Hardening operativo: 30 controles que reducen exposición real

El hardening efectivo no consiste en aplicar una plantilla y olvidarla. Consiste en reducir caminos reales de abuso y mantener evidencia de que los controles siguen funcionando.

Estos 30 controles sirven como baseline operativo.

Identidad

1. MFA obligatorio para todo acceso remoto.
2. MFA resistente para administradores.
3. Cuentas administrativas separadas.
4. Revisión periódica de grupos privilegiados.
5. Eliminación de cuentas compartidas.

Endpoints

6. EDR activo y monitoreado.
7. Cifrado de disco.
8. Parches críticos con SLA definido.
9. Bloqueo de macros no autorizadas.
10. Inventario de software instalado.

Servidores

11. Servicios innecesarios deshabilitados.
12. Acceso administrativo restringido por red y rol.
13. Logs enviados a una plataforma central.
14. Configuración base documentada.
15. Backups probados, no solo programados.

Red

16. Segmentación entre usuarios, servidores y administración.
17. Reglas de firewall con dueño y justificación.
18. Bloqueo de exposición directa innecesaria.
19. Monitoreo de tráfico lateral.
20. Revisión de VPN y accesos externos.

Aplicaciones

21. Validación de entrada.
22. Manejo seguro de errores.
23. Secrets fuera del repositorio.
24. Dependencias actualizadas.
25. Pruebas de autorización por objeto.

Monitoreo

26. Alertas de identidad crítica.
27. Alertas por cambios administrativos.
28. Detección de transferencias masivas.
29. Retención suficiente para investigar.
30. Runbooks de respuesta probados.

Cómo priorizar

Si todo parece urgente, empieza por lo que reduce más impacto: MFA fuerte, privilegios mínimos, backups restaurables, parches críticos y logs útiles. Sin esos controles, cualquier otro esfuerzo queda sobre una base frágil.

Evidencia esperada

Cada control debería tener una prueba: captura, query, reporte, configuración exportada, ticket, log o resultado de ejercicio. Sin evidencia, el hardening se vuelve una declaración de intención.