Si abro un servidor dedicado en mi red doméstica para aceptar conexiones entrantes (HTTP, SSH, etc.) y esa máquina está en peligro por un atacante externo, ¿cuáles son los riesgos para otros dispositivos en la red?
¿Basta con mantener los archivos personales importantes fuera del servidor o es posible que toda la LAN esté abierta al mundo exterior?
Sin una estrategia de seguridad de defensa en profundidad, una vez que la defensa perimetral de su red ha sido penetrada a través de su servidor comprometido, existen algunas amenazas para el resto de su red.
La vulnerabilidad explotada por el atacante podría estar disponible en otras máquinas en su red, permitiendo que un atacante se mueva a otra máquina con facilidad.
Un esquema de autenticación o control de acceso deficiente a otras máquinas en la red podría permitir que un atacante acceda a esas máquinas o el uso no autorizado del servicio. es decir. Diseñado para facilitar su uso, un servidor de aplicaciones web que aceptará cualquier tipo de tráfico de la máquina comprometida.
El malware podría estar presente en el servidor comprometido e incluso puede propagarse a través de una vulnerabilidad de la red. es decir. un gusano.
Para responder a su segunda pregunta, dado que su servidor ha sido comprometido; El potencial está ahí. Cualquier información que le gustaría conservar la Confidencialidad e integridad se colocaría en otra máquina con acceso limitado. Recomendaría algún tipo de estrategia de defensa en profundidad. O un firewall con políticas bien configuradas y monitoreo de tráfico. Snort es un sistema gratuito de detección de intrusiones basado en la red si desea mejorarlo.
El riesgo es el costo calculado de un agente de amenaza que realiza un ataque a un activo. (Ofrezco esta definición de integridad porque algunas personas usan el riesgo y la amenaza de manera intercambiable.) Riesgo = (ocurrirá una amenaza de probabilidad) * (Valor del activo).
Una amenaza es la posibilidad de que una vulnerabilidad sea explotada por un agente / atacante. (Tenga en cuenta que los actos de Dios se consideran amenazas, ¡y su riesgo debería ser considerado!)
En general, un dispositivo comprometido en la LAN es un riesgo bastante serio para el resto de los dispositivos en la red. Un atacante puede iniciar sondas desde la máquina comprometida para buscar debilidades en otras máquinas; por ejemplo, ¿tiene el escritorio remoto habilitado en algún lugar? Archivo & ¿Impresora compartida? ¿Una máquina que no está completamente parcheada y actualizada, que podría permitir que un atacante lo infecte de forma remota con malware? ¿Un dispositivo con un panel de control basado en la web (impresora, cámara de red, termostato inteligente, enrutador, etc.) que aún tiene el nombre de usuario y la contraseña predeterminados (o ninguno)? Esto no es de ninguna manera una lista exhaustiva de posibles debilidades, pero cualquiera de estas cosas podría permitir que un atacante se propague a otras máquinas y / o cause daños más graves.
Usted podría asegurarse de que todos los dispositivos estén correctamente endurecidos, pero incluso si no hay debilidades en otros dispositivos en la LAN, un atacante podría, por ejemplo, lanzar un ataque de suplantación ARP para redirigir todo el tráfico de red a la máquina comprometida. , permitiéndole monitorear todo su tráfico de Internet y navegación.
Si la computadora comprometida está en un dominio de Windows y el atacante obtiene acceso al sistema, puede volcar los hashes de contraseña locales.
Entonces, si tiene las mismas cuentas de administrador en todas las máquinas, toda su red está comprometida.
También el atacante puede poner poca atención y esperar a que un usuario del dominio inicie sesión y robe esa contraseña para que probablemente también tenga acceso para iniciar sesión en muchas máquinas en un dominio de Windows.
Con un pie en la puerta, el compromiso de la red es solo una cuestión de tiempo (piense en la exploración de vulnerabilidades dentro de la red, etc.)
Planifique siempre en el peor de los casos (aislamiento, segmentación, monitoreo y más ...)