Sophos Firewall: Mejores prácticas para la seguridad de redes modernas

Durante mucho tiempo, las firewalls fueron el lugar donde se repelían los ataques. Hoy en día, ellas mismas son uno de los objetivos más atractivos. Es lógico: una firewall se encuentra en una posición privilegiada entre Internet, redes locales, servicios en la nube, accesos VPN y aplicaciones internas. Quien encuentra aquí una vulnerabilidad, una contraseña débil o una mala configuración, ya no está frente a la puerta, sino a menudo ya dentro del edificio.

Por eso ya no basta con considerar una firewall solo como un motor de políticas para reglas de permitir y denegar. La seguridad de red moderna necesita tres pilares: Fortalecimiento, Protección y Detección y Respuesta. Se debe reducir la superficie de ataque antes de un ataque, bloquear limpiamente durante un ataque y luego reconocer rápidamente qué ha sucedido.

He gestionado entornos de Sophos Firewall durante muchos años en tamaños y sectores muy diversos. Por eso, las siguientes recomendaciones no están pensadas como una lista teórica de características, sino como lo que ha demostrado ser eficaz en entornos reales de clientes, migraciones, auditorías y casos de soporte.

Por qué las firewalls están tan en el punto de mira

Una firewall es un objetivo valioso para los atacantes porque está expuesta, es privilegiada y a menudo crítica para el negocio. Además, muchas organizaciones operan firewalls, portales VPN o accesos de gestión remota durante años. No todos los entornos están bien parcheados, no todas las superficies de gestión están realmente aisladas y no todos los inicios de sesión están asegurados con autenticación multifactor.

En la práctica, se observan principalmente tres causas recurrentes de ataques exitosos:

• Vulnerabilidades en firewalls y sistemas perimetrales, especialmente cuando los parches se aplican tarde o no se aplican en absoluto.
• Credenciales comprometidas y ataques de identidad, a menudo sin MFA o con una configuración débil de MFA. El Informe de Adversarios Activos de Sophos 2026 menciona causas relacionadas con la identidad como la causa raíz en el 67.32 % de los casos investigados.
• Sistemas expuestos, como RDP, portales VPN, portales de usuario o interfaces de administración que son directamente accesibles desde Internet.

La idea principal detrás de esto: muchos ataques hoy en día ya no son un “allanamiento” espectacular. Muy a menudo, los atacantes simplemente inician sesión. Si una cuenta de usuario, una contraseña de administrador o un acceso VPN está comprometido, el primer paso para la firewall parece inicialmente un uso legítimo.

Los tres pilares de la seguridad de red moderna

La seguridad de redes moderna puede entenderse como un espectro que va de lo proactivo a lo reactivo:

1. Fortalecimiento: Reducir la superficie de ataque, eliminar sistemas obsoletos, utilizar productos seguros, revisar configuraciones, restringir el acceso.
2. Protección: Bloquear ataques, controlar el tráfico cifrado, utilizar de manera efectiva funciones de control web, IPS, Zero-Day y de aplicaciones.
3. Detección y Respuesta: Detectar anomalías, aislar dispositivos comprometidos, correlacionar datos de amenazas y reaccionar automáticamente.

Muchas firewalls son tradicionalmente fuertes en el segundo pilar. Estos sistemas bloquean el tráfico, inspeccionan paquetes, reconocen patrones conocidos y aplican políticas. Esto es importante, pero ya no es suficiente. Si la firewall en sí está mal configurada, si el acceso remoto funciona sin MFA o si un sistema sin parches sigue en producción, se tiene un problema estructural que ninguna regla IPS individual puede resolver limpiamente.

Mi experiencia muestra: los mejores resultados no se logran con una sola función mágica, sino con una configuración básica limpia, revisiones regulares y una firewall que esté integrada en el resto del proceso de seguridad.

Pilar 1: Fortalecimiento antes del ataque

El fortalecimiento es la parte del trabajo de seguridad que rara vez recibe aplausos, pero que marca la diferencia en caso de emergencia. Se trata de menos superficie de ataque, menos cargas heredadas, menos caminos de gestión abiertos y menos dependencia de reacciones manuales.

