Mala configuración de seguridad: qué es y cómo detectarla cuando reaparece

Los equipos refuerzan sus sistemas según un punto de referencia, cierran los puertos no usados, activan el registro y aprueban la revisión. Luego, un parche restablece una configuración, un ingeniero abre una regla de firewall a las 2 a. m. para solucionar una interrupción y nunca la cierra, y se crea un nuevo servidor a partir de una imagen antigua. Unos meses después, el entorno no se parece en nada al aprobado.

Esa es una mala configuración de seguridad. OWASP la clasificó en quinto lugar en 2021 y en segundo lugar en 2025, y sigue subiendo porque puedes parchear cada vulnerabilidad conocida y aún así dejar la puerta abierta con una configuración que nadie recordó cambiar.

Configuración incorrecta de seguridad: Una configuración que está mal, falta o se dejó por defecto

La mala configuración de seguridad es una vulnerabilidad causada por ajustes que faltan, son incorrectos o se mantienen en valores predeterminados inseguros. El software funciona según lo diseñado. La forma en que está configurado lo expone.

Una vulnerabilidad es un fallo en el código, y el proveedor lo corrige con un parche. Una mala configuración proviene de una decisión, o de la falta de ella, sobre cómo se desplegó o modificó un sistema. La solución es un cambio en la configuración, y es tarea de tu equipo realizarlo y mantenerlo.

Las configuraciones incorrectas pueden estar en sistemas operativos, bases de datos, servidores web, plataformas en la nube, dispositivos de red y aplicaciones. A menudo pasan desapercibidas porque nada se rompe y el sistema sigue funcionando.

Ejemplos de mala configuración de seguridad en servidores, en la nube y en dispositivos de red

Muchos de estos se reducen a una sola línea en un archivo de configuración. Así es como se ve la deriva en dos de los más comunes.

      # /etc/ssh/sshd_config 

 

# Drifted 

PermitRootLogin yes 

PasswordAuthentication yes 

 

# Hardened 

PermitRootLogin no 

PasswordAuthentication no 
      

      # nginx.conf 

 

# Drifted 

autoindex on;        # directory listings exposed 

server_tokens on;    # version number in every response 

 

# Hardened 

autoindex off; 

server_tokens off; 
      

Ambas versiones desviadas funcionan bien, por eso nadie las nota. Change Tracker puede supervisar archivos de configuración como estos y señalar el momento en que un valor cambia.

La mayoría de estos solo requieren un cambio de configuración para solucionarse. Encontrarlos en una gran infraestructura es la parte lenta.

Las configuraciones erróneas siguen reapareciendo después del endurecimiento

Los errores en la configuración ocurren, al igual que los cambios realizados después de la configuración. El término técnico para este segundo tipo es desviación de configuración: el movimiento gradual de un sistema alejándose de su estado aprobado y endurecido.

Los parches y actualizaciones cambian la configuración como efecto secundario. Las correcciones de emergencia se realizan fuera del proceso normal porque el negocio no puede esperar. Los sistemas que se suponía que eran idénticos se construyen en diferentes momentos por diferentes personas. Cuando algo cambia, a menudo no hay un registro claro de quién lo cambió, cuándo o por qué.

Por eso una auditoría única no es suficiente. Muestra tus sistemas tal como estaban el día que los revisaste, y la desviación puede comenzar al día siguiente. Los equipos que revisan trimestral o anualmente siempre trabajan con una instantánea que ya está desactualizada.

Lo que te cuesta un sistema mal configurado

Un sistema mal configurado facilita la entrada a un atacante y genera un hallazgo para un auditor. Ambos cuestan tiempo y dinero.

Las configuraciones incorrectas pueden exponer datos, ampliar el acceso que un atacante obtiene una vez dentro y dificultar la detección de una intrusión porque no se configuró el registro para capturarla. Una mala configuración también puede causar una interrupción, y rastrear la causa consume horas cuando nadie puede decir qué cambió. Marcos como PCI DSS, NIST 800-53 y HIPAA esperan que las organizaciones mantengan estándares seguros de configuración y muestren evidencia de que los sistemas aún los cumplen. Un sistema desviado falla esa prueba incluso si aún no ha ocurrido nada malo.

