Fundamentos de la ciberseguridad defensiva y el bastionado profesional

La ciberseguridad defensiva protege sistemas, redes, aplicaciones y datos frente a amenazas. Su objetivo es preservar la confidencialidad, integridad y disponibilidad de los activos digitales, reducir riesgos y mantener capacidad de detección, respuesta y recuperación. Mientras la seguridad ofensiva evalúa debilidades mediante pruebas autorizadas, la defensiva desarrolla y mantiene las medidas de protección.

Combina medidas técnicas (configuración segura, análisis de eventos) con responsabilidades organizativas y procedimientos, y requiere monitorización y revisión continuas para adaptarse a los cambios de sistemas y amenazas.

Prevención, detección, respuesta y recuperación

Estas actividades requieren preparación previa y mejoran con las lecciones de la operación, las pruebas y los incidentes.

Diferencias entre ciberseguridad defensiva y ofensiva

Los profesionales ofensivos intentan «romper» o encontrar fallos; los defensores construyen, mantienen y refuerzan las defensas constantemente. Ambos roles se complementan. Una auditoría ofensiva puede durar semanas; la defensa opera de forma permanente, garantizando la seguridad diaria de los servicios críticos.

Principios fundamentales de la seguridad defensiva

Universales y aplicables a cualquier organización, sistema o tecnología:

Relevancia para perfiles con experiencia ofensiva

Quien viene del hacking ético o del penetration testing gana la visión del ciclo completo. Conocer la defensa permite:

• Diseñar ataques más realistas y éticamente mejor dirigidos.
• Entender cómo se detectan (y bloquean) los ataques en producción.
• Valorar el esfuerzo detrás de una buena arquitectura defensiva.
• Colaborar mejor en equipos Purple Team o proyectos DevSecOps.

El Blue Team se encarga de la defensa activa y continua de la organización: desde la protección y configuración segura de los sistemas hasta la monitorización, detección y respuesta ante incidentes. El Red Team tiene una imagen más visible (simula ataques para encontrar vulnerabilidades); el trabajo Blue es más silencioso, pero mantiene la resiliencia diaria de la infraestructura.

• Monitorización y detección
• Respuesta ante incidentes
• Hardening
• Gestión de vulnerabilidades
• Forense y mejora continua
• Factor humano
• Colaboración

Monitorización y detección

Observar y analizar grandes volúmenes de eventos de sistemas operativos, redes, aplicaciones y nube para detectar patrones anómalos que indiquen un incidente, o incluso anticiparse a comportamientos sospechosos antes de que se conviertan en un ataque real.

Se apoya en herramientas como el SIEM (gestión de eventos e información de seguridad), que correlaciona eventos de múltiples fuentes, genera alertas y automatiza respuestas. Pero la herramienta sin un equipo que sepa interpretarla sirve de poco: el valor está en distinguir un comportamiento inusual legítimo de una amenaza real.

Respuesta ante incidentes

Ante un evento sospechoso, el equipo debe activar de forma rápida y organizada un procedimiento de respuesta ante incidentes para reducir el impacto: contener, erradicar y restaurar.

La respuesta no se improvisa: requiere planes claros, rutas de comunicación, personal entrenado y criterios para decidir bajo presión. Incluye la recuperación (restaurar desde copias fiables), revisar los controles afectados e incorporar medidas para que no se repita.

Hardening y configuración segura

Prevenir sigue siendo mejor que curar. El hardening busca minimizar la exposición: desactivar servicios innecesarios, reforzar la autenticación, aplicar configuraciones seguras en servidores y estaciones de trabajo y mantener los parches al día.

Suele seguir benchmarks como los del Center for Internet Security (CIS). El objetivo no es la seguridad absoluta (inalcanzable), sino reducir al máximo la superficie de ataque: las posibles puertas de entrada.

Gestión de vulnerabilidades

Identificar, evaluar y corregir vulnerabilidades: escanear en busca de fallos conocidos, valorar su criticidad y priorizar la corrección.

