Protocol de Verificació · Capa Lògica de Xarxa ·

0 / 0

Nivell

Protocol de Verificació
Capa Lògica de Xarxa

Xarxa empresarial Windows & Linux Seguretat lògica avançada Correlació de resultats

Checklist estandarditzada per verificar l’estat de la capa lògica d’una xarxa empresarial. Cobreix adreçament IP, segmentació, connectivitat, DHCP/DNS, ample de banda, seguretat lògica i alertes automàtiques, amb justificació de criteris i correlació entre comandes.

// índex de seccions

01 Pla d’adreçament 02 Segmentació i VLANs 03 Connectivitat 04 DHCP i DNS 05 Ample de banda 06 Seguretat lògica 07 Correlació de resultats 08 Alertes automàtiques

WIN Comanda Windows

LIN Comanda Linux

ALL Ambdues plataformes

01 Pla d’adreçament IP adreçament

Identificar i documentar les adreces IP públiques assignades pel proveïdor ISP

whois <IP_pública> ipconfig /all ip a show eth0 curl ifconfig.me

Justificació: Conèixer el rang públic és imprescindible per detectar adreces no autoritzades exposades a Internet i per validar les regles NAT/PAT del firewall perimetral.

Identificar i documentar els rangs d’adreces IP privades en ús (RFC 1918)

ipconfig /all Get-NetIPAddress ip addr show hostname -I

Justificació: Cal verificar que els rangs privats (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) no es superposen entre segments i que cap adreça pública s’usa per error en xarxa interna.

Verificar màscares de subxarxa i calcular correctament el subnetting CIDR

ipcalc <IP>/<prefix> Get-NetIPAddress | Select IPAddress,PrefixLength Taula: host/xarxa/broadcast/rang útil per segment

Atenció: Màscares incorrectes generen problemes de routeig entre segments. Documentar: adreça de xarxa, primera/última adreça útil, broadcast i gateway per defecte de cada subxarxa.

Determinar si l’adreçament és manual (estàtic) o automàtic (DHCP) per a cada dispositiu/segment

ipconfig /all > revisar «DHCP Enabled» cat /etc/network/interfaces nmcli con show | grep -i method

criteri: Servidors, routers, switches i impresores han de tenir IP estàtica documentada. Clients d’usuari poden usar DHCP amb reserves per MAC si es requereix rastreabilitat.

Elaborar i actualitzar la taula d’adreçament completa (host, IP, màscara, gateway, DNS, VLAN)

arp -a ip neigh show arp -a | findstr /v «incomplete»

criteri addicional: Correlacionar la taula ARP amb l’inventari d’equips. Adreces MACs desconegudes a la taula ARP indiquen possibles dispositius no autoritzats (rogue devices).

02 Segmentació de la xarxa i VLANs segmentació

Verificar les VLANs configurades als switches i que la segmentació és l’esperada (usuaris, servidors, DMZ, gestió, IoT…)

show vlan brief (Cisco CLI) bridge vlan show Get-NetAdapter | Select Name,VlanID

Justificació: La segmentació per VLANs limita el domini de broadcast, aïlla tràfic crític i dificulta moviments laterals en cas d’intrusió. Cada segment ha de tenir un propòsit i una política d’accés documentats.

Revisar els ports oberts a servidors i dispositius clau per detectar serveis innecessaris o exposats

nmap -sV -p- <IP_objectiu> netstat -ano | findstr LISTEN ss -tulnp

Atenció: Ports oberts no documentats o serveis en versió antiga representen una superfície d’atac. Correlacionar resultats de nmap amb la llista de serveis aprovats.

criteri de seguretat: Qualsevol port obert en un segment que no hauria de tenir accés extern s’ha d’escalar immediatament i revisar les ACLs del switch/router/firewall.

Comprovar que les ACLs / polítiques de routeig inter-VLAN permeten únicament el tràfic necessari entre segments

show ip access-lists (Cisco) iptables -L -n -v nft list ruleset

Justificació: Sense ACLs correctes, la segmentació per VLANs és ineficaç. Cal verificar que el principi de mínim privilegi s’aplica al tràfic inter-VLAN.

Verificar que no existeix VLAN hopping possible: ports de trunk correctament configurats i VLAN nativa segura

show interfaces trunk (Cisco) show running-config | include native

criteri de seguretat: La VLAN nativa hauria de ser una VLAN no usada (p.ex. VLAN 999). Ports d’accés mai han de tenir mode trunk activat. VLAN hopping permet bypass de la segmentació.

