Aplica A: Puntos de Acceso administrados en WatchGuard Cloud (AP130, AP230W, AP330, AP332CR, AP430CR, AP432)
Algunas de las funciones descritas en este tema están disponibles solo para los participantes en el programa ThreatSync Beta. Si una función descrita en este tema no está disponible en su versión de WatchGuard Cloud, es una función exclusiva del programa beta.
El informe Monitorización del Espacio Aéreo muestra los puntos de acceso maliciosos detectados en su red inalámbrica, como los puntos de acceso Rogue, Rogue Sospechoso y Evil Twin.
Debe habilitar la Monitorización del Espacio Aéreo para que un punto de acceso escanee la red e informe sobre amenazas inalámbricas. Para más información, vaya a Monitorización del Espacio Aéreo del Punto de Acceso.
Cuando WatchGuard Cloud detecta un punto de acceso malicioso, puede generar una notificación de alerta para que pueda tomar medidas para investigar, identificar y eliminar la amenaza. Para más información sobre cómo crear una notificación de alerta para eventos de Monitorización del Espacio Aéreo, vaya a Alertas de Monitorización del Espacio Aéreo.
Monitorización del Espacio Aéreo y ThreatSync
Puede integrar las alertas de Monitorización del Espacio Aéreo con ThreatSync. ThreatSync es un servicio de WatchGuard Cloud que proporciona tecnología de Detección y Respuesta eXtendidas (eXtended Detection and Response, XDR) para los dispositivos y productos WatchGuard. Puede recibir alertas de incidentes dentro de ThreatSync cuando la Monitorización del Espacio Aéreo detecta puntos de acceso maliciosos, como puntos de acceso Rogue y Evil Twin, y ver recomendaciones sobre cómo responder y tomar medidas contra estos dispositivos de amenaza. Para más información, vaya a Acerca de ThreatSync.
Ver Informe de Monitorización del Espacio Aéreo.
Para ver el informe Monitorización del Espacio Aéreo, en WatchGuard Cloud:
- Seleccione Monitorizar > Dispositivos.
- Seleccione una carpeta que contenga sus puntos de acceso.
Debe seleccionar una carpeta de dispositivo que contenga sus puntos de acceso para ver el informe de Monitorización del Espacio Aéreo porque WatchGuard Cloud utiliza todos los puntos de acceso para detectar puntos de acceso maliciosos.
- En el menú Dispositivos, selecciona Puntos de Acceso > Monitorización del Espacio Aéreo.
La primera vez que habilite la Monitorización del Espacio Aéreo, puede tardar varios minutos en escanear las redes cableadas e inalámbricas. No aparecen datos hasta que WatchGuard Cloud detecta amenazas de seguridad.
- Para seleccionar el intervalo de fechas del informe, haga clic en
. - En la lista desplegable Punto de Acceso, seleccione un Punto de Acceso específico para verlo o seleccione Todos los Puntos de Acceso.
- Haga clic en
para descargar una versión CSV del informe.
Para obtener información sobre cómo programar un informe, vaya a Programar Informes de un Punto de Acceso.
Detalles del Informe Monitorización del Espacio Aéreo
El informe Monitorización del Espacio Aéreo incluye un gráfico de barras de los puntos de acceso detectados como Rogue, Rogue Sospechoso e Evil Twin.
La tabla incluye estos datos:
- Dirección MAC de Amenaza — La dirección MAC de las interfaces inalámbricas o cableadas del dispositivo de amenaza detectado. Un icono indica si la dirección MAC es una interfaz cableada o inalámbrica. Puede haber direcciones MAC adicionales que correspondan a un BSSID inalámbrico.
- Tipo — El tipo de punto de acceso malicioso detectado, como Rogue AP, Rogue AP Sospechoso o Evil Twin. Para más información, vaya a Acerca de los Tipos de Amenazas de los Puntos de Acceso Maliciosos.
- Razón de la Amenaza — Indica la razón por el que un dispositivo se clasificó como un punto de acceso malicioso en función del estado de la firma.