Una vulnerabilidad no es necesariamente una urgencia. Depende de:

• su gravedad,
• si existe un exploit público,
• si el sistema es accesible desde internet,
• si ya está protegido por otros controles.

Escáneres como Nessus u OpenVAS detectan, pero decidir qué hacer (parchear, mitigar o asumir) requiere intervención humana y conocer el entorno, equilibrando riesgo y operatividad.

Análisis forense y mejora continua

Tras un incidente o actividad sospechosa puede requerirse un análisis forense digital: entender qué pasó, cómo entró el atacante, qué hizo y qué huellas dejó. Exige metodología rigurosa: no solo mirar logs, sino reconstruir una línea temporal coherente de la que extraer lecciones aprendidas.

Las organizaciones maduras integran esto en un ciclo de mejora continua: cada incidente es una oportunidad para reforzar la postura de seguridad.

Seguridad en el factor humano

Muchos ataques exitosos explotan a las personas mediante ingeniería social (phishing, contraseñas inseguras, descuidos). Por eso el trabajo defensivo incluye formación y concienciación: campañas, simulacros, manuales y políticas claras.

No se trata de buscar culpables, sino de construir una cultura de seguridad donde los usuarios sean aliados. A menudo los primeros en detectar un incidente son empleados bien formados.

Colaboración con otros equipos

El Blue Team colabora con sistemas (aplica los cambios), desarrollo (seguridad en el ciclo de vida del software) y cumplimiento normativo (GRC). En entornos avanzados trabaja con el Red Team en Purple Teaming: se prueban las defensas en condiciones realistas y se afinan controles y procedimientos.

Ambos enfoques comparten objetivo (proteger información y sistemas) pero lo abordan desde puntos opuestos. No hay rivalidad: se complementan estratégicamente. Pasar a la defensa exige cambiar de mentalidad, no renunciar a lo aprendido: saber cómo se ataca es muy valioso para defender.

Enfoques complementarios: Purple Team

En un Purple Team, Red y Blue colaboran estrechamente. Si un ejercicio ofensivo descubre una técnica que pasó desapercibida, la defensa refuerza alertas, ajusta reglas del SIEM o revisa configuraciones; y los defensores pueden pedir que se prueben técnicas concretas para validar sus mejoras. MITRE ATT&CK aporta el lenguaje común para analizar tácticas, técnicas y procedimientos (TTPs).

Aprender defensa desde la experiencia ofensiva

Un buen defensor:

• Entiende cómo piensa un atacante.
• Conoce el valor de las pruebas controladas.
• Sabe que ninguna defensa es perfecta, pero todas pueden mejorar.
• Trabaja con una visión de largo plazo.

Implica más responsabilidad: no basta con señalar fallos, hay que solucionarlos, documentarlos, comunicar riesgos y coordinarse. Abre salidas como SOC, hardening, forense, ingeniería de detección, gestión de incidentes o gobierno y riesgo.

Comparativa ofensiva vs. defensiva

Alrededor del trabajo técnico hay disciplinas que aportan contexto, organización, automatización y coherencia, para que la seguridad no dependa de un equipo aislado sino que se integre en toda la organización.

GRC: Gobierno, Riesgo y Cumplimiento

GRC (Governance, Risk and Compliance) integra la seguridad en la gestión de la organización: alinea la ciberseguridad con los objetivos estratégicos, evalúa los riesgos y garantiza el cumplimiento de leyes, normativas y compromisos contractuales.

Da sentido al trabajo técnico: un Blue Team puede aplicar muchas medidas, pero sin políticas claras, procesos definidos y apoyo directivo su efectividad será limitada. GRC convierte la ciberseguridad en una función alineada con el negocio.

DevSecOps: integrar la seguridad en el desarrollo

DevSecOps evoluciona DevOps (desarrollo + operación en ciclos rápidos y automatizados) integrando la seguridad desde el inicio, de forma automática, medible y repetible. Se pasa de «testear al final» a «asegurar desde el diseño».

