Diferencia entre revisiones de «Mitigaciones Virus»

← Edición anterior

Mitigaciones Virus (ver código)

Revisión del 23:12 21 ago 2026

12 553 bytes añadidos , 21 agosto

sin resumen de edición

VisualWikitexto

Fernando.VH

2391

ediciones

@@ Línea 1: / Línea 1: @@
-En el mundo digital actual, la amenaza de virus informáticos persiste como una preocupación constante para la seguridad de los sistemas y la integridad de los datos. Los virus, programas maliciosos diseñados para replicarse y causar daño, representan una seria amenaza para individuos y organizaciones. Para mitigar este riesgo, es crucial implementar estrategias efectivas de seguridad. A continuación, se presentan diversas mitigaciones recomendadas por [https://attack.mitre.org/ MITRE] que abordan la prevención y detección de virus, desde la configuración segura del sistema operativo hasta la utilización de herramientas avanzadas de antivirus y antimalware. Estas medidas no solo protegen contra infecciones virales, sino que también fortalecen la resiliencia de los sistemas, garantizando un entorno digital más seguro y resistente ante las crecientes amenazas cibernéticas.
+[[Categoría:Familias de malware]]
+== Introducción ==
+En el mundo digital actual, la amenaza de virus informáticos persiste como una preocupación constante para la seguridad de los sistemas y la integridad de los datos. Un virus es un programa malicioso diseñado para replicarse y propagarse, generalmente adjuntándose a archivos legítimos o sectores de arranque del sistema. Cuando el archivo infectado se ejecuta, el virus se activa y puede causar daños como la corrupción de datos, el robo de información o la inutilización del sistema.
-'''Account Use Policies (M1036)'''
+Para protegerse contra los virus, es fundamental implementar una estrategia de seguridad en múltiples capas. Esta página recopila las mitigaciones recomendadas por [https://attack.mitre.org/ MITRE ATT&CK] para la prevención, detección y respuesta ante infecciones virales. Estas medidas no solo protegen contra amenazas conocidas, sino que también fortalecen la resiliencia de los sistemas ante nuevas variantes y técnicas de evasión.
-* Configurar políticas relacionadas con el uso de cuentas, como bloqueos de intentos de inicio de sesión, tiempos específicos de inicio de sesión, etc.
+A continuación, se presentan las mitigaciones organizadas por su función principal, con explicaciones técnicas detalladas y ejemplos prácticos de implementación.
-'''Active Directory Configuration (M1015)'''
+== Mitigaciones recomendadas ==
-* Configurar Active Directory para prevenir el uso de ciertas técnicas, como el filtrado SID.
+=== M1036: Account Use Policies ===
-'''Antivirus/Antimalware (M1049)'''
+'''Descripción técnica''': Configurar políticas de uso de cuentas para limitar el acceso no autorizado y reducir la superficie de ataque. Esto incluye el bloqueo de cuentas tras intentos de inicio de sesión fallidos, la restricción de horarios de acceso y la limitación de conexiones simultáneas.
-* Utilizar firmas o heurísticas para detectar software malicioso y prevenir infecciones.
+'''Medidas específicas''':
-'''Application Isolation and Sandboxing (M1048)'''
+* Configurar '''políticas de bloqueo de cuentas''' (account lockout) en Active Directory o sistemas locales: establecer un umbral de intentos fallidos (ej: 5 intentos) y un tiempo de bloqueo (ej: 30 minutos) para prevenir ataques de fuerza bruta.
+* Implementar '''políticas de tiempo de inicio de sesión''' (logon hours) para restringir el acceso de usuarios fuera de su horario laboral, dificultando el movimiento lateral del malware fuera de horario.
+* Establecer '''límites de sesiones simultáneas''' para prevenir el uso compartido de cuentas y la propagación de malware a través de sesiones comprometidas.
+* '''Ejemplo de implementación''':
+    * En Active Directory: Configurar "Account Lockout Policy" mediante `gpmc.msc` con valores como `Account Lockout Threshold = 5`, `Account Lockout Duration = 30` minutos, `Reset Account Lockout Counter After = 30` minutos.
+    * En Linux: Configurar `pam_tally2` o `fail2ban` para bloquear IPs tras múltiples intentos fallidos de SSH, añadiendo reglas en `/etc/pam.d/common-auth` y `/etc/fail2ban/jail.local`.
-* Restringir la ejecución de código a un entorno virtual en sistemas finales para evitar la propagación de virus.
+=== M1015: Active Directory Configuration ===
-'''Audit (M1047)'''