- Ninguno — Este estado aparece para puntos de acceso Rogue o Rogue Sospechoso que han sido detectados por correlación de dirección MAC cableada e inalámbrica, en lugar de detección de firma Evil Twin.
- Sin firma detectada — No se detecta una firma del dispositivo. Este dispositivo no es un dispositivo válido WatchGuard administrado por WatchGuard Cloud o un dispositivo confiable.
- Firma no válida detectada — Se detecta una firma no válida en el dispositivo. Esto indica que la firma está dañada o puede haber sido manipulada.
- Se detecta una firma, pero tiene una marca de tiempo inválida — Se detecta una firma en el dispositivo, pero hay inconsistencias en la marca de tiempo que indican que la firma podría haber sido manipulada y se considera no válida. Esto también podría indicar discrepancias con las comunicaciones del servidor NTP. Asegúrese de que todos sus puntos de acceso utilicen un servidor NTP confiable y regional para sincronizar la hora de todos sus dispositivos.
- Dirección IP de la Amenaza — La dirección IP del dispositivo de amenaza detectado. Una dirección IP de amenaza solo aparece para los puntos de acceso Rogue y Rogue Sospechosos. Los puntos de acceso Evil Twin se identifican por las direcciones MAC BSSID de las interfaces inalámbricas.
- Hora de la Primera Detección — La fecha y hora en que el dispositivo de amenaza se detectó por primera vez en la red.
- Hora de la Última Detección — La fecha y hora en que el dispositivo de amenaza se detectó por última vez en la red.
- SSID del Dispositivo de Amenaza — El SSID emitido por el dispositivo de amenaza detectado.
- Seguridad de los Dispositivos de Amenaza — El modo de seguridad que utiliza el dispositivo de amenaza detectado, como WPA2 Personal.
- RSSI (Indicador de Fuerza de Señal Recibida) — La fuerza de señal del punto de acceso de amenaza detectado en dBm. Mientras más cercano sea el valor a 0 dBm, más fuerte será la señal. Por ejemplo, -60 dBm es mejor fuerza de señal que -75 dBm. Utilice el RSSI del dispositivo de amenaza detectado de los puntos de acceso que detectaron el dispositivo para estimar la ubicación de la amenaza.
El valor de RSSI corresponde a estas distancias aproximadas:
- RSSI entre 0 dBm y -39 dBm = 1 a 10 pies, 1 a 3 metros
- RSSI entre -40 dBm y -50 dBm = 10 a 20 pies, 3 a 6 metros
- RSSI entre -50 dBm y -50 dBm = 15 a 25 pies, 4 a 8 metros
- RSSI entre -55 dBm y -60 dBm = 25 a 35 pies, 7 a 10 metros
- RSSI entre -60 dBm y -65 dBm = 30 a 45 pies, 9 a 14 metros
- RSSI entre -65 dBm y -70 dBm = 40 a 60 pies, 12 a 18 metros
- RSSI entre -70 dBm y -75 dBm = 55 a 80 pies, 16 a 25 metros
- Por debajo de -75 dBm = Por encima de 70 pies, Por encima de 21 metros
- Protocolo del Dispositivo de Amenaza — El protocolo inalámbrico que utiliza el dispositivo de amenaza detectado, como 802.11ax.
- Detectado por Nombre de Dispositivo — El nombre del punto de acceso WatchGuard que detectó el dispositivo de amenaza.
- Detectado por Dirección MAC — La dirección MAC del punto de acceso WatchGuard que detectó el dispositivo de amenaza.
- Detectado por Número de Serie — El número de serie del punto de acceso WatchGuard que detectó el dispositivo de amenaza.
Acerca de los Tipos de Amenazas de los Puntos de Acceso Maliciosos
Un punto de acceso malicioso puede ser de uno de estos tipos:
Rogue Access Point
Un Rogue Access Point es un punto de acceso no autorizado que está físicamente conectado a su red cableada y difunde SSID inalámbricos a los que sus clientes podrían conectarse en lugar de los SSID legítimos de su punto de acceso.
