Prevención de ataques de fuerza bruta en redes y sistemas

Tablas comparativas con alternativas

Ejercicios prácticos / laboratorio

MikroTik RouterOS

Este ejemplo muestra cómo defender el puerto SSH (por defecto, 22) usando address lists y tiempos de bloqueo escalonados, lo que limita la cantidad de intentos de acceso permitidos dentro de ventanas temporales específicas, y bloquea automáticamente IPs sospechosas.

/ip firewall filter
add action=add-src-to-address-list address-list=bruteforce_blacklist address-list-timeout=1d chain=input comment=Blacklist connection-state=new dst-port=22 protocol=tcp src-address-list=connection3
add action=add-src-to-address-list address-list=connection3 address-list-timeout=1h chain=input comment="Third attempt" connection-state=new dst-port=22 protocol=tcp src-address-list=connection2
add action=add-src-to-address-list address-list=connection2 address-list-timeout=15m chain=input comment="Second attempt" connection-state=new dst-port=22 protocol=tcp src-address-list=connection1
add action=add-src-to-address-list address-list=connection1 address-list-timeout=5m chain=input comment="First attempt" connection-state=new dst-port=22 protocol=tcp
add action=accept chain=input dst-port=22 protocol=tcp src-address-list=!bruteforce_blacklist

Las reglas de prevención de fuerza bruta funcionan detectando intentos fallidos de inicio de sesión. Cada vez que una IP realiza varios intentos fallidos en poco tiempo, se va registrando en listas temporales que cuentan sus intentos. Si la IP supera el umbral configurado, automáticamente se mueve a una lista negra y se bloquea el acceso por un tiempo definido.

Linux con Fail2ban

[sshd]
enabled  = true
port     = ssh
filter   = sshd
logpath  = /var/log/auth.log
maxretry = 3
bantime  = 3600

Buenas prácticas y recomendaciones

• Usar contraseñas de mínimo 12 caracteres.
• Activar autenticación multifactor en todos los accesos remotos.
• Implementar listas blancas de IP confiables.
• Monitorear logs y configurar alertas automáticas.
• Cambiar puertos por defecto (ej. SSH en 2222).
• Mantener firmware y software siempre actualizado.

Errores comunes y cómo evitarlos

• Confiar en contraseñas cortas: deben incluir números, letras y símbolos.
• No revisar logs: el monitoreo en tiempo real es indispensable.
• Usar puertos por defecto: facilita ataques automatizados.
• No aplicar MFA: incrementa el riesgo de acceso no autorizado.
• Configurar reglas globales incorrectas: puede bloquear tráfico legítimo.

Conclusiones

La prevención de ataques de fuerza bruta es un pilar de la seguridad en redes modernas. Desde contraseñas seguras hasta sistemas avanzados como MFA o listas dinámicas en firewalls, cada medida contribuye a blindar routers, servidores y aplicaciones críticas. Los administradores de red deben combinar prácticas de endurecimiento, monitoreo y autenticación avanzada para minimizar riesgos.

Recursos adicionales

• RFC 4949 – Internet Security Glossary
• Guía de seguridad en MikroTik RouterOS
• Fail2ban Documentation
• Cisco IOS Security Configuration Guide
• NIST Password Guidelines