+'''Descripción técnica''': Configurar Active Directory (AD) para prevenir técnicas de abuso de directorio, como la enumeración de usuarios, el filtrado SID (Security Identifier) o ataques de Kerberoasting.
-* Realizar auditorías o escaneos de sistemas, permisos, software inseguro, configuraciones inseguras, etc., para identificar posibles debilidades.
+'''Medidas específicas''':
-'''Behavior Prevention on Endpoint (M1040)'''
+* Configurar '''políticas de filtrado SID''' (SID Filtering) para prevenir ataques de elevación de privilegios mediante la inyección de SIDs. Esto bloquea la capacidad de un atacante para modificar el token de acceso de un usuario.
+* Implementar '''administración de grupos protegidos''' (Protected Users group) para añadir una capa extra de seguridad a cuentas sensibles (ej: administradores de dominio).
+* Aplicar el '''Principio de Mínimo Privilegio''' en las cuentas de servicio, asignando solo los permisos necesarios y utilizando cuentas de servicio gestionadas (MSA/gMSA) para evitar la exposición de contraseñas.
+* '''Ejemplo de implementación''' (Windows Server con AD):
+    * Habilitar SID Filtering en las relaciones de confianza entre dominios para bloquear la elevación de privilegios desde dominios externos: `netdom trust <DomainName> /domain:<TrustedDomain> /quarantine:yes`.
+    * Usar cuentas de servicio gestionadas de grupo (gMSA) en lugar de cuentas de servicio tradicionales, creándolas con `New-ADServiceAccount` en PowerShell y asignándolas con `Install-ADServiceAccount`.
-* Utilizar capacidades para prevenir patrones de comportamiento sospechoso en sistemas finales.
+=== M1049: Antivirus / Antimalware ===
-'''Boot Integrity (M1046)'''
+'''Descripción técnica''': Utilizar soluciones de antivirus y antimalware con capacidades de detección basada en firmas (detección estática) y heurística (detección de comportamiento) para identificar y bloquear software malicioso antes de su ejecución.
-* Utilizar métodos seguros para arrancar un sistema y verificar la integridad del sistema operativo y los mecanismos de carga.
+'''Medidas específicas''':
-'''Code Signing (M1045)'''
+* Implementar soluciones de antivirus con '''detección heurística avanzada''' que pueda identificar nuevas variantes de virus basándose en patrones de comportamiento, no solo en firmas conocidas.
+* Activar la '''protección en tiempo real''' (real-time protection) y la '''protección de scripts''' (script protection) para bloquear la ejecución de código malicioso en el momento en que se descarga o ejecuta.
+* Mantener las definiciones de virus actualizadas de forma automática (actualizaciones diarias o en tiempo real) para proteger contra las amenazas más recientes.
+* Configurar '''escaneos programados''' (scheduled scans) de sistemas completos para detectar amenazas que pudieron haber evadido la protección en tiempo real.
+* '''Ejemplo de implementación''' (Windows Defender/Defender for Endpoint):
+    * Activar la protección en tiempo real y la protección contra scripts mediante `Set-MpPreference -DisableRealtimeMonitoring $false` y `Set-MpPreference -DisableScriptScanning $false`.
+    * Configurar escaneos programados con tareas de PowerShell o GPO: `Start-MpScan -ScanType FullSchedule` o mediante el Editor de Directivas de Grupo (Ruta: Plantillas Administrativas > Componentes de Windows > Microsoft Defender Antivirus > Programación de análisis).
-* Aplicar la verificación de firma digital para garantizar la integridad y autenticidad del código, evitando la ejecución de código no confiable.
+=== M1048: Application Isolation and Sandboxing ===
-'''Data Backup (M1053)'''
+'''Descripción técnica''': Aislar la ejecución de código en entornos virtuales (sandboxes) o contenedores para evitar la propagación de malware a otros sistemas, conteniendo la amenaza y limitando su impacto.
-* Realizar y almacenar copias de seguridad de datos en sistemas de usuarios finales y servidores críticos para prevenir la pérdida de información en caso de infección.
+'''Medidas específicas''':
-'''Network Intrusion Prevention (M1031)'''
+* Implementar soluciones de '''sandboxing''', como Windows Sandbox o Firejail en Linux, que ejecuten aplicaciones sospechosas en un entorno aislado.
+* Utilizar '''contenedores Docker''' con configuraciones de seguridad restrictivas (seccomp, AppArmor, SELinux) para aislar el código no confiable.