03 Proves de connectivitat connectivitat

Executar ping per verificar connectivitat bàsica: loopback, gateway, servidors crítics, sortida a Internet

ping 127.0.0.1 ping <gateway> ping 8.8.8.8 ping -n 10 <IP> ping -c 10 <IP>

Justificació: El ping valida connectivitat de capa 3 (IP) però no confirma disponibilitat de servei. Un ping fallit pot indicar: host apagat, ICMP bloquejat per firewall, o problema de routeig.

Executar traceroute / tracert per identificar el camí de xarxa, latències per salt i punts de fallada

tracert -d 8.8.8.8 traceroute -n 8.8.8.8 mtr –report 8.8.8.8

Justificació: Permet identificar on es troba la latència excessiva, si el tràfic passa per routers inesperats (possible exfiltració), i si existeixen bucles de routeig (TTL exceeds).

// correlació

Comparar la ruta obtinguda amb la topologia documentada. Desviacions impliquen canvis de configuració no autoritzats o fallades de link.
Salts amb latència >50ms dins de xarxa interna indiquen congestió o equip sobrecarregat.
Asteriscs (*) en tots els salts d’un segment = ACL bloquejant ICMP o equip caigut.

Usar host / nslookup / dig per verificar resolució DNS cap endavant i inversa dels servidors crítics

nslookup <hostname> nslookup <IP> host <hostname> dig +short <hostname> A dig -x <IP>

Justificació cobertura multiplataforma: En Windows nslookup és la eina nativa; en Linux host i dig ofereixen sortida més detallada i scriptable. Ambdues plataformes han de poder resoldre el mateix nom per garantir coherència del servei DNS.

Verificar connectivitat de serveis específics (ports TCP/UDP) als servidors de producció

Test-NetConnection -ComputerName <IP> -Port <PORT> nc -zv <IP> <PORT> telnet <IP> <PORT> nmap -p 80,443,22,3389 <IP>

criteri: Documentar temps de resposta per port. Latències altes en ports de bases de dades (3306, 5432, 1433) poden indicar consultes lentes o congestió de xarxa, no necessàriament problema de capa lògica.

04 Serveis DHCP i DNS serveis bàsics

Verificar que el servei DHCP és actiu, té pool suficient i que les concessions (leases) actives coincideixen amb dispositius autoritzats

Get-DhcpServerv4Scope Get-DhcpServerv4Lease -ScopeId <rang> systemctl status isc-dhcp-server cat /var/lib/dhcp/dhcpd.leases

Justificació: Un pool DHCP exhaurit impedeix que nous dispositius s’incorporin a la xarxa. Les reserves per MAC garanteixen IP consistents per a dispositius que ho requereixin sense adreçament estàtic manual.

criteri de seguretat: Identificar i bloquejar servidors DHCP esbiaixats (rogue DHCP). Un servidor DHCP no autoritzat pot redirigir clients a gateways i DNS maliciosos (atac de suplantació).

Verificar que el servei DNS intern resol correctament tots els hostnames d’actius de l’empresa i que els reenviadors (forwarders) apunten als servidors correctes

Get-DnsServerForwarder Resolve-DnsName <hostname_intern> named-checkconf dig @<DNS_intern> <hostname>

Atenció: Reenviadors DNS apuntant a servidors externs no aprovats pot exposar la resolució interna a tercers (DNS leakage). Usar DNS interns resoledors en cascada cap a servidors de confiança (p.ex. 1.1.1.1, 9.9.9.9).

Comprovar els serveis bàsics de l’empresa: accés a servidor de fitxers, Active Directory / LDAP, servidor de correu intern, servidor web corporatiu

nltest /dsgetdc:<domini> net use \\<servidor>\<share> ldapsearch -x -H ldap://<DC> -b «dc=empresa,dc=local» curl -I http://<servidor_intern>

criteri: Documentar el temps de resposta de cada servei. Definir SLA interns (p.ex. AD <200ms, SMB <100ms) i alertar quan se superin. Correlacionar fallades de servei amb problemes de DNS o DHCP detectats anteriorment.

05 Anàlisi d’ample de banda exclusiu

Mesurar l’ample de banda real entre segments interns amb iperf3 (client-servidor)

iperf3 -s (al servidor) iperf3 -c <IP_servidor> -t 30 -P 4 iperf3 -c <IP> -u -b 100M (UDP)

Justificació : El ping mesura latència però no throughput. iperf3 permet detectar bottlenecks en links de xarxa, saturació de switchos o limitació de NIC. Comparar resultat obtingut amb el teòric del link (1Gbps/10Gbps).