• SASTAnálisis del código fuente
• SCADependencias y librerías externas
• IaCConfiguración de infraestructura como código
• ContenedoresValidar imágenes (Trivy, Clair)
• CI/CDPruebas de seguridad automatizadas en pipelines

Evita que errores de seguridad lleguen a producción (prevención en lugar de reacción). Más allá de las herramientas, es una cultura de colaboración. Para el Blue Team significa involucrarse pronto: proponer controles, revisar configuraciones y participar en la elección de tecnologías, logrando una arquitectura segura por defecto que reduce el parcheado posterior.

Otras funciones de apoyo a la defensa

En conjunto, la defensa deja de ser una serie de parches aislados y se convierte en un ecosistema coordinado.

Desarrollado por el Instituto Nacional de Estándares y Tecnología de EE. UU., es uno de los marcos más usados para gestionar el riesgo cibernético. Nació para infraestructuras críticas, pero lo adoptan organizaciones de todo tipo y tamaño.

No es una norma técnica cerrada, sino una estructura flexible y adaptable para entender el nivel actual de seguridad, identificar carencias y planificar mejoras.

Estructura: las seis funciones de CSF 2.0

1. Govern (Gobernar): establecer la estrategia, las responsabilidades y la supervisión de los riesgos de ciberseguridad.
2. Identify (Identificar): comprender los activos, las dependencias y los riesgos.
3. Protect (Proteger): aplicar salvaguardas para gestionar esos riesgos.
4. Detect (Detectar): descubrir y analizar posibles ataques y compromisos.
5. Respond (Responder): gestionar los incidentes detectados y limitar sus efectos.
6. Recover (Recuperar): restablecer los activos y las operaciones afectados.

Cada función contiene categorías y subcategorías que expresan resultados de seguridad. Las referencias informativas las relacionan con otros estándares y controles. El framework no prescribe una combinación concreta de herramientas.

Ejemplo práctico: preparación ante ransomware

Así se identifican carencias, se priorizan mejoras y se comunica el estado de la seguridad a los responsables.

Beneficios del NIST CSF para la defensa

Su gran valor es la comunicación: técnicos, gerencia, legal y auditores hablan el mismo idioma.

• No está ligado a una tecnología o sector concreto.
• Permite establecer niveles de madurez y una hoja de ruta de mejora.
• Facilita la alineación con otras normas y marcos.
• Integra la ciberseguridad en la gestión de riesgos empresariales.

La norma internacional más reconocida para la gestión de la seguridad de la información. Proporciona un marco sistemático para proteger la confidencialidad, integridad y disponibilidad en cualquier organización.

El Sistema de Gestión de Seguridad de la Información (SGSI)

El SGSI no es una herramienta tecnológica, sino un conjunto de políticas, procedimientos, estructuras organizativas, activos y actividades para gestionar los riesgos de la información. Se basa en el ciclo de mejora continua PDCA (Plan – Do – Check – Act), como ISO 9001: la seguridad es un proceso vivo, no un proyecto aislado.

• Plan: identificar riesgos, definir políticas, objetivos, controles y procedimientos.
• Do: implementar los controles definidos.
• Check: monitorizar, revisar y auditar los resultados.
• Act: decidir cómo corregir desviaciones y mejorar el sistema.

Estructura de la norma

Dos grandes bloques: el cuerpo principal (requisitos para implantar y mantener el SGSI) y el Anexo A, catálogo de controles actualizado en 2022 en cuatro bloques temáticos:

Este Anexo A sustituyó en 2022 la estructura anterior de 14 dominios. Cada control incluye ahora atributos para clasificarlo por tipo (preventivo, detectivo…), tecnología, objetivo, etc.