+* Configurar '''políticas de aislamiento en navegadores''' (ej: sitio web en un contenedor aislado) para reducir el riesgo de infecciones desde sitios web comprometidos.
+* '''Ejemplo de implementación''' (Windows): Crear un archivo de configuración `.wsb` para Windows Sandbox y añadir reglas como `LogonCommand` para ejecutar archivos sospechosos en un entorno aislado. En Linux, instalar `firejail` y ejecutar `firejail <archivo_sospechoso>`.
-* Utilizar firmas de detección de intrusiones en la red para bloquear el tráfico malicioso en los límites de la red.
+=== M1047: Audit ===
+'''Descripción técnica''': Realizar auditorías regulares de sistemas, permisos, software y configuraciones para identificar posibles debilidades que los virus podrían explotar.
-[[[:Categoría:Familias de malware|Familias de malware]]]
+'''Medidas específicas''':
+* Auditar regularmente los sistemas y aplicaciones para identificar software no parcheado o configuraciones inseguras que los virus puedan explotar.
+* Utilizar herramientas de escaneo de vulnerabilidades como '''Nessus''', '''OpenVAS''' o '''Qualys''' para detectar vulnerabilidades en el sistema y en las configuraciones.
+* Implementar auditorías de permisos de acceso (revisión de ACLs) para garantizar que los usuarios tengan solo los permisos necesarios.
+* Configurar auditorías de eventos de seguridad en el sistema (ej: Event Log en Windows, Syslog en Linux) para monitorear y registrar actividades sospechosas.
+* '''Ejemplo de implementación''' (Windows):
+    * Habilitar auditorías de seguridad mediante GPO: Ejecutar `gpedit.msc` > Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas locales > Política de auditoría. Activar "Auditar eventos de inicio de sesión" y "Auditar eventos de acceso a objetos".
+    * Usar PowerShell para revisar cambios en permisos: `Get-Acl -Path "C:\<ruta_archivo>" | Select-Object AccessToString, Owner`.
+=== M1040: Behavior Prevention on Endpoint ===
+'''Descripción técnica''': Implementar soluciones EDR (Endpoint Detection and Response) y BP (Behavior Prevention) para detectar y bloquear patrones de comportamiento sospechoso en sistemas finales, como la creación de procesos sospechosos o el cifrado masivo de archivos, evitando la ejecución de virus.
+'''Medidas específicas''':
+* Utilizar soluciones como '''Microsoft Defender for Endpoint''', '''CrowdStrike Falcon''', '''SentinelOne''' o '''Carbon Black''' que ofrecen prevención basada en comportamiento.
+* Configurar alertas para comportamientos sospechosos como la ejecución de procesos desde ubicaciones inusuales, uso de `PowerShell` para descargas remotas o intentos de desactivar servicios de seguridad.
+* Implementar políticas de respuesta automática (ej: bloqueo automático de procesos maliciosos o aislamiento del endpoint infectado) para frenar la propagación del virus.
+* '''Ejemplo de implementación''' (Windows Defender for Endpoint): Habilitar la prevención de comportamiento en el Panel de seguridad de Windows Defender o mediante `Set-MpPreference -EnableBehavioralPrevention $true` en PowerShell.
+=== M1046: Boot Integrity ===
+'''Descripción técnica''': Utilizar mecanismos de arranque seguro (Secure Boot) y verificación de integridad del sistema operativo (Trusted Boot) para garantizar que el sistema no se inicie con componentes comprometidos, previniendo la ejecución de rootkits o malware que se carga durante el arranque.
+'''Medidas específicas''':
+* Activar '''Secure Boot''' en el BIOS/UEFI para garantizar que solo firmware y software firmado por el fabricante se ejecute durante el arranque.
+* Implementar '''Trusted Platform Module (TPM)''' para almacenar claves criptográficas y medir la integridad del sistema durante el arranque.
+* Configurar '''medición de integridad del kernel''' (Linux `IMA`) o '''Windows Boot Manager''' con firmas digitales para garantizar que el kernel y los controladores no se hayan manipulado.
+* '''Ejemplo de implementación''' (Windows): Habilitar Secure Boot en la configuración del BIOS/UEFI y configurar BitLocker con TPM para cifrar el disco y verificar la integridad del sistema durante el arranque (`manage-bde -on C: -used -recoverypassword`).
+=== M1045: Code Signing ===
+'''Descripción técnica''': Aplicar la verificación de firmas digitales para garantizar la integridad y autenticidad del código, evitando la ejecución de software no firmado o manipulado, y previniendo la ejecución de virus no confiables.
+'''Medidas específicas''':