Link 1 Gbps — esperada

> 900 Mbps

Link 1 Gbps — alerta

500–900 Mbps

Link 1 Gbps — crítica

< 500 Mbps

Jitter màxim acceptable

< 5 ms

Mesurar l’ample de banda de la connexió a Internet amb speedtest-cli

speedtest-cli –simple speedtest-cli –server <id> –csv speedtest.exe –format=json

Atenció: Executar en hores de baixa càrrega i repetir el mesurament. Comparar amb la velocitat contractada amb l’ISP. Una desviació >20% ha d’obrir una incidència amb el proveïdor.

Identificar possibles colls d’ampolla (bottlenecks) analitzant estadístiques d’interfície

Get-NetAdapterStatistics ifstat -i eth0 1 10 vnstat -l -i eth0 netstat -e (errors d’interfície)

correlació: Alta taxa d’errors (CRC, runts, giants) en una interfície correlaciona amb problema de capa física (cable, connector SFP). Alta taxa de retransmissions TCP indica congestió o pèrdua de paquets a capa lògica.

06 Seguretat lògica avançada exclusiu

Verificar que les credencials per defecte dels dispositius de xarxa (switches, routers, APs, firewalls) han estat canviades

show running-config | include username (Cisco) Accés web/SSH al dispositiu i comprovació manual

criteri de seguretat lògica: Les credencials per defecte (admin/admin, cisco/cisco, admin/1234) figuren en bases de dades públiques i són el primer vector d’atac. Documentar el resultat sense exposar les credencials al document.

Auditar els accessos als panells administratius (interfícies web de gestió) i verificar que només son accessibles des de la VLAN de gestió

nmap -p 80,443,8080,8443 <rang_xarxa> curl -k https://<IP_dispositiu> -o /dev/null -w «%{http_code}» Revisar logs d’accés dels dispositius (SSH/HTTPS)

criteri de seguretat lògica: Interfícies web de gestió accessibles des de qualsevol VLAN representen un risc crític. Han d’estar restringides per ACL a la VLAN de gestió i idealment protegides per autenticació MFA.

// criteris addicionals de seguretat lògica

Protocol de gestió: SSH v2 (no Telnet, no SSH v1). HTTPS (no HTTP).
Temps d’expiració de sessions administratives: màxim 15 minuts d’inactivitat.
Registre (log) de tots els accessos administratius amb timestamp, IP origen i usuari.
Comptes d’administrador individuals (no compartits). Separació de rols (operador/administrador).

Verificar que 802.1X / autenticació de port està actiu als ports d’accés per evitar connexions no autoritzades

show dot1x all (Cisco) cat /etc/wpa_supplicant/wpa_supplicant.conf

criteri: Sense 802.1X, qualsevol dispositiu connectat físicament a un port de switch obté accés a la VLAN corresponent. 802.1X obliga a autenticar-se contra un servidor RADIUS abans d’obtenir accés lògic.

Revisar les taules de routeig per detectar rutes inesperades o injectades (possible BGP hijacking o rogue route)

route print ip route show show ip route (routers Cisco) netstat -rn

criteri de seguretat lògica: Rutes estàtiques desconegudes que apunten a gateways no autoritzats poden redirigir el tràfic cap a un atacant (Man-in-the-Middle). Comparar la taula de routeig actual amb la documentació baseline.

07 Correlació de resultats entre comandes exclusiu

Correlacionar els resultats de ping + traceroute + iperf3 per diferenciar problemes de latència vs. problemes de throughput

// matriu de correlació

Ping OK + traceroute OK + iperf3 baix: Congestió al link o NIC limitada. No és problema de routeig.
Ping alt + traceroute * en salt intern: Equip intermedi sobrecarregat o ICMP de baixa prioritat (QoS).
Ping OK + nslookup falla: Problema de DNS. La xarxa IP funciona però no la resolució de noms.
DHCP no assigna + ping a gateway OK: Pool exhaurit o filtrat per MAC al servidor DHCP.
Port obert (nmap) + servei no respon (nc): Firewall amb regla de drop (sense reset) o servei penjat.

justificació: Cap comanda en solitari dona el diagnòstic complet. La correlació evita conclusions precipitades i redueix el temps de resolució d’incidències.

Crear un informe de baseline documentant els valors normals de latència, throughput, ports oberts i taules de routeig per tenir referència futura

ping -c 100 <IP> | tee baseline_ping.txt iperf3 -c <IP> -J > baseline_iperf.json ping -n 100 <IP> > baseline_ping.txt

criteri: Sense baseline, és impossible distingir una degradació gradual d’un estat anòmal puntual. El baseline s’ha de renovar després de cada canvi significatiu a la infraestructura.

