🌀 Defensa por Fases – Sistemas Operativos & Dispositivos Móviles

Objetivo: Blindar tu infraestructura paso a paso siguiendo un enfoque progresivo y escalable, para que puedas adaptarlo a cualquier entorno: desde un SOC pequeño hasta una red empresarial compleja.

🖥️ SISTEMAS OPERATIVOS (Windows, Linux, MacOS)

🔹 Fase 1 – Hardening Inicial del Sistema

Objetivo: Quitar todo lo que sobre y dejar solo lo esencial, como si purificases un laboratorio antes de empezar a trabajar.

1. Eliminar servicios innecesarios:

   • systemctl disable nombre-servicio (Linux)

   • Desinstala apps innecesarias en Windows (Appwiz.cpl, winget, GPO).

2. Configurar políticas de contraseñas robustas:

   • Longitud mínima, bloqueo tras intentos fallidos, y expiración.

3. Actualizar el sistema y habilitar auto-patch:

   • WSUS, Linux unattended-upgrades, MacOS AutoUpdate.

4. Desactivar cuentas default/invitado:

   • Deshabilita admin, root sin uso. Audita con compmgmt.msc o passwd -l.

5. Deshabilitar SMBv1, Telnet, RDP no cifrado, etc.

🔹 Fase 2 – Control de Privilegios y Accesos

Objetivo: Aplicar el Principio de Mínimos Privilegios (PoLP) y segmentar el poder.
6. Revisar grupos administrativos:

• Solo usuarios necesarios. Usa net localgroup administrators o sudo.

1. Aplicar RBAC (Control de Acceso Basado en Roles):

   • Define roles como "usuario base", "auditor", "admin parcial", etc.

2. Configurar políticas de sudo o GPO personalizadas.

3. Controlar el uso de herramientas de administración remota.

4. Auditar permisos de carpetas/archivos:

   • Con getfacl, icacls, o herramientas como SolarWinds Access Rights Manager.

🔹 Fase 3 – Monitoreo y Auditoría Continua

Objetivo: Establecer "ojos" que te avisen cuando algo extraño ocurre.
11. Implementar un SIEM o EDR (Wazuh, CrowdStrike, Microsoft Defender for Endpoint).
12. Configurar logs locales + reenvío a servidor central:
- rsyslog, NXLog, Sysmon, auditd, o Windows Event Forwarding.
13. Monitorear integridad de archivos críticos:
- AIDE, Tripwire, OSSEC, Wazuh.
14. Alertas por actividad sospechosa:
- Accesos fuera de horario, cambios en sudoers, conexiones remotas nuevas.

🔹 Fase 4 – Protección de la Información y Mitigación de Vulnerabilidades

Objetivo: Defender los datos y tapar agujeros antes de que alguien los use.
15. Aplicar cifrado en disco:
- BitLocker, LUKS, FileVault según sistema.
16. Gestionar secretos (sin texto plano):
- Vault, CyberArk, gopass, AWS Secrets Manager.
17. Uso de ASLR y DEP (activados por defecto, verificar).
18. Análisis de vulnerabilidades semanal con OpenVAS o Nessus.
19. Seguir las guías de hardening:
- CIS Benchmarks, DISA STIGs, Microsoft Security Baselines.

📱 DISPOSITIVOS MÓVILES (Android, iOS)

🔹 Fase 1 – Política Móvil Corporativa

Objetivo: Sentar las reglas del juego desde el principio.

1. Prohibir Root/Jailbreak mediante políticas internas y software MDM.

2. Requerir PIN o biometría obligatoria con bloqueo en 30 seg.

3. No permitir apps de fuentes desconocidas (sideloading).

4. Revisión y whitelisting de apps antes de instalar en flota.

5. Forzar cifrado del dispositivo y del almacenamiento SD.

🔹 Fase 2 – Control y Monitorización Remota (MDM)

Objetivo: Poder controlar, borrar y monitorear desde el centro.
6. Instalar plataforma MDM (MobileIron, Intune, Jamf, etc.).
7. Activar geolocalización y borrado remoto en caso de pérdida.
8. Detectar cambios de SIM, root o apps peligrosas.
9. Aplicar contenedores o separación de espacio laboral/personal.
10. Reportes automáticos de cumplimiento de políticas.

🔹 Fase 3 – Protección Avanzada del Usuario

Objetivo: Aumentar la conciencia y la protección del endpoint humano.
11. Bloquear notificaciones en pantalla bloqueada.
12. Deshabilitar autoconexión a Wi-Fi abiertas o Bluetooth automáticos.
13. Activar navegación segura (Navegador corporativo o VPN obligatoria).
14. Formación continua al usuario: QR maliciosos, phishing, apps fake.
15. Auditorías periódicas de dispositivos en el entorno BYOD.

BONUS – Consejos Avanzados Purple Team

• Simula ataques móviles o de SO con emuladores y sandboxing: (ex. Android Studio + Drozer o Windows Sandbox + Attack Simulations).

• Crea un perfil de amenazas por tipo de sistema operativo.

• Incluye móviles como activos críticos en el inventario SIEM.

• Usa reglas YARA y detección por comportamiento para anomalías.

• Mantén documentación clara y visible para incidentes móviles.