Reducir la infraestructura y eliminar sistemas antiguos

La forma más sencilla de reducir una superficie de ataque es a veces la más incómoda: apagar cosas. Cada dispositivo antiguo, cada servicio VPN olvidado, cada portal de gestión y cada servidor que ya no es compatible es un punto de ataque adicional. Los sistemas que están en el borde de la red o que permiten acceso privilegiado indirecto a redes internas son especialmente críticos.

Para los administradores de Sophos Firewall, esto significa concretamente:

• Revisar regularmente qué firewalls, REDs, puertas de enlace VPN, controladores WLAN, proxies inversos y componentes de acceso remoto siguen en producción.
• Eliminar sistemas que han llegado al final de su vida útil o soporte de posiciones privilegiadas.
• Consolidar funciones si esto reduce la complejidad: firewall, SD-WAN, DNS Protection, ZTNA, Threat Feeds, Reporting y Central Management deben estar lo más coordinados posible.
• Documentar qué servicios realmente deben ser accesibles desde Internet.

El objetivo no es meter la mayor cantidad posible en un producto. El objetivo es evitar cargas heredadas ciegas. Una infraestructura pequeña, actual y bien controlada es casi siempre más segura que un entorno grande, históricamente desarrollado con muchas excepciones de “siempre ha sido así”.

Asegurar el acceso de gestión de manera consistente

Una de las mejores prácticas más importantes es simple: la Web Admin Console y el User Portal no deberían ser innecesariamente accesibles desde el WAN. Si la administración remota es necesaria, debería realizarse a través de Sophos Central, una red de gestión dedicada, ZTNA u otro camino controlado.

Veo en entornos de clientes una y otra vez que no es la técnica de ataque más complicada el problema, sino un acceso de administrador antiguo, un portal históricamente desarrollado o una excepción “temporal” que nunca se eliminó. Precisamente esos puntos deben incluirse en una revisión regular de la firewall.

Los siguientes puntos deben revisarse en cada entorno de Sophos Firewall:

• Activar MFA para administradores, especialmente para el administrador predeterminado y todas las cuentas con amplios derechos.
• Forzar MFA para inicios de sesión en VPN y portales, si se siguen utilizando dichos accesos.
• Evitar el acceso WAN a la Admin Console y User Portal o restringirlo fuertemente a redes de origen dedicadas.
• Configurar reglas de contraseña fuertes para usuarios y administradores.
• Asegurar SSH, idealmente con autenticación de clave pública y sin amplia accesibilidad WAN.
• Activar copias de seguridad centralizadas y proteger el acceso a las copias de seguridad, ya que las copias de seguridad de configuración pueden contener información sensible.
• Activar notificaciones y registros, para que los eventos relevantes para la seguridad no pasen desapercibidos en la operación.

El punto de las copias de seguridad a menudo se subestima. Una copia de seguridad de la firewall no solo contiene configuraciones inofensivas, sino información sobre redes, reglas, certificados, VPNs y estructuras internas. Por eso, las copias de seguridad deben cifrarse, almacenarse de manera controlada y probarse regularmente.

Configurar conscientemente Device Access y Local Service ACL

Cuando se habla de acceso WAN, se debe hablar específicamente de Device Access y Local Service ACL en la Sophos Firewall. En la matriz de acceso a dispositivos se establece por zona qué servicios locales de la firewall son accesibles: administración HTTPS, User Portal, SSH, Ping, DNS, Captive Portal, portales VPN y otros servicios.

La mejor práctica aquí es muy simple pero efectiva: desde la zona WAN solo debe ser accesible lo que realmente se necesita. El acceso de administrador, SSH y User Portal no deben estar ampliamente en Internet. Si se necesitan excepciones, deben limitarse a direcciones IP de origen concretas o redes de gestión a través de Local Service ACL Exception Rules.