+* Exigir que los archivos ejecutables y scripts estén '''firmados digitalmente''' por editores confiables y verificar las firmas antes de la ejecución.
+* Configurar políticas de restricción de software (Software Restriction Policies o AppLocker en Windows) para bloquear la ejecución de archivos no firmados.
+* Utilizar reglas de '''Microsoft Defender Application Control''' (WDAC, anteriormente Device Guard) o Linux **`signature verification`** para evitar la ejecución de código malicioso.
+* '''Ejemplo de implementación''' (Windows): En AppLocker, crear una regla basada en editor (publisher) que permita solo archivos firmados por Microsoft o por un editor confiable. En Linux, usar `signify` o `gpg` para verificar firmas de paquetes.
+=== M1053: Data Backup ===
+'''Descripción técnica''': Realizar copias de seguridad periódicas de datos críticos en sistemas de usuarios finales y servidores para garantizar la recuperación rápida en caso de corrupción de datos por un virus, como un ransomware o un virus destructivo.
+'''Medidas específicas''':
+* Implementar la regla de copias de seguridad '''3-2-1''': '''3 copias''' de los datos, en '''2 soportes''' diferentes y '''1 copia fuera de línea''' (offline).
+* Utilizar soluciones de respaldo como '''Veeam''', '''Acronis''' o '''Windows Backup''' con cifrado.
+* Realizar '''pruebas de restauración''' periódicas para garantizar que las copias de seguridad sean funcionales y los datos puedan recuperarse en caso de incidente.
+* Asegurar que las copias de seguridad estén '''aisladas de la red principal''' (offline o en una red segregada) para evitar que un virus las cifre o elimine.
+* '''Ejemplo de implementación''' (Windows): Configurar "Copia de seguridad de Windows" y programar respaldos diarios a un disco externo. Usar `wbadmin` en PowerShell para crear backups de sistema: `wbadmin start backup -backupTarget:E: -include:C: -allCritical -quiet`.
+=== M1031: Network Intrusion Prevention ===
+'''Descripción técnica''': Implementar sistemas de prevención de intrusiones en red (NIPS) para detectar y bloquear tráfico malicioso en el perímetro de la red, utilizando firmas de detección de intrusiones (IDS) para prevenir la entrada de virus.
+'''Medidas específicas''':
+* Desplegar soluciones NIPS como '''Snort''', '''Suricata''' o soluciones comerciales (ej: Palo Alto Networks, Cisco Firepower) en el perímetro de la red para inspeccionar todo el tráfico entrante y saliente.
+* Utilizar '''listas de IPs maliciosas''' (feeds de amenazas) para bloquear el tráfico desde IPs conocidas por albergar malware.
+* Configurar políticas de firewall para bloquear el tráfico hacia y desde países de alto riesgo y puertos de servicio no utilizados.
+* Desplegar soluciones '''NGFW (Next-Generation Firewall)''' que incluyan capacidades de IDS/IPS y detección de aplicaciones.
+* '''Ejemplo de implementación''' (Suricata en Linux): Instalar Suricata (`apt install suricata`) y configurar reglas en `/etc/suricata/rules` para bloquear amenazas conocidas. Usar `suricata -c /etc/suricata/suricata.yaml -i eth0` para iniciarlo en modo IDS.
+== Buenas prácticas adicionales ==
+Además de las mitigaciones anteriores, se recomienda:
+* '''Mantener el sistema operativo y software actualizado''': Aplicar parches de seguridad en un plazo máximo de 48 horas para vulnerabilidades críticas.
+* '''Formación y concienciación del factor humano''': Capacitar a los empleados sobre cómo identificar correos de phishing y descargas sospechosas.
+* '''Principio de Mínimo Privilegio''': Asignar a los usuarios solo los permisos necesarios para realizar sus tareas, reduciendo la superficie de ataque.
+* '''Segmentación de red''': Dividir la red en segmentos para limitar la propagación de virus en caso de infección.
+== Relación con otros conceptos ==
+* '''[[Virus]]''': Página principal que describe el funcionamiento y las características de los virus.
+* '''[[Malware]]''': Categoría general que engloba a los virus y otros tipos de software malicioso.
+* '''[[Control de Seguridad]]''': Los controles técnicos y organizativos que implementan estas mitigaciones.
+* '''[[Defensa en profundidad]]''': La estrategia de múltiples capas que agrupa estas mitigaciones.
+== Véase también ==
+* [[Virus]]
+* [[Malware]]
+* [[Gusanos (Worms)]]
+* [[Troyanos]]
+* [[Ransomware]]
+* [[Control de Seguridad]]
+* [[Defensa en profundidad]]
+* [[Principio de Mínimo Privilegio]]
+----
+''Esta página forma parte de la [[:Categoría:Familias de malware]].''