Filtrado de salida (Egress filtering)
El filtrado de salida es el control del tráfico saliente de una red, que solo permite los destinos, puertos y protocolos que un sistema necesita de verdad. La mayoría de los parques aplican con cuidado las reglas de entrada y dejan salir el tráfico libremente, y por eso es el control que más veces rompe una intrusión en un ejercicio real.
Todas las fases posteriores al acceso inicial dependen de llegar al exterior: descargar una carga, establecer el command and control y sacar datos. Una política de denegación por defecto hacia fuera, con una lista de permitidos por segmento y un proxy que termine e inspeccione lo que quede, ataca las tres a la vez. Es poco habitual porque no cuesta ninguna licencia y da más que la mayoría de productos de esa misma línea de presupuesto.
La razón de que sea raro es operativa, no técnica. Construir la lista de permitidos exige saber con qué habla legítimamente cada sistema, y los parques que no lo saben son justo los que necesitan el control. La vía practicable es empezar por los segmentos donde la respuesta se conoce y es estable, como los servidores, antes de meterse con las redes de usuario, y empezar registrando las