Comparar resultats entre Windows i Linux per al mateix test per descartar problemes específics de plataforma o de driver de xarxa

// justificació cobertura multiplataforma

Un problema que es reprodueix en ambdues plataformes apunta a infraestructura de xarxa (switch, router, firewall).
Un problema específic d’una plataforma apunta a configuració del SO, driver de NIC, o política de firewall local.
Diferències de throughput entre Windows i Linux en el mateix host poden indicar driver de NIC o configuració TCP/IP diferent (TCP offloading, buffer sizes).

08 Alertes automàtiques davant valors anòmals exclusiu

Configurar alertes de disponibilitat (host down / servei down) amb eina de monitoratge (Zabbix, Nagios, PRTG, Prometheus + Alertmanager)

zabbix_get -s <IP> -k system.hostname Revisar triggers configurats al monitoratge

Host down — trigger crític

3 checks fallits

Latència alta — warning

> 50 ms intern

Pèrdua de paquets

> 2%

Pool DHCP ocupació

> 80%

Configurar alertes d’ample de banda en interfaces crítiques (links WAN, uplinks de servidor)

SNMP OIDs: ifInOctets / ifOutOctets (1.3.6.1.2.1.2.2.1.10/16) snmpget -v2c -c public <IP> ifInOctets.<ifIndex>

Ús WAN — warning

> 70% capacitat

Ús WAN — crític

> 90% capacitat

Interval de mostreig

cada 5 min

Retenció dades

mínim 90 dies

criteri: Les alertes han d’incloure context: nom del dispositiu, interfície afectada, valor actual vs. llindar, i un enllaç directe al dashboard de monitoratge. Evitar alert fatigue configurant correctament els períodes de silenci.

Configurar alertes de seguretat lògica: nous dispositius a la xarxa (MAC desconeguda), escaneigs de ports, fallades d’autenticació repetides

SIEM / IDS (Suricata, Snort, Wazuh) Revisar /var/log/auth.log per fails SSH Event ID 4625 (logon failure) al Event Viewer

criteri de seguretat lògica: Més de 5 fallades d’autenticació en menys d’1 minut des de la mateixa IP = possible atac de força bruta. Alerta immediata i bloqueig automàtic de la IP origen (fail2ban, Windows Firewall rules).

// correlació alertes de seguretat

MAC desconeguda + nova IP al rang DHCP + escaneig de ports = possible reconeixement intern (insider threat o malware).
Fallades d’autenticació + increment de tràfic WAN = possible exfiltració en curs. Aïllar el segment i escalar immediatament.
Canvi de gateway en taula de routeig + alerta DHCP rogue = ARP spoofing / atac MitM actiu.

Verificar que totes les alertes estan documentades en un runbook de resposta a incidents i que l’equip coneix el procediment d’escalada

Justificació : Una alerta sense procediment de resposta definit incrementa el temps de resolució (MTTR) i augmenta el risc de decisions incorrectes sota pressió. El runbook ha d’especificar: responsable, accions immediates, temps màxim de resposta i criteri d’escalada.

// Resum de comandes per plataforma

Linux	Windows	Propòsit
ip a / ip addr show	ipconfig /all	Veure configuració IP de les interfícies
ip route show	route print	Taula de routeig
ip neigh show	arp -a	Taula ARP (veïns capa 3)
ss -tulnp	netstat -ano	Ports oberts i serveis escoltant
ping -c N <IP>	ping -n N <IP>	Connectivitat bàsica ICMP
traceroute -n <IP>	tracert -d <IP>	Ruta i latència per salt
host / dig <nom>	nslookup <nom>	Resolució DNS
nc -zv <IP> <PORT>	Test-NetConnection -Port	Connectivitat a port TCP específic
iperf3 -c <IP>	iperf3 -c <IP>	Mesura d’ample de banda real
nmap -sV <IP>	nmap -sV <IP>	Escaneig de ports i serveis
ipcalc <IP>/prefix	Get-NetIPAddress	Càlcul de subxarxes CIDR

Protocol de VerificacióCapa Lògica de Xarxa

// índex de seccions

// correlació

// criteris addicionals de seguretat lògica

// matriu de correlació

// justificació cobertura multiplataforma

// correlació alertes de seguretat

// Resum de comandes per plataforma

Protocol de Verificació
Capa Lògica de Xarxa