- El Rogue access point podría haber sido conectado por un usuario no autorizado.
- El Rogue access point podría haber sido conectado a su red por alguien de su organización sin su consentimiento, o podría ser un dispositivo configurado para realizar pruebas. Estos puntos de acceso suponen un riesgo para la seguridad de sus redes si están configurados incorrectamente o no tienen habilitadas las funciones de seguridad necesarias.
- Utilice el RSSI (fuerza de la señal) detectado y la ubicación de sus puntos de acceso que detectaron la amenaza para aproximar la ubicación del dispositivo. Esta información se incluye en el informe de Monitorización del Espacio Aéreo y en la notificación de alerta de alarma del dispositivo. Para más información, vaya a Informe Monitorización del Espacio Aéreo del Punto de Acceso o Alertas de Monitorización del Espacio Aéreo.
- También puede deshabilitar los puertos del conmutador o utilizar el bloqueo de direcciones MAC en su conmutador de red para aislar el Rogue access point de la red si no puede encontrar el dispositivo.
- Con la integración de ThreatSync, puede realizar estas acciones de respuesta contra un Rogue access point para bloquear conexiones de clientes inalámbricos al dispositivo con la amenaza. Para más información, vaya a Acerca de ThreatSync.
Rogue Access Point Sospechoso
Un Rogue Access Point Sospechoso podría ser un punto de acceso no autorizado conectado a su red cableada que difunde SSID inalámbricos a los que sus clientes pueden conectarse en lugar de los SSID de su punto de acceso legítimo.
El dispositivo también podría ser un dispositivo legítimo en su red que no está configurado en su lista de puntos de acceso de confianza.
- El dispositivo podría haber sido conectado a la red por alguien de su organización sin su consentimiento, o podría ser un dispositivo configurado para realizar pruebas. Estos puntos de acceso suponen un riesgo para la seguridad de sus redes si están configurados incorrectamente o no tienen habilitadas las funciones de seguridad necesarias.
- Si el punto de acceso no está autorizado, desconéctelo de la red.
- Si el dispositivo es un punto de acceso legítimo, asegúrese de agregar la dirección MAC de la interfaz LAN por cable y cualquier dirección BSSID inalámbrica del dispositivo a su lista de Puntos de Acceso de Confianza. Para obtener más información sobre los Puntos de Acceso de Confianza, vaya a Monitorización del Espacio Aéreo del Punto de Acceso.
- Con la integración de ThreatSync, puede realizar estas acciones de respuesta contra un Rogue Access Point Sospechoso para bloquear conexiones de clientes inalámbricos al dispositivo con la amenaza. Para más información, vaya a Acerca de ThreatSync.
Evil Twin
Un Evil Twin es un punto de acceso que opera en su espacio aéreo que difunde el mismo nombre de SSID que sus puntos de acceso administrados para que aparezca como un punto de acceso legítimo en su red.
- Alerte a sus usuarios de la existencia del punto de acceso Evil Twin. Los clientes inalámbricos pueden conectarse al punto de acceso Evil Twin y comunicar datos vulnerables.
- Utilice el RSSI (fuerza de la señal) detectado y la ubicación de sus puntos de acceso que detectaron la amenaza para aproximar la ubicación del dispositivo. Esta información se incluye en el informe de Monitorización del Espacio Aéreo y en la notificación de alerta de alarma del dispositivo. Para más información, vaya a Informe Monitorización del Espacio Aéreo del Punto de Acceso o Alertas de Monitorización del Espacio Aéreo.
- Con la integración de ThreatSync, puede realizar estas acciones de respuesta contra un punto de acceso Evil Twin para bloquear conexiones de clientes inalámbricos al dispositivo con la amenaza. Para más información, vaya a Acerca de ThreatSync.
Monitorización del Espacio Aéreo del Punto de Acceso
Alertas de Monitorización del Espacio Aéreo
Configurar los Ajustes Avanzados del Dispositivo de Punto de Acceso