FILTRADO WEB

🔹 ¿Qué es el filtrado web?

El filtrado web es un mecanismo de control que inspecciona el tráfico web saliente de los usuarios para permitir o denegar el acceso a determinados contenidos de Internet, basándose en reglas de seguridad predefinidas. Su objetivo principal es proteger los activos, reducir riesgos, prevenir fugas de información, controlar el cumplimiento de normativas y mejorar la productividad.

Se aplica típicamente en tres formas:

1. Filtrado por URL o dominio: se bloquean o permiten ciertos sitios según su dirección.

2. Filtrado por categoría: se bloquean familias completas (ej. apuestas, pornografía, redes sociales).

3. Filtrado por reputación: se evalúa el riesgo del sitio mediante bases de datos actualizadas de amenazas.

4. Filtrado por contenido o palabras clave: se deniega acceso si se detectan ciertos términos (como crack, vpn, torrent, etc.).

5. Filtrado por tipo de archivo: evita la descarga de ejecutables o documentos peligrosos.

🔸 ¿Por qué es importante?

1. Prevención de malware: La mayoría de ataques actuales (phishing, ransomware, troyanos) inician con un clic en un enlace. Si bloqueas el acceso al sitio malicioso, neutralizas el vector.

2. Defensa contra phishing: Evita que el usuario acceda a webs clonadas que intentan robar credenciales.

3. Protección ante filtraciones de datos (DLP): Impide que un usuario cargue documentos confidenciales a servicios no autorizados como Dropbox, Google Drive, WeTransfer, etc.

4. Cumplimiento legal y ético: Permite cumplir políticas de uso responsable, regulaciones como el RGPD, y prevenir el acceso a contenido ilegal.

5. Mejora del rendimiento: A través de técnicas de caché y proxy, se reduce el uso del ancho de banda.

🔸 ¿Dónde se implementa?

El filtrado web puede aplicarse en diversos puntos de la infraestructura:

1. Proxy centralizado (local o en la nube): Inspecciona el tráfico web de toda la red.

2. Agentes en endpoints: Permite aplicar políticas incluso fuera de la red corporativa.

3. Firewalls con capacidades UTM: Integran filtrado de contenido directamente.

4. DNS filtering: Bloquea solicitudes DNS de sitios maliciosos desde la raíz.

🔹 Tipos de filtrado web

1. Filtrado web basado en agentes

• Se instala un software cliente en los dispositivos (PCs, móviles, portátiles).

• Aplica políticas directamente en el equipo, incluso si está fuera de la red empresarial.

• Ideal para usuarios remotos o híbridos.

• Puede reportar actividad en tiempo real, bloquear HTTPS, aplicar reglas diferentes por app.

2. Filtrado centralizado por servidor proxy

• Todo el tráfico pasa por un proxy web que actúa como punto de inspección y control.

• Evalúa peticiones HTTP y HTTPS antes de dejar que salgan a Internet.

• Permite políticas unificadas, generación de informes detallados, anonimato y caché.

• Se integra fácilmente con SIEM, DLP y soluciones de Threat Intelligence.

🔹 Técnicas de protección aplicadas

1. Análisis de URL

Evalúa la estructura de la URL y detecta elementos sospechosos: IPs directas, URLs ofuscadas, strings extrañas, etc.

2. Categorización de contenido

Clasifica sitios automáticamente y aplica reglas basadas en la categoría (juegos, apuestas, armas, hacking, etc.).

3. Reglas personalizadas

Permite crear políticas específicas: bloquear sitios .ru, descargas de .exe, palabras clave, rangos IP, países, etc.

4. Filtrado por reputación

Utiliza motores externos que asignan puntuaciones de riesgo a los sitios web, basados en inteligencia global. Bloquea automáticamente sitios de baja reputación.

5. Filtrado de archivos y MIME types

Controla qué tipos de archivos se pueden descargar o subir. Útil para prevenir malware, ransomware y fugas.

6. Inspección TLS/SSL

Descifra tráfico cifrado HTTPS para aplicar las reglas. Requiere instalar certificados raíz en los dispositivos.

🔸 Problemas comunes

Sobrebloqueo
Se bloquean sitios útiles por error → afecta productividad.
Solución: Revisar logs, generar excepciones controladas.

Subbloqueo
Se cuelan sitios maliciosos que no están en las listas.
Solución: Activar filtrado por reputación + sandboxing de descargas.

Falta de visibilidad en HTTPS
Sin inspección TLS, no puedes analizar el contenido del tráfico cifrado.
Solución: Implementar TLS inspection con certificados adecuados.

