre del servidor en el handshake TLS (SNI) o en la petición CONNECT, así que las reglas de categoría, lista de permitidos, lista de bloqueados y dominios recién registrados funcionan sin descifrar. Lo que depende del contenido no: el tipo real de un archivo descargado, el contenido de una subida, la ruta de la URL. El laboratorio modela exactamente esa división: los controles de tipo de archivo y de DLP están ciegos ante HTTPS hasta que activas el descifrado.
¿Qué sitios deben quedar exentos del descifrado TLS?
Dos grupos. Las categorías sensibles para la privacidad, normalmente la banca en línea y la salud, porque descifrarlas expone datos financieros y médicos personales y está restringido por las leyes de privacidad y por muchos acuerdos laborales. Y las aplicaciones que se rompen con la interceptación: los clientes con certificate pinning (muchas aplicaciones de reuniones, de seguridad y móviles) y los servicios que usan TLS mutuo con certificado de cliente, como algunas integraciones de nóminas y pagos. Exímelos por categoría o por host y documenta la lista.
¿Por qué se rompen detrás de un proxy las aplicaciones con certificate pinning?
Un proxy que descifra vuelve a firmar el certificado del servidor con su propia CA. Los navegadores confían en esa CA porque está desplegada en los dispositivos gestionados, pero una aplicación con pinning solo acepta el certificado o la clave concretos para los que se construyó, así que trata al proxy como un atacante y se niega a conectarse. El TLS mutuo falla por un motivo parecido: el proxy no puede presentar el certificado de cliente que exige el servidor. La solución es una exención de descifrado para ese host.
¿Cómo debe tratar un proxy los dominios recién registrados?
Los atacantes registran dominios días antes de una campaña, y los feeds de amenazas van por detrás. Bloquear (o al menos avisar sobre) los dominios registrados en los últimos 30 días detiene una gran parte de la infraestructura nueva de phishing y de comando y control. Los dominios nuevos legítimos, como el sitio de tu propio lanzamiento o un proveedor nuevo, van a la lista de permitidos. Un umbral más corto, como 7 días, no detecta la infraestructura registrada unas semanas antes de usarse.
¿Hay que bloquear los sitios sin categorizar?
Depende de cuántos tickets estés dispuesto a asumir, pero «permitir» es el valor por defecto más arriesgado: los dominios de atacantes, tanto los nuevos como los envejecidos, suelen estar sin categorizar. Muchos equipos bloquean o avisan sobre los sitios sin categorizar y añaden a la lista de permitidos los pocos socios cuyos sitios ningún proveedor ha categorizado. Una página de aviso es un término medio útil para el tráfico automatizado, porque el malware no puede hacer clic para continuar, pero no detiene a una persona que ya ha decidido seguir.
¿Cómo evito que DNS-over-HTTPS se salte mi filtrado DNS?
Bloquea la categoría de resolvedores DNS-over-HTTPS en el proxy para que los navegadores recurran al resolvedor corporativo, desactiva DoH en la política de navegadores gestionados y añade a la lista de bloqueados los endpoints DoH que se esconden en dominios genéricos de alojamiento en la nube cuando la inteligencia de amenazas los identifica. El laboratorio incluye tanto el resolvedor categorizado como un resolvedor de nivel elite que solo detecta una entrada en la lista de bloqueados.
¿Por qué los servidores deben tener una política de salida aparte?
Un portátil necesita buena parte de internet; un servidor necesita un puñado de destinos: los espejos de parches, el procesador de pagos, el almacenamiento de copias de seguridad, el SIEM, el registro de paquetes para CI. Poner los servidores en una lista de permitidos con denegación por defecto convierte en una petición bloqueada la descarga de un script del atacante desde un servidor web comprometido, o su subida al bucket de almacenamiento de otra persona. Enumera los hosts con exactitud: un comodín sobre un dominio de almacenamiento en la nube compartido permite también los buckets de todos los demás clientes.
¿Cómo se puntúa el laboratorio?
Cada publicación se puntúa sobre todas las peticiones vistas hasta ese momento: un 55 % por las amenazas detenidas, ponderadas por gravedad, y un 45 % por la productividad conservada, ponderada por impacto (el CEO y el lote de pagos pesan más que un sitio de noticias). Una página de aviso cuenta como detener las amenazas automatizadas pero no las dirigidas por personas, y como fricción en el tráfico de negocio. Cada sesión de banca o salud descifrada resta puntos. Una semana solo se supera si la media de las rondas es al menos del 75 %, la ronda final puntúa al menos un 75 % y la reproducción final no deja pasar ninguna amenaza de gravedad alta; una semana no superada obtiene como mucho una C.
¿Cómo funcionan la dificultad y las semillas?
Rookie tiene cinco rondas con la muestra de tráfico completa y pistas de un compañero tras cada prueba en seco. Pro tiene seis rondas, retiene una petición por ronda de la muestra y da pistas tras la segunda prueba en seco. Elite añade variantes evasivas (dominios de C2 envejecidos, imitaciones del banco corporativo, TLS mutuo, archivos comprimidos cifrados, un resolvedor DoH en un dominio de nube), retiene dos peticiones por ronda y no da pistas. Cada partida sale de una semilla en la URL, así que un enlace compartido reproduce el mismo tráfico.
¿Algo de esto es real?
No. La empresa y las personas son inventadas, todos los hosts usan el dominio reservado .example, las direcciones internas son rangos privados RFC 1918 y las direcciones de destino proceden de los rangos de documentación RFC 5737. El laboratorio es neutral respecto a los proveedores: modela cómo deciden en general los proxies de reenvío y los secure web gateways, no la configuración de un producto concreto.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.