Aplicación práctica en defensa

Aunque es más de gestión que técnica, ofrece una estructura clara para organizar el trabajo defensivo:

• 5.7 – Threat intelligence: formalizar el análisis de amenazas (soporte al threat hunting y a la priorización de alertas).
• 8.16 – Monitoring activities: herramientas de detección de anomalías y análisis de logs.
• 8.30 – Secure coding: conecta con DevSecOps, seguridad desde el desarrollo.

También estandariza procedimientos como la respuesta a incidentes, la gestión de accesos o el control de cambios.

Beneficios para la organización

• Aumenta la confianza de clientes y socios.
• Mejora la capacidad de cumplir regulaciones como el RGPD.
• Facilita acuerdos con entidades internacionales.
• Permite planificar y justificar mejor el presupuesto en seguridad.
• Reduce el riesgo de incidentes graves gracias a la gestión sistemática.

Guía práctica y priorizada de buenas prácticas técnicas del Center for Internet Security para reducir el riesgo frente a las amenazas más comunes. Frente a ISO 27001 o NIST CSF, su enfoque es técnico y operativo: ideal para hardening, monitorización y administración. Empieza por las medidas de mayor impacto con menor esfuerzo.

Organización de los controles

18 controles principales, cada uno con múltiples salvaguardas (safeguards) que definen acciones concretas. Se priorizan mediante tres grupos de implementación acumulativos:

Lista de los 18 controles

Cada control tiene equivalencias con NIST CSF o ISO 27001, lo que facilita integrarlos en una estrategia global.

Aplicación práctica en entornos defensivos

Guía práctica para bastionado, monitorización y segmentación sin reinventar la rueda. Ejemplos según la tabla v8.1:

• Control 4 — configuración segura: mantener estándares de seguridad en todos los sistemas, ideal en entornos automatizados o híbridos.
• Control 8 — registros: qué logs recoger, dónde almacenarlos y cómo analizarlos.
• Control 10 — malware/endpoint: medidas de protección y supervisión de endpoints que se verán en profundidad más adelante.
• Control 14 — concienciación: las personas también forman parte del perímetro de seguridad.

CIS ofrece plantillas, herramientas y guías gratuitas, útiles en entornos educativos, pymes o laboratorios.

Ventajas y limitaciones

ATT&CK (Adversarial Tactics, Techniques and Common Knowledge) es una base de conocimiento mantenida por MITRE que documenta técnicas reales de los atacantes en las distintas fases de un ataque. Describe cómo piensan y actúan los atacantes en un lenguaje estructurado que la defensa puede usar para detectar, clasificar y mapear alertas.

Estructura del framework

Una matriz: las columnas son tácticas (el objetivo del atacante en cada fase) y las filas agrupan técnicas y subtécnicas para lograrlas. Ej.: la táctica «movimiento lateral» incluye técnicas como Pass the Hash, Remote Services o Exploitation of Remote Services. Cada técnica tiene una ficha: en qué consiste, herramientas, sistemas afectados, detecciones posibles y referencias de uso real.

Tácticas de la Enterprise Matrix (v19.2)

Con un ejemplo de técnica o subtécnica. No representan una secuencia obligatoria.

1. ReconnaissanceActive Scanning
2. Resource DevelopmentAcquire Infrastructure
3. Initial AccessPhishing
4. ExecutionPowerShell
5. PersistenceRegistry Run Keys / Startup Folder
6. Privilege EscalationExploitation for Privilege Escalation
7. StealthObfuscated Files or Information
8. Defense ImpairmentDisable or Modify Tools
9. Credential AccessOS Credential Dumping
10. DiscoverySystem Information Discovery
11. Lateral MovementRemote Desktop Protocol
12. CollectionScreen Capture
13. Command and ControlApplication Layer Protocol
14. ExfiltrationExfiltration Over Web Service
15. ImpactData Destruction

Dominios: Enterprise, Mobile e ICS. Enterprise incluye plataformas cloud y las actividades previas a la intrusión (reconocimiento, desarrollo de recursos). PRE-ATT&CK ya no se mantiene como dominio separado.