Reglas de país como protección mínima

Si las direcciones IP de origen fijas no son realistas, recomiendo al menos trabajar con reglas de país. El acceso solo desde unos pocos países relevantes sigue siendo mucho mejor que la accesibilidad mundial. Alternativamente, se pueden bloquear países con los que la empresa no tiene relación y en los que tampoco hay empleados o administradores típicamente en movimiento. Esto no reemplaza MFA, roles fuertes y ACLs limpias, pero reduce el ruido innecesario y muchos intentos de acceso automatizados.

Desde mi punto de vista, este es uno de los primeros puntos en cada revisión de firewall. Muchas configuraciones arriesgadas no surgen por mala intención, sino porque un servicio se abrió brevemente para una migración, un caso de soporte o una prueba y luego nunca se cerró. Precisamente esos detalles distinguen una firewall que simplemente funciona de una firewall que realmente se opera de manera limpia.

Revisar la seguridad de inicio de sesión y los roles de administrador

MFA es importante, pero la capa de inicio de sesión consiste en más que un segundo factor. Los administradores deben usar cuentas propias y rastreables y no trabajar permanentemente con un administrador completo compartido. Los derechos basados en roles ayudan a separar los accesos de soporte, informes o helpdesk del administrador real de la firewall.

Además, los intentos de inicio de sesión fallidos deben limitarse, las sesiones deben cerrarse limpiamente y los accesos de administrador deben restringirse a redes definidas. Un aviso de inicio de sesión puede ser legalmente útil en ciertos entornos, pero no reemplaza controles técnicos reales. Más importantes son las políticas de contraseñas fuertes, sesiones inactivas cortas, protección contra fuerza bruta y el principio de menor privilegio.

Evitar la fatiga de parches: los hotfixes deben actuar rápidamente

El parcheo es uno de los temas donde la teoría y la práctica están muy alejadas. Por supuesto, cada administrador sabe que las actualizaciones de firmware son importantes. En la realidad, sin embargo, significan ventanas de mantenimiento, evaluación de riesgos, planificación de HA, comunicación con departamentos especializados y, a veces, también tiempo de inactividad. Esto lleva a la fatiga de parches: las actualizaciones se posponen porque son laboriosas.

Precisamente aquí es donde el componente temporal es peligroso. Los ataques de identidad son ahora la causa raíz dominante, pero la explotación de vulnerabilidades sigue siendo un vector real, especialmente en sistemas perimetrales como firewalls, VPNs y otros servicios cercanos a Internet. El Informe de Adversarios Activos de Sophos 2026 menciona como ejemplo CVE-2024-40766 en SonicOS, que fue visible en una gran parte de los casos de explotación confirmados en el conjunto de datos. Al mismo tiempo, el tiempo medio entre el aviso del fabricante o el parche y la explotación observada fue de 322 días. Es una señal bastante clara: la fatiga de parches no es un problema operativo abstracto, sino una ventana de ataque.

Sophos Firewall da un paso importante aquí: Automated Hotfixes permiten aplicar parches de seguridad relevantes en vivo sin una ventana de mantenimiento clásica. Para los administradores, esto es enormemente valioso porque el efecto crítico de protección no se produce solo cuando llega la próxima ventana de mantenimiento libre.

Sin embargo, sigue siendo cierto: los hotfixes no reemplazan una estrategia de actualización limpia. Los hotfixes cierran la peligrosa brecha entre la vulnerabilidad descubierta y la actualización de firmware regular. La mejor práctica es, por lo tanto:

• Mantener los hotfixes activados.
• Revisar regularmente los niveles de firmware y documentar la preparación para la actualización de firmware.
• Leer previamente las rutas de actualización y la compatibilidad.
• Preparar copias de seguridad y un plan de reversión.
• Planificar clústeres HA y ubicaciones remotas por separado.

No tratar VPN como prueba de confianza

El acceso remoto VPN fue durante años el estándar. El problema: el VPN clásico a menudo piensa en redes, no en aplicaciones. Quien se conecta con éxito ya se encuentra, desde la perspectiva de muchos entornos, en un área de confianza. Si el dispositivo final está comprometido o las credenciales han sido robadas, un atacante puede moverse desde allí.

