El navegador es una de las aplicaciones más usadas en cualquier organización, y también uno de los vectores de ataque más frecuentes. De las descargas automáticas a la publicidad maliciosa, las amenazas que alguien encuentra en una jornada normal de navegación son variadas y cambian todo el tiempo. Adoptar prácticas de navegación segura es clave para protegerse de los ataques por web.
Las amenazas que llegan por el navegador
Las descargas automáticas (drive-by downloads) ocurren cuando visitar un sitio comprometido o malicioso dispara la descarga de malware sin que la persona lo sepa ni lo autorice. Estos ataques aprovechan vulnerabilidades del propio navegador, de sus complementos o del sistema operativo. No hace falta hacer clic en nada: basta con cargar la página si el navegador o sus componentes tienen fallas sin parchar.
La publicidad maliciosa (malvertising) incrusta código dañino dentro de anuncios que se muestran en sitios por lo demás legítimos. Como las redes publicitarias sirven contenido de forma dinámica, hasta un sitio conocido y confiable puede entregar un anuncio malicioso sin saberlo. La persona ve una página normal y no tiene motivo para sospechar, y eso es justamente lo que hace al malvertising tan efectivo.
Los ataques de abrevadero (watering hole) apuntan a una organización concreta comprometiendo los sitios que su personal visita seguido. El atacante identifica foros del sector, asociaciones profesionales o portales de proveedores frecuentados por el objetivo, y les inyecta código malicioso. Como el sitio comprometido es familiar y confiable, es poco probable que alguien tenga la cautela que aplicaría ante una página desconocida.
Configuración segura del navegador
Mantener el navegador actualizado es la medida más importante de todas. Los navegadores modernos publican parches de seguridad con mucha frecuencia, y activar las actualizaciones automáticas garantiza que las fallas conocidas se cierren pronto. Configúralos para buscar actualizaciones a diario y aplicarlas sin pedir intervención del usuario.
Desactiva o elimina los complementos y extensiones que no sean necesarios. Cada complemento amplía la superficie de ataque. Flash, los applets de Java y otros complementos heredados deberían desaparecer por completo de los equipos de la organización. Para las extensiones que sí hacen falta, mantén una lista aprobada y bloquea la instalación de las demás mediante directivas de grupo o gestión de dispositivos.
Activa las funciones de seguridad que trae el navegador: avisos de navegación segura, protección contra phishing y análisis de descargas. Configúralo para bloquear ventanas emergentes e impedir las descargas automáticas. Y haz que los archivos descargados requieran una confirmación explícita antes de ejecutarse.
Reconocer un sitio malicioso
Enseña a tu gente a verificar la autenticidad de un sitio antes de escribir cualquier dato. Que revise que la URL coincida exactamente con el dominio esperado, atenta a los intentos de typosquatting con caracteres visualmente parecidos. Que confirme que HTTPS esté activo en cualquier sitio que maneje datos sensibles, teniendo en cuenta que los atacantes también usan HTTPS en sus páginas de phishing.
Cuidado con las URL acortadas, que esconden el destino real. Conviene usar herramientas de previsualización o de expansión para ver a dónde llevan antes de hacer clic. Y cuando se pueda, mejor evitar los enlaces del correo o la mensajería y entrar al sitio escribiendo directamente la dirección conocida en la barra del navegador.
Descargar con cabeza
Descarga software solo de los sitios oficiales del fabricante o de repositorios internos aprobados. Evita los portales de descarga de terceros, que suelen empaquetar programas legítimos junto con software no deseado o malware. Verifica los archivos descargados con sumas de verificación o firmas digitales cuando estén disponibles.
Configura la protección de endpoints para analizar automáticamente todo archivo descargado antes de que pueda abrirse o ejecutarse. E implementa listas blancas de aplicaciones en las estaciones de trabajo, para que ningún ejecutable no autorizado corra aunque el archivo malicioso haya llegado a descargarse.
Aislamiento y entornos controlados
La tecnología de aislamiento de navegador ejecuta el contenido web en un entorno separado del sistema operativo local. Aunque un sitio logre explotar una vulnerabilidad del navegador, el ataque queda contenido y no alcanza el equipo ni la red corporativa. Los servicios de aislamiento en la nube renderizan el contenido en servidores remotos y transmiten al navegador solo una representación visual segura.
Si no puedes desplegar un aislamiento completo, considera usar máquinas virtuales o contenedores para la navegación de mayor riesgo, como investigar en sitios desconocidos. Así el radio de impacto de cualquier ataque exitoso queda limitado a un entorno desechable.
Extensiones de seguridad
Elige un número pequeño de extensiones de seguridad revisadas. Los bloqueadores de anuncios reducen la exposición al malvertising. Los bloqueadores de scripts dan a los usuarios avanzados control sobre qué dominios pueden ejecutar JavaScript. Las extensiones de reputación de URL avisan en tiempo real sobre sitios maliciosos conocidos.
Aun así, conviene ser selectivo. Cada extensión tiene acceso amplio a los datos de navegación y puede introducir sus propias vulnerabilidades. Limítate a publicadores confiables con trayectoria comprobable, y revisa con cuidado los permisos antes de instalar.
La navegación segura es una combinación de controles técnicos y criterio de las personas. Configurando bien los navegadores, manteniendo el software al día y enseñando a reconocer las amenazas web, una organización reduce de forma notable el riesgo que trae el uso cotidiano de internet.