Usos defensivos de MITRE ATT&CK

• Mapear detecciones del SIEM o EDR: clasificar una alerta en una técnica para contextualizarla y entender su fase.
• Diseñar reglas de detección más efectivas a partir de ejemplos, herramientas y criterios de cada técnica.
• Evaluar la cobertura defensiva (mapeo de cobertura): qué técnicas se detectan y cuáles no, para priorizar inversiones.
• Simular ataques en entornos controlados con Atomic Red Team, CALDERA o AttackIQ para validar defensas y personal.

# Detección: psexec.exe ejecutándose contra varios equipos
Técnica ATT&CK → T1021.002
                 Remote Services: SMB/Windows Admin Shares
Táctica        → Lateral Movement

Ventajas frente a otros marcos

No es una norma ni una guía de cumplimiento: es un marco vivo, basado en inteligencia de amenazas real y en evolución constante.

• Lenguaje común entre Red y Blue Teams (ideal para Purple).
• Vinculado a casos reales de grupos APT.
• Abierto, gratuito e integrable con otras herramientas.
• Alinea la detección con las técnicas más usadas.
• Facilita controles proactivos de detección y respuesta.

Aplicación en entornos reales

• En el SOC, para clasificar los incidentes detectados.
• En informes de Red Team, para describir técnicas de forma estandarizada.
• En desarrollo de detecciones y análisis de logs.
• En ejercicios Purple Team para evaluar cobertura y respuesta.

Estándar de OWASP (Open Worldwide Application Security Project) con una lista completa de requisitos de seguridad para aplicaciones web, móviles o APIs. Sirve para verificar su seguridad durante el desarrollo, tras una auditoría o en políticas de adquisición de software.

A diferencia del OWASP Top 10 (divulgativo, vulnerabilidades más comunes), el ASVS es detallado y técnico: permite evaluar si una aplicación cumple lo necesario para considerarse segura. Útil para la defensa cuando hay desarrollos propios o software de terceros.

Niveles de verificación

Cada nivel incluye el anterior. Ejemplo HTTPS: en N1 se exige usar HTTPS; en N2, validez del certificado y evitar configuraciones débiles; en N3, protección frente a ataques avanzados o revisión independiente del código.

Ejemplo de requisitos (gestión de sesiones, ASVS 5.0.0)

Utilidad en entornos defensivos

• Validar software adquirido o desarrollado antes del despliegue o al recibir versiones nuevas.
• Colaborar con DevSecOps: requisitos integrables en CI/CD, revisiones de código o auditorías internas.
• Políticas internas: fijar el «mínimo aceptable» corporativo para cualquier aplicación.
• Gestión de riesgos: si una app incumple requisitos críticos, reforzar controles de red, acceso o supervisión.
• Auditorías o terceros: justificar decisiones y demostrar madurez.

Relación con otras guías OWASP

• No todos se usan igual: NIST CSF e ISO 27001 son organizativos (estructuran la seguridad de la empresa); ATT&CK y ASVS son herramientas técnicas de uso diario.
• Se combinan: NIST CSF como marco general, CIS Controls para las medidas técnicas, ISO 27001 para gobierno y cumplimiento, y ATT&CK para detección e inteligencia.
• No hay que sabérselos de memoria, sino entender para qué sirve cada uno y cómo encajan.
• Los informes, decisiones y mejoras del Blue Team casi siempre estarán alineados con alguno, aunque no se diga explícitamente.

¿Qué marco consultar en cada caso?

La defensa en profundidad (Defense in Depth) aplica múltiples controles distribuidos por todo el entorno: desde el borde de red hasta los datos, pasando por el sistema operativo, las aplicaciones y los usuarios.

Defensa perimetral

Tradicionalmente la primera línea, en el límite entre la red interna y el exterior: firewalls, proxies, IDS/IPS y filtrado. Sigue siendo relevante, pero ya no es suficiente: muchas amenazas vienen del interior (usuarios, dispositivos comprometidos, VPN mal configuradas, servicios en la nube).