Zero Trust Network Access (ZTNA) resuelve este problema no por magia, sino por un mejor principio: No confíes en nada, verifica todo. El acceso no se otorga de manera general a una red, sino que se evalúa por usuario, dispositivo, estado y aplicación. Un dispositivo debe estar saludable y conforme, la identidad debe verificarse y la política decide de manera granular qué aplicación es accesible.

ZTNA no es una decisión automática de Sophos

Es importante destacar que: ZTNA no es una decisión que deba hablar automáticamente a favor de Sophos ZTNA. Dependiendo del entorno, los proveedores especializados en ZTNA, SSE o SASE pueden estar más avanzados funcionalmente, ofrecer mejores integraciones o adaptarse mejor organizativamente. Lo importante no es el nombre del fabricante, sino si la identidad, el estado del dispositivo, el acceso a aplicaciones, el registro y la operación funcionan bien juntos.

Esta es también mi postura fundamental en proyectos de Sophos: no opto automáticamente por Sophos en cada tema. Si una solución de terceros en ZTNA, SSE, Threat Intelligence, SIEM o NDR se adapta mejor técnicamente, esa es la mejor recomendación. Una buena arquitectura de seguridad no se logra mediante la máxima vinculación con el fabricante, sino mediante componentes bien integrados con responsabilidades claras.

Para entornos puramente Sophos, la integración aún puede ser interesante, ya que ZTNA, Endpoint, Firewall y Sophos Central pueden utilizarse juntos. Un dispositivo comprometido o no conforme puede perder el acceso sin que un administrador tenga que modificar manualmente las reglas de la firewall. También vale la pena echar un vistazo al ZTNA Gateway en la Sophos Firewall. En entornos mixtos o más grandes, se debe comparar conscientemente y no establecer automáticamente al fabricante de la firewall existente como la plataforma ZTNA.

Quienes hoy en día todavía dependen mucho de SSL VPN o IPsec Remote Access, al menos deberían revisar estos puntos:

• Forzar MFA para cada acceso remoto.
• Eliminar usuarios VPN antiguos o no utilizados.
• Controlar la importación de grupos desde AD o Entra ID, para que el acceso remoto no se active involuntariamente.
• Reducir al mínimo el túnel dividido, las redes permitidas y los permisos.
• Planificar una migración gradual a una solución ZTNA, SSE o SASE adecuada, especialmente para aplicaciones web internas, RDP, SSH, portales de administración y aplicaciones empresariales.

Segmentación contra el movimiento lateral

Si los atacantes ingresan con credenciales válidas o a través de un servicio expuesto, la segmentación interna decide hasta dónde pueden moverse. Por lo tanto, una firewall no debe ser solo una puerta de enlace perimetral, sino que debe separar limpiamente las zonas internas: usuarios, servidores, gestión, IoT, red de invitados, producción, copia de seguridad y sistemas especialmente críticos no deben estar ciegamente en el mismo modelo de confianza.

Prácticamente, esto significa: construir VLANs y zonas no solo por amor al orden, sino asegurarlas con reglas de firewall reales. Entre las redes de usuarios y servidores solo deben permitirse las aplicaciones necesarias. Los accesos de gestión pertenecen a redes de administración dedicadas. Las redes IoT y de impresoras no deben comunicarse libremente con los servidores. Las copias de seguridad y los controladores de dominio merecen reglas especialmente restrictivas y un buen registro.

Aquí se cierra el círculo con la afirmación “los atacantes inician sesión”. Si una cuenta comprometida tiene acceso a una aplicación, pero no a toda la red, un incidente no se convierte automáticamente en una compromisión total.

En nuevos proyectos, planifico la segmentación lo más temprano posible. Posteriormente, todavía es posible, pero mucho más laborioso, porque las aplicaciones, excepciones y dependencias históricas deben desenredarse primero.

