Blue Team / Arsenal Defensivo
09 Red · Defensa
Defensa de red (firewall, WAF, IPS)
La primera muralla: controlar qué entra y qué sale. Firewalls de red y de host, WAF para la web y fail2ban para cortar fuerza bruta. Aquí entiendes default-deny y lo practicas con las herramientas que ya tienes a mano.
🧥Las capas de defensa de red
| Firewall de red | pfSense/OPNsense (FreeBSD), reglas de perímetro, VPN, NAT, segmentación. |
| Firewall de host | iptables/nftables (Linux), Windows Firewall: default-deny en cada máquina. |
| WAF | ModSecurity (OWASP CRS), Wallarm: filtran ataques web (SQLi, XSS) en capa 7. |
| fail2ban | lee logs y banea IPs que hacen fuerza bruta (SSH, web, correo). |
| CSF | ConfigServer F&S: firewall + detección de login en servidores Linux. |
🔧Lab (en tu Kali): iptables + fail2ban
1
iptables -P INPUT DROP ; iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
default-deny: todo cerrado menos lo ya establecido.
2
iptables -A INPUT -p tcp --dport 22 -s 10.0.0.0/8 -j ACCEPT
abre SSH SOLO desde tu red de gestión.
3
fail2ban-client status sshd
mira cuántas IPs lleva baneadas por fuerza bruta SSH.
4
Edita /etc/fail2ban/jail.local
sube bantime, findtime, maxretry; añade jails para apache/nginx.
5
nft list ruleset
equivalente moderno con nftables; conoce los dos.
🌐WAF: ModSecurity + OWASP CRS
1
Instala ModSecurity en Apache/Nginx
el motor de reglas en capa 7.
2
Activa el OWASP Core Rule Set (CRS)
reglas contra SQLi, XSS, LFI, etc.
3
Empieza en modo DetectionOnly
observa qué bloquearía ANTES de bloquear (evita tirar la web).
4
Afina y pasa a bloqueo
sube el nivel de paranoia y excluye falsos positivos concretos.
Un WAF mal afinado en bloqueo rompe la aplicación legítima: SIEMPRE fase de observación primero.
⚠Fallos típicos y solución
Te autobloqueas con iptables
ponte una regla que acepte TU IP de gestión ANTES del DROP, y ten acceso físico/consola por si acaso.
fail2ban no banea
el
logpath o el failregex no casan con tus logs; prueba con fail2ban-regex.WAF rompe la web
modo DetectionOnly + tuning; nunca CRS a máxima paranoia directo a producción.
Reglas 'permit any' colándose
ordena de específico a general y audita; una regla ancha anula a las finas.
💡Trucos
- Default-deny siempre: se permite lo necesario, se niega el resto. Lo contrario es un coladero.
- Segmenta (VLANs): que caer en un sitio no dé acceso a todo (este-oeste).
- Registra lo DENEGADO también: ahí ves los escaneos y los intentos.
- Egreso controlado: limita lo que SALE (muchos C2 mueren si no pueden salir).
🎯🎯 Lab puntuable: audita la defensa
Ahora tú. Audita un iptables-save y encuentra el servicio sensible abierto a Internet, y reconstruye un baneo de fail2ban en los logs. 2 retos, 40 puntos.
⚑ Recuerda enviar la flag. Cuando saques la FLAG, envíala en su reto para que cuente en tu progreso y en el marcador. Si no la envías, no puntúa.
Ir a los retos🔎 No memorices comandos. Ten el Arsenal abierto en otra pestaña y busca ahí el comando exacto cuando lo necesites. Entiende el POR QUÉ aquí; el COMANDO lo copias del Arsenal.
Abrir Arsenal