Privacidad del usuario
Los empleados pueden sentirse vigilados.
Solución: Aplicar políticas éticas, obtener consentimiento y definir los límites de la monitorización.

🔹 Herramientas de filtrado web comunes

• Cisco Umbrella (DNS filtering + proxy + threat intelligence)

• Zscaler Internet Access (proxy cloud + DLP + sandbox)

• Forcepoint Web Security

• Barracuda Web Filter

• FortiGuard Web Filtering

• WebTitan

• OpenDNS (Cisco)

• Sophos XG Firewall (con políticas web integradas)

• Cloudflare Gateway

🔸 Integración con otras capas de seguridad

• SIEM: Correlación de eventos (ej. accesos web + anomalías de usuario).

• DLP: Protección contra fugas por uploads web.

• EDR/XDR: Control del comportamiento en el endpoint.

• CASB: Control del acceso a aplicaciones en la nube.

🟣 Mentalidad Purple Team

• Evalúa los logs de proxy para detectar comportamientos anómalos.

• Crea políticas de bloqueo dinámico con indicadores de compromiso (IOCs).

• Simula ataques con herramientas como Gophish o SEToolkit y observa si el filtrado los bloquea.

• Integra filtrado DNS + web + DLP para cerrar la exfiltración de datos.

🔒 PARTE 2 – CURIOSIDADES, CLAVES TÁCTICAS Y DETALLES CRÍTICOS SOBRE FILTRADO WEB

1. El filtrado web es tu "cortafuegos del alma"

Aunque no bloquea tráfico como un firewall tradicional, el filtrado web actúa como un filtro moral, legal y técnico. Es quien decide si un usuario puede salir a "pasear por Internet" o si se queda en casa.

Curiosidad real: Muchas empresas han evitado fugas de datos porque el filtrado web bloqueó el acceso a servicios como WeTransfer, Mega o Pastebin, donde empleados malintencionados intentaban subir información sensible.

2. Puedes aplicar filtrado incluso fuera de la oficina

Gracias a los agentes locales, puedes hacer cumplir las políticas web incluso si el empleado está en un hotel de Japón con datos móviles. El agente se conecta a la nube y aplica las reglas como si estuviera en la oficina.

Claves prácticas:

• Funciona sin VPN.

• Puede bloquear tráfico por aplicación (TikTok, YouTube, Discord).

• Ideal para entornos BYOD (Bring Your Own Device).

3. El proxy no solo controla... también acelera

Los proxies modernos almacenan en caché contenido web, reduciendo tiempos de carga y consumo de ancho de banda. También pueden interceptar conexiones TLS para inspeccionar tráfico cifrado.

Advertencia Purple: Esto puede levantar quejas si no se comunica bien. Debe estar respaldado por una política de uso y privacidad clara.

4. Algunos proxies actúan como analistas SOC

Plataformas como Zscaler, Netskope o Cisco Umbrella combinan:

• Filtrado por reputación, categoría y geolocalización.

• Análisis en sandbox de archivos descargados.

• Reglas específicas por usuario, hora y aplicación.

Conclusión: Tu proxy puede actuar como una torre de vigilancia cibernética.

5. Pilar clave del modelo Zero Trust

El filtrado web ayuda a construir una red Zero Trust porque no confía en ningún tráfico saliente por defecto, ni siquiera el generado desde la LAN por usuarios autorizados.

Clave Purple: Combina filtrado web + DLP + CASB para proteger entornos SaaS (Google Drive, OneDrive, Dropbox).

6. Filtrado por reputación: una lista negra viva

Los sistemas de reputación como BrightCloud, Webroot o Talos se actualizan constantemente con inteligencia de amenazas global.

Dato curioso: Algunos motores se actualizan cada 5 minutos para bloquear nuevas campañas de malware o phishing.

7. Puedes crear reglas por palabras clave

Bloquea sitios que contengan términos como:
hacking, torrent, crack, vpn, anonymous, darkweb…

Aplicación real: Universidades lo usan para bloquear servicios de trampas académicas y herramientas de evasión.

8. HTTPS: la gran barrera moderna

El 90% del tráfico web actual está cifrado. Si no se configura bien el filtrado, pierdes visibilidad total.

Soluciones tácticas:

• Habilita TLS inspection.

• Instala certificados raíz en los dispositivos.

• Añade DNS filtering como capa adicional (Quad9, NextDNS).

9. Errores comunes y cómo solucionarlos

Problema: Sobrebloqueo
Solución: Ajustar reglas, analizar logs y excepciones autorizadas.