Hacer visibles las configuraciones incorrectas

Una firewall puede ser técnicamente muy poderosa y, sin embargo, volverse peligrosa debido a una configuración incorrecta. Reglas demasiado amplias, objetos “Any”, autenticación débil, políticas IPS faltantes, actualizaciones de patrones desactivadas o portales abiertos son ejemplos típicos. Lo difícil de esto: en entornos desarrollados, no siempre se ven estos riesgos de inmediato.

El Sophos Firewall Health Check aborda precisamente este problema. Revisa docenas de configuraciones contra mejores prácticas y puntos de referencia y muestra en el Control Center dónde las configuraciones son arriesgadas o se desvían de los estándares recomendados. Los resultados están priorizados por riesgo, conducen con un clic a las configuraciones afectadas y pueden corregirse o anularse conscientemente según la situación.

El Health Check es especialmente útil para procesos operativos recurrentes:

• después de un nuevo despliegue de firewall,
• después de cambios importantes en las reglas,
• antes y después de actualizaciones de firmware,
• antes de auditorías,
• después de migraciones de hardware antiguo,
• como revisión trimestral regular.

Sin embargo, también es importante: un Health Check no exime a los administradores de pensar. No todas las recomendaciones se ajustan a cada entorno. Algunos puntos tienen razones de cumplimiento o operativas, otros son claras vulnerabilidades de seguridad. Lo importante es evaluar conscientemente las desviaciones y no dejarlas crecer sin ser notadas.

Desde mi punto de vista, el Health Check es especialmente fuerte como herramienta operativa continua. No es solo para el primer Go-Live, sino un buen punto de partida para revisiones trimestrales, preparación de auditorías y la limpieza de reglas antiguas.

Secure by Design: Fortalecer la firewall en sí misma

Desde mi perspectiva, no solo se necesitan productos de seguridad, sino productos de seguridad seguros. Esa es una diferencia importante. Una firewall no solo debe bloquear ataques a otros sistemas, sino que debe estar endurecida contra ataques en sí misma.

En Sophos Firewall, esto incluye varios niveles:

• Kernel endurecido y arquitectura modernizada: La arquitectura Xstream más reciente se centra más en la aislamiento, modularización, contenedorización y separación de privilegios. Esto reduce ciertas clases de vulnerabilidades y limita los impactos mediante un mejor aislamiento. Además, se incluyen mitigaciones contra vulnerabilidades de canal lateral y CPU. Esto hace que la plataforma sea más robusta, pero no inmune a las vulnerabilidades.
• Automated Hotfixes: Las correcciones de seguridad se pueden distribuir muy rápidamente y sin una ventana de mantenimiento clásica.
• Monitoreo de integridad remota: El sensor integrado de Sophos XDR Linux puede monitorear la integridad del sistema en tiempo real, como cambios de configuración no autorizados, exportaciones de reglas, ejecución de programas sospechosos o manipulación de archivos. Esto es valioso solo si la función está activada, licenciada, conectada y monitoreada en la operación.
• Gestión central segura: La administración puede realizarse a través de Sophos Central, sin abrir ampliamente los puertos de gestión a Internet.
• Health Check: Las configuraciones arriesgadas se hacen visibles directamente.
• Copias de seguridad cifradas: Los datos de configuración se transmiten y almacenan de manera protegida.

Además, Sophos se centra en la supervisión proactiva de la base de firewall instalada. La telemetría de las firewalls puede ayudar a detectar indicios de ataques o manipulaciones más temprano. Si se detecta un patrón, Sophos puede apoyar a los clientes o socios de manera específica y desplegar rápidamente hotfixes de manera amplia.

Estos puntos son menos espectaculares en el día a día que una nueva regla de firewall o un ataque bloqueado en el registro. A largo plazo, sin embargo, son decisivos. Un producto endurecido reduce la probabilidad de que la firewall en sí misma se convierta en un punto de entrada. Pero no reemplaza un proceso de parcheo limpio, un monitoreo y una revisión de configuración regular.