Encontrar y corregir la mala configuración de seguridad en cuatro pasos

1. Comience con un estándar. No puede encontrar una mala configuración sin algo con qué compararla. La mayoría de las organizaciones comienzan con un punto de referencia de la industria como CIS Benchmarks o DISA STIG y lo ajustan a su entorno. Algunas crean su propio estándar a partir de un sistema que ya han fortalecido y en el que confían.
2. Evalúe cada sistema en función de ello. Verifique servidores, bases de datos, cuentas en la nube y dispositivos de red según el estándar y puntúe los resultados. Obtendrá una lista de lo que está fuera de línea, clasificada según su importancia.
3. Corrige lo que encuentres. Comienza con el mayor riesgo. Cuando una desviación es intencional, documéntala como una excepción aprobada para que no vuelva como una falsa alarma.
4. Supervise los cambios. Después de la remediación, el entorno sigue cambiando. La supervisión continua le indica cuándo un sistema se desvía de su estado aprobado, para que pueda corregir una configuración desviada en horas en lugar de descubrirla en la próxima auditoría.

La detección sin contexto se convierte en ruido de alertas

Después de que los equipos añaden monitoreo, las alertas comienzan a llegar. Cada parche, ventana de mantenimiento y actualización aprobada puede generar eventos de cambio, y en cientos de dispositivos un equipo no puede distinguir los cambios rutinarios de los riesgosos.

Un cambio en un archivo de configuración solo es un problema si no se suponía que ocurriera. Detectar la diferencia significa comparar lo que cambió con lo que fue aprobado.

El control de cambios en circuito cerrado realiza esa comparación. Los cambios aprobados se registran como cambios planificados, ya sea conectándose al sistema de gestión de servicios de TI donde ya existen las solicitudes o definiéndolos directamente. Cuando aparece un cambio en un sistema, se verifica con el plan. Una coincidencia se clasifica como planificada y se mantiene fuera del camino. Cualquier otro cambio se marca como no planificado, y esa lista corta es lo que el equipo investiga.

Conozca Netwrix Change Tracker

Netwrix Change Tracker compara sistemas con un estándar conocido, detecta desviaciones en tiempo real y separa los cambios planificados de los no planificados.

Para la evaluación, Change Tracker incluye informes de cumplimiento basados en los CIS Benchmarks, y Netwrix es un proveedor certificado por CIS. Los informes cubren Windows, Linux, Unix, bases de datos, dispositivos de red, VMware ESXi y plataformas en la nube como Azure, AWS, GCP y Microsoft 365. Si su organización tiene su propio estándar de compilación, cualquier dispositivo puede servir como fuente base, por lo que puede definir una compilación estándar desde un sistema de confianza y medir el resto contra él.

Para la supervisión, rastrea archivos, carpetas y contenidos de archivos, además de procesos, servicios y puertos de red abiertos. En Windows, también rastrea configuraciones del registro, software instalado, cuentas locales y políticas de seguridad y auditoría. La recopilación funciona con o sin agente, lo que es importante en entornos que combinan servidores, dispositivos y aparatos donde no se puede instalar software. Cada cambio se registra con qué cambió y cuándo, para que construyas un historial buscable cuando algo salga mal.

Para el control de cambios, compara los cambios detectados con los planificados. Se integra con plataformas ITSM como ServiceNow, BMC Remedy, Cherwell, ManageEngine ServiceDesk Plus y OpenText Service Management, de modo que las solicitudes aprobadas se convierten automáticamente en cambios planificados. Los cambios no planificados pueden generar un incidente en ServiceNow, que pone la investigación frente a la persona que posee el sistema.

Obtienes una configuración de seguridad que puedes verificar en cualquier momento y una respuesta clara cuando alguien pregunta qué cambió.