Problema: Subbloqueo
Solución: Activar filtrado por reputación + sandboxing.

Problema: HTTPS sin inspección
Solución: TLS inspection + certificados raíz en endpoints.

Problema: Quejas de privacidad
Solución: Redactar política clara de uso, con consentimiento informado.

10. Filtrado web + SIEM = máxima visibilidad

Enviar los logs del proxy al SIEM permite:

• Detectar comportamientos anómalos de navegación.

• Correlacionar accesos con intentos de fuga de información.

• Generar alertas inteligentes por uso indebido o exfiltración de datos.

Resultado: El proxy se convierte en un sensor de inteligencia activa dentro del ecosistema Blue Team.

Ejercicios Purple Team 

FILTRADO WEB

Mentalidad ofensiva, defensiva y estratégica avanzada

🧨 EJEMPLO 1 – Ataque de Phishing con Redirección Maliciosa – Nivel Avanzado

🔴 Red Team ataca:

Simulo una campaña de phishing con un enlace que redirige a un sitio web malicioso categorizado como "Business" en los filtros. El payload se descarga como update.exe desde una URL acortada.
→ Me aprovecho de:

• Categorías poco controladas (business, traducción, productividad)

• Falta de inspección HTTPS

• Sin control de tipo MIME ni extensión de archivo

🔵 Blue Team defiende:

• Activo filtrado por categoría + reputación

• Inspección HTTPS activada en URLs acortadas

• Bloqueo de descargas .exe, .bat, .js

• Registro de logs proxy en SIEM + correlación con EDR

• Notificaciones automáticas si se detecta navegación a URLs con "payload"

🟣 Purple Team gestiona:

• Simulo el ataque con Gophish y Payload Generator

• Compruebo si el proxy intercepta, si el SIEM alerta, si el endpoint reacciona

• Evalúo: ¿hubo bypass? ¿falsos positivos? ¿respuesta del analista?

• Ajusto las reglas del proxy según los resultados

• Creo un informe con:

  • Tiempo de detección

  • Tiempo de respuesta

  • Impacto potencial

  • Ajustes sugeridos

🧨 EJEMPLO 2 – Exfiltración de Datos a través de Google Drive – Nivel Experto

🔴 Red Team ataca:

Subo documentos .pdf y .xls con metadatos internos sensibles a una cuenta personal de Google Drive. Uso Tor y VPN para ocultar el origen.
→ Me aprovecho de:

• Falta de políticas DLP

• Ausencia de bloqueo a aplicaciones en la nube no autorizadas

• Proxy sin visibilidad del contenido cifrado

🔵 Blue Team defiende:

• Agente local con reglas DLP activas

• Proxy con bloqueo por dominio (drive.google.com) para usuarios sin autorización

• Reglas basadas en contenido y tipo MIME

• Bloqueo de servicios cloud no registrados

• Inspección HTTPS selectiva en dominios de alto riesgo

🟣 Purple Team gestiona:

• Simulo el flujo completo desde endpoint a nube

• Analizo si las herramientas de control detectan y bloquean

• Evalúo: ¿el usuario fue alertado? ¿hay registro en SIEM?

• Ajusto reglas DLP para tipos de archivos clave

• Revisión con el equipo legal: ¿está alineado el bloqueo con las normativas?

🧨 EJEMPLO 3 – Carga de Contenido Malicioso desde Página Categorizada como Segura – Nivel Maestro

🔴 Red Team ataca:

Creo un sitio web nuevo con contenido inocente (blogs, tutoriales), pero al cabo de 5 días modifico el código para inyectar malware (drive-by-download con JavaScript).
→ Me aprovecho de:

• Indexación inicial buena reputación

• Filtro basado en categoría poco dinámico

• Falta de sandboxing web

🔵 Blue Team defiende:

• Implementa filtrado web dinámico basado en reputación + análisis de comportamiento

• Sandbox de URLs antes de permitir ejecución de scripts

• Análisis de tráfico anómalo en salida (C2 beaconing, conexiones inusuales)

• Correlación con IDS y logs DNS

• Educación al usuario para no ignorar advertencias del navegador

🟣 Purple Team gestiona:

• Simulo visita al sitio malicioso tras cambio de código

• Monitorizo reacción del proxy, SIEM y endpoint

• Hago un análisis forense si hay ejecución en sandbox

• Comparo tiempo entre cambio malicioso y detección

• Elaboro plan de mejora: actualización diaria de feeds + integración con threat intel