En qué fijarse al elegir un fabricante de firewalls

Secure by Design no es solo una característica del producto, sino también una cuestión del fabricante. Los clientes deben esperar de los fabricantes que traten las vulnerabilidades de manera transparente, comuniquen claramente la información del ciclo de vida, desplieguen rápidamente las correcciones de seguridad y construyan sus productos de manera que las configuraciones incorrectas y los componentes comprometidos se detecten lo antes posible.

La responsabilidad está compartida. Los fabricantes deben proporcionar productos seguros y reaccionar de manera transparente. Los clientes deben aplicar actualizaciones, reemplazar sistemas EOL, utilizar MFA y revisar regularmente la operación. Ambos van de la mano.

Pilar 2: Protección durante el ataque

El fortalecimiento es la base. Después, la firewall debe seguir haciendo lo que se espera de ella: controlar el tráfico y bloquear ataques. En Sophos Firewall, esto incluye, entre otros, IPS, Web Protection, Application Control, Zero-Day Protection, TLS Inspection, DNS Protection y Threat Intelligence Feeds.

Sophos apuesta fuertemente por la arquitectura Xstream para esto. El tráfico de confianza puede procesarse de manera más eficiente, las tareas intensivas en cálculo como las operaciones criptográficas se ejecutan a través de rutas optimizadas, y para el tráfico con mayor riesgo queda más reserva de rendimiento para la inspección profunda de paquetes, la inspección TLS y la protección Zero-Day.

La inspección TLS es un buen ejemplo del equilibrio entre seguridad y operación. Sin descifrado, una gran parte del tráfico moderno permanece invisible. Pero con reglas TLS mal planificadas, se generan casos de soporte, problemas de certificados o cuellos de botella de rendimiento. La mejor práctica no es “descifrar todo a ciegas”, sino clasificar limpiamente:

• grupos de usuarios y servidores críticos primero,
• excluir de manera limpia categorías problemáticas conocidas como banca, salud, privacidad,
• probar páginas de bloqueo y advertencia,
• documentar la distribución de certificados,
• evaluar activamente los registros.

Mi recomendación es no iniciar la inspección TLS como un proyecto de todo o nada. Es mejor un despliegue limpio con grupos de usuarios claros, excepciones, ventanas de prueba y evaluación de registros. Así aumenta la visibilidad sin que el helpdesk se vea abrumado el primer día.

Los Threat Feeds también pertenecen a esta área de protección. Estos feeds ayudan a bloquear IPs, dominios o URLs maliciosos conocidos directamente en el perímetro de la red. En las versiones más recientes de Sophos Firewall, están mucho más integrados en Active Threat Response y mecanismos de protección.

Los Threat Feeds son especialmente interesantes cuando no solo se utilizan listas genéricas, sino feeds de terceros curados con contexto actual. Un ejemplo de esto es Cybora.io, donde IPs y dominios maliciosos de diversas fuentes y telemetría de firewall se combinan en feeds utilizables. Cómo se pueden utilizar estos feeds en firewalls lo he descrito más detalladamente en el artículo Threat Intelligence Feeds para la Firewall.

También aquí se aplica: los Threat Feeds deben probarse y observarse. Feeds demasiado agresivos, procesos de lista blanca faltantes o responsabilidades poco claras pueden bloquear tráfico legítimo y causar más daño que beneficio en la operación. Los buenos feeds no reemplazan una revisión de reglas, sino que son un componente adicional con su propio ajuste.

Además, no se deben olvidar las endurecimientos clásicos de SFOS: Spoof Protection y configuraciones DoS adecuadas así como el bloqueo Geo-IP pueden reducir accesos simples, ruidosos o claramente no deseados. Esto no reemplaza una política limpia, pero quita ruido innecesario a la firewall y bloquea rutas de ataque que en muchos entornos no tienen ningún propósito legítimo.

