Estimados amigos de Inseguros !!!
Seguimos con la serie de controles CIS y hoy toca el Control 1.2.
Si en el 1.1 hablábamos de tener un inventario actualizado de activos, ahora damos un paso más:
👉 ¿Qué hacemos con los activos que NO están bajo control?
Porque una cosa es tener una lista bonita de lo que conoces…
y otra muy distinta es gestionar todo lo que aparece “de sorpresa” en tu entorno.
Del inventario a la gestión real de activos
El Control CIS 1.2 va de esto:
siempre van a aparecer equipos, usuarios, teléfonos, VMs, servicios SaaS…
que no tenías inventariados o que no encajan en tu “foto oficial” de la organización.
El control dice que, al menos una vez por semana,
tienes que revisar y gestionar esos activos no controlados:
-
¿Los autorizo o no?
-
¿En qué red deben estar?
-
¿Qué comportamiento les permito?
-
¿Les doy acceso normal, limitado, de invitados…?
Es decir, pasamos de “sé que existe” (Control 1.1) a
“decido qué hago con él” (Control 1.2).
Pensar en “asset”, no solo en “equipo”
Cuando hablamos de activos, no es solo:
-
una IP,
-
un PC,
-
o un servidor.
El parque real hoy incluye:
-
Máquinas virtuales en Azure que alguien levanta “para probar algo”.
-
Servicios SaaS que se conectan a nuestros datos sin que Infra pase por ahí.
-
Teléfonos móviles, corporativos y BYOD.
-
Usuarios que aparecen en Entra ID sin que nadie sepa muy bien quién los ha creado.
-
Equipos que salen en los logs, pero no están en tu inventario “oficial”.
Un escáner de red con Nmap te ayuda a encontrar dispositivos,
pero no te va a detectar:
-
un programa nuevo instalado en un endpoint,
-
una aplicación SaaS conectada vía OAuth,
-
o una cuenta rara en tu directorio.
Por eso este control insiste en la gestión del activo,
no solo en “ver que responde al ping”.
Estrategias típicas para detectar lo que no controlas
Aquí entra la parte más divertida:
¿cómo detectamos lo que no está bajo control?
Algunos enfoques que se ven mucho:
-
Estrategias con DHCP
-
Reservas para los equipos “buenos” y un pool distinto para “lo desconocido”.
-
IPs fijas para ciertos dispositivos críticos y todo lo que no encaja salta como sospechoso.
-
-
Herramientas en la nube y endpoint
-
En Entra ID → ver qué equipos están enrolados y cuáles no.
-
Con Defender for Endpoint → usar Device Discovery, Network Protection, aislamiento, etc.
-
Con Azure Arc → tener los servidores “on-prem” y cloud bajo un mismo paraguas de gestión.
-
-
Acceso condicional y NAC (Network Access Control)
-
Dar un tratamiento distinto a los equipos que no cumplen requisitos o no están enrolados.
-
Mandarlos a otra VLAN, limitarles el acceso o ponerlos en modo “cuarentena”.
-
La clave es siempre la misma:
lo que no conoces, no debe comportarse como si fuera totalmente de confianza.
NAC y la importancia de la “foto inicial”
Cuando metemos un NAC en la ecuación, hay una tentación peligrosa:
“Lo pongo en modo ultra-restrictivo y así ya está todo seguro”.
Error.
Antes de ponerse agresivo, el NAC debe:
-
Escuchar y observar qué equipos hay y cómo se llaman.
-
Permitir que tú definas patrones del tipo:
-
“Todos los que empiezan por
PC-CORP-van a la VLAN buena”. -
“Los que siguen otro patrón, a la VLAN de invitados o aislada”.
-
-
Que te proponga una política basada en esa realidad inicial.
Si entras a lo loco, puedes dejar media empresa sin trabajar porque el NAC ha decidido que algo no le cuadra.
Por eso este control insiste en la gestión periódica y consciente de los activos no controlados, no en automatizar a ciegas desde el minuto uno.
1.1 y 1.2: el combo imprescindible
Podemos verlo así:
-
Control 1.1 → “Tengo inventario”.
-
Control 1.2 → “Gestiono lo que se sale del inventario y lo reviso al menos cada semana”.
Sin el 1.1, vas a ciegas.
Sin el 1.2, tu inventario se queda obsoleto en cuanto alguien enchufa algo nuevo o levanta un recurso en la nube.
Dedicarle tiempo a este control merece la pena.
Ninguna empresa es perfecta, todos tenemos “cosas raras” en la red y en el cloud,
pero la diferencia entre una organización madura y otra que va al límite es
cómo gestionan precisamente estos casos grises.
¿Quieres ver ejemplos y casos reales?
En el vídeo que acompaña a este post te explico el Control CIS 1.2 con más calma,
poniendo ejemplos de NAC, Entra ID, Defender, Azure Arc y escenarios reales de proyectos:
👉 Ver el vídeo completo sobre el control CIS 1.2
.jpg)
https://youtu.be/XPDakqiTot0
¿Te interesa profundizar en este tipo de controles?
Si quieres ver cómo encajan estos controles dentro de una estrategia completa de ciberseguridad
(inventario, hardening, monitorización, respuesta a incidentes, cloud, Microsoft, etc.),
en la Academia SeguridadSi tienes cursos donde trabajamos todo esto en detalle y con ejemplos prácticos:
👉 https://academia.seguridadsi.com
Formación para que no solo “te suenen” los controles CIS,
sino que seas capaz de aterrizarlos en tu entorno y gestionarlos semana a semana.
Gracias por seguir al otro lado, amigos de Inseguros !!!