Defensa interna

Dentro de la red: segmentación VLAN, control de acceso a recursos, supervisión del tráfico lateral, políticas de uso, autenticación interna y monitorización de comportamiento. Limita el movimiento lateral si las comunicaciones están controladas.

Defensa en el endpoint

Protección de los dispositivos que acceden a la red (estaciones, servidores, móviles, portátiles): EDR, hardening del SO, políticas de grupo (GPO), configuración segura del software y control de acceso físico. Especialmente crítica con teletrabajo o BYOD (Bring Your Own Device).

Defensa en la aplicación y los datos

Cifrado, gestión de permisos, control de acceso granular, validación de entradas, tokenización o aislamiento de datos. Su eficacia depende de los permisos, la configuración y la gestión de claves.

Defensa humana y procedimental

Concienciación de usuarios, procedimientos de actuación, respuesta ante incidentes y control de proveedores o servicios externos. Cada persona, equipo o proveedor puede ser tanto una capa de protección como una brecha potencial.

Defensa en profundidad no es duplicar controles sin orden, sino un modelo coherente, escalonado y coordinado que cubra distintos vectores: red, sistema, aplicación y humano. Una organización bien defendida podría tener:

La verdadera fortaleza está en la coordinación entre controles: integración entre detección y respuesta automática, o correlación entre alertas de red y endpoint.

Zero Trust evita conceder confianza implícita a una cuenta o dispositivo por su ubicación de red o por pertenecer a la organización. El acceso a cada recurso requiere autenticación y autorización según una política.

1. Verificar la identidad y evaluar el contexto disponible, como el estado del dispositivo.
2. Conceder solo los permisos necesarios para el recurso y la operación.
3. Proteger las comunicaciones y limitar los accesos entre recursos.
4. Reevaluar el acceso cuando cambien las condiciones; una operación sensible puede requerir reautenticación.

Firewalls y segmentación siguen siendo útiles, pero estar dentro de la red no concede autorización general: un usuario en la oficina no obtiene por ello acceso a cualquier base de datos.

Ambas son necesarias, pero las organizaciones maduras apuestan por la proactiva. La madurez defensiva se valora por la capacidad de gestionar riesgos, prevenir incidentes, detectar actividad relevante, responder y recuperar servicios, con resultados comprobables.

Un activo es cualquier componente de valor (económico, funcional, legal o reputacional) que pueda verse afectado por una amenaza. Proteger un entorno no es solo proteger servidores o firewalls, sino todo lo que hace funcionar la organización.

Tipos de activos comunes

Criterios de clasificación

• Criticidad para el negocio.
• Sensibilidad de la información que manejan.
• Impacto si se comprometen.
• Dependencias técnicas o funcionales.

La clasificación decide qué controles aplicar, qué activos auditar con más frecuencia y cuáles son prioritarios al restaurar tras un incidente.

La infraestructura cambia constantemente (nuevos dispositivos, nube, aplicaciones, redes, configuraciones), así que hace falta un mecanismo que detecte qué hay conectado, qué se ejecuta y qué ha cambiado respecto a lo esperado.

Una hoja de cálculo o la memoria de los administradores no bastan. Hacen falta herramientas que descubran, cataloguen, etiqueten y mantengan actualizados los activos, integradas con monitorización, cambios e incidencias.

El inventario no es un fin en sí mismo: es requisito para cualquier otra actividad de seguridad. Si no se sabe qué se tiene, no se sabe qué parchear, qué se expone, qué permisos existen o qué alertas son críticas.

• Escaneo de vulnerabilidades: hay que saber qué activos hay, con qué IP, sistemas operativos y aplicaciones.
• Backup y recuperación: hay que saber qué servidores tienen datos críticos y cuáles pueden perderse sin impacto.
• Detección de anomalías: hay que saber si un dispositivo que genera conexiones salientes debería existir.