Recomiendo aquí proceder de manera pragmática: primero controlar limpiamente los grandes riesgos, luego afinar gradualmente las funciones de protección y respaldar con registros lo que realmente funciona. Una política sobrecargada que nadie entiende ya no es un beneficio de seguridad a largo plazo.

Pilar 3: Detección y Respuesta después de la primera señal

La parte más emocionante de la seguridad de red moderna es la respuesta. Una firewall no debe trabajar de manera aislada, sino utilizar señales de Endpoint, Server, NDR, MDR, XDR y Threat Intelligence. Sophos puede aprovechar ventajas del ecosistema aquí, pero solo si estas integraciones realmente se ajustan al entorno.

Los ecosistemas solo ayudan si se ajustan

Synchronized Security y Security Heartbeat son buenas ideas: la firewall puede considerar el estado de los endpoints y restringir o bloquear la comunicación en dispositivos comprometidos. En la realidad, sin embargo, cada vez más empresas utilizan Microsoft Defender u otras soluciones de Endpoint. Entonces, esta parte del ecosistema de Sophos funciona de manera limitada o no funciona en absoluto. Precisamente por eso no se debe optar automáticamente por todo del mismo fabricante solo porque se ofrece como un ecosistema integrado.

Mi recomendación aquí es clara: lo importante es lo que se ajusta a la empresa y se puede implementar limpiamente. Si Microsoft Defender, otro EDR, un NDR de terceros o un SIEM externo es la mejor base, entonces la firewall debe integrarse limpiamente en esta arquitectura. Más importante que el cross-selling es que los registros lleguen al lugar correcto, las alarmas se entiendan y alguien revise regularmente lo que los sistemas informan. Sin análisis de registros, ajuste y proceso de incidentes, incluso la mejor integración ayuda poco.

Con Active Threat Response se pueden traducir automáticamente las amenazas detectadas en decisiones de red. Y con NDR Essentials la firewall obtiene una visión adicional del tráfico de red sospechoso, incluso donde no hay un agente de endpoint clásico instalado.

La automatización necesita guías

Sin embargo, la automatización necesita guías. Debe quedar claro qué señales pueden bloquear automáticamente, quién levanta un aislamiento, cómo se tratan los falsos positivos y cómo se prueban estos procesos. Sin guías, responsabilidades y ejercicios regulares, en caso de emergencia nadie sabe si un bloqueo fue intencionado, correcto o demasiado agresivo.

¿Qué sucede en caso de emergencia? Un dispositivo comprometido puede ser aislado, la comunicación C2 se interrumpe, la exfiltración puede ser bloqueada y un analista de MDR o XDR puede activar una Active Threat Response sin tener que construir primero manualmente una regla en la firewall. Esto es especialmente valioso si un ataque se detecta fuera del horario normal de operación.

Para los administradores, lo más importante es que la respuesta sea lo suficientemente rápida. Si un analista de MDR o XDR primero tiene que llamar, escribir un ticket y luego un administrador local tiene que construir manualmente una regla el viernes por la noche, el tiempo de respuesta es demasiado largo. La respuesta automatizada no significa que se reemplacen personas. Se trata de que la primera contención ocurra de inmediato y el equipo pueda investigar limpiamente después.

En equipos de TI más pequeños, esta automatización es valiosa. No todas las empresas tienen un especialista en firewalls disponible las 24 horas. Si Endpoint, Firewall, NDR, MDR y SIEM juegan de manera sensata entre fabricantes, se gana tiempo, y el tiempo es a menudo el factor más importante en ataques activos.

Lista de verificación práctica para administradores de Sophos Firewall

Quien quiera fortalecer hoy su Sophos Firewall puede comenzar con esta lista:

Revisar de inmediato

• ¿Están activados los hotfixes?
• ¿Está activado MFA para administradores?
• ¿Son accesibles la Web Admin Console y el User Portal desde el WAN?
• ¿Están protegidos SSL VPN o IPsec Remote Access con MFA?
• ¿Todavía existen cuentas de administrador locales no utilizadas?
• ¿Están planificadas, cifradas y probadas las copias de seguridad?
• ¿Están Device Access y Local Service ACL reducidos al mínimo?
• ¿Están los servicios accesibles desde WAN al menos limitados a países relevantes o redes de origen conocidas?
• ¿Están actualizados los patrones y niveles de firmware?

