24 Seguridad del hogar y la oficina

Proteger el acceso inalámbrico

Use WPA3-Personal cuando el conjunto de equipos lo admita. Cuando haya clientes que lo requieran, WPA2-Personal con AES/CCMP es una opción de compatibilidad; evite WEP, WPA antiguo y TKIP. El modo mixto WPA2/WPA3 facilita transición pero permite que algunos clientes utilicen WPA2. Revise el modo real de asociación y planifique retirar clientes obsoletos. En 6 GHz aplican requisitos específicos de seguridad y PMF. [F24]

Una clave larga, exclusiva y aleatoria protege mejor que una palabra familiar con el año agregado. No use como contraseña el nombre del comercio, teléfono o dirección. Separe clave WiFi de contraseña administrativa. Cambie la clave cuando se haya divulgado y retire las cuentas de quienes ya no administren la red.

Proteger la administración

Desactive WPS y administración remota por WAN salvo una necesidad controlada. Use HTTPS donde el equipo lo ofrezca y verifique que está entrando al dispositivo correcto. No acostumbre al usuario a ignorar advertencias de certificado fuera del acceso local identificado. Deshabilite servicios de gestión inseguros que no se necesiten.

Mantenga firmware con soporte, respaldos protegidos y autenticación multifactor en cuentas de nube. Un respaldo puede incluir claves y certificados; no lo envíe por mensajería abierta ni lo deje en una carpeta de invitados. Registre quién conserva acceso de recuperación.

Lo que no aporta protección suficiente

Ocultar SSID no cifra el tráfico. Filtrar MAC no es autenticación fuerte y puede romperse con direcciones aleatorias de clientes. Cambiar el nombre del router no sustituye las actualizaciones. Desactivar el firewall para que una aplicación funcione deja de ser un diagnóstico controlado si no se restaura y corrige la regla específica.

Empresa y autenticación individual

Cuando se necesita alta y baja por persona, considere WPA2 o WPA3 Enterprise con 802.1X y RADIUS administrados correctamente. EAP-TLS con certificados requiere infraestructura y ciclo de vida de certificados. Enseñe al cliente a validar el servidor y no aceptar cualquier certificado; una pantalla de usuario y contraseña no garantiza autenticación segura.

Cámaras NAS e impresoras

Actualice, cambie credenciales y segmente. Limite administración a responsables y evite exposición directa a Internet. Revise UPnP: puede crear aperturas automáticas que el responsable no documentó. Si se requiere acceso remoto, una VPN mantenida y acceso con mínimo privilegio suelen ofrecer un control más claro que reenviar paneles de cada dispositivo.

Si se sospecha una intrusión

1. Registre hora síntomas cambios y equipos implicados sin difundir datos privados.

2. Aísle el equipo afectado del resto de la red de forma controlada.

3. Preserve registros y configuraciones antes de restablecer, si es viable.

4. Revise desde un equipo confiable cuentas de administración, DNS, reenvíos y acceso de nube.

5. Actualice o sustituya equipos comprometidos y cambie credenciales desde una estación segura.

6. Restaure una configuración conocida y vuelva a probar la segmentación.

7. Escale el incidente si hay datos personales o continuidad del negocio comprometida.

No ejecute escaneos, captura de tráfico ajeno ni pruebas de contraseñas en redes sin autorización. En este libro, las pruebas se limitan a identificar y corregir la propia instalación. La continuidad de trabajo y la preservación de evidencia tienen prioridad sobre experimentar con equipos del cliente.