Dentro de las próximas semanas

• Ejecutar el Health Check y priorizar los hallazgos.
• Revisar reglas de firewall antiguas con “Any” en origen, destino o servicio.
• Revisar roles de administrador, seguridad de inicio de sesión, tiempos de espera de sesión y protección contra fuerza bruta.
• Inventariar servicios expuestos como RDP, SSH, servidores web, portales y reglas NAT.
• Revisar zonas internas y reglas VLAN contra el movimiento lateral.
• Comparar opciones ZTNA, SSE o SASE para aplicaciones de acceso remoto típicas.
• Revisar Threat Feeds y DNS Protection.
• Activar Spoof Protection, protección DoS y bloqueo Geo-IP según el riesgo.
• Probar estructuradamente la inspección TLS y desplegar gradualmente.

Planificar estratégicamente

• Reemplazar sistemas al final de su vida útil.
• Coordinar de manera sensata la operación de firewall, VPN, DNS, SD-WAN y ZTNA/SSE.
• Estandarizar la gestión central, informes y alertas, por ejemplo, a través de Sophos Central, SIEM o plataformas de seguridad existentes.
• Definir exportación Syslog/SIEM y retención de registros para análisis forense.
• Integrar señales MDR/XDR/NDR en el proceso de incidentes.
• Introducir revisiones recurrentes de fortalecimiento de firewall.

Conclusión

Las mejores prácticas de seguridad de red no son un proyecto único, sino un modelo operativo. Precisamente porque las firewalls son tan privilegiadas en el perímetro de la red, deben fortalecerse, parchearse, revisarse regularmente e integrarse en la detección.

Mi recomendación después de muchos años con Sophos Firewall es clara: una firewall moderna hoy debe ser más que un producto de protección. Lo decisivo es un diseño seguro, configuraciones incorrectas visibles, correcciones de seguridad rápidas y una respuesta que en caso de emergencia juegue junto con Endpoint, NDR, XDR y MDR.

O dicho de manera práctica: si una firewall es tan antigua que debería estar más en un museo que en un rack, no es solo un riesgo operativo. Es una superficie de ataque. Y precisamente esa superficie de ataque la mantengo lo más pequeña posible.

Apoyo de Avanet

Si se necesita apoyo para fortalecer una Sophos Firewall, se puede contactar con Avanet. Como especialista de Sophos desde hace mucho tiempo, apoyo en auditorías de firewall, revisiones de Health Check, limpieza de reglas, acceso remoto y planificación de ZTNA/SSE, estrategias de actualización y capacitaciones para equipos de TI.

Un vistazo externo a los accesos de gestión, configuración de VPN, reglas antiguas, servicios expuestos al WAN y estado de actualización a menudo vale la pena. Muchos riesgos no surgen por una sola configuración incorrecta, sino por excepciones desarrolladas que nadie cuestiona en el día a día.

Si está interesado, basta con un breve mensaje a través del formulario de contacto. Luego se puede aclarar conjuntamente si una revisión compacta de firewall, una auditoría o una capacitación es lo más adecuado para el entorno respectivo.

FAQ

Enlaces adicionales

• Blog de Avanet: Sophos Firewall v22: Resumen y todas las nuevas características
• Blog de Avanet: Threat Intelligence Feeds para la Firewall
• Blog de Avanet: Sophos ZTNA Gateway en la Sophos Firewall
• Blog de Avanet: Sophos NDR - Eliminar puntos ciegos en la red
• KB de Avanet: Actualización de Firmware de Sophos Firewall - Preparación y mejores prácticas

Fuentes

• Sophos: Firewall: Network Security Best Practices
• Documentos de Sophos: Hardening your Sophos Firewall
• Sophos X-Ops: Nowhere, man: The 2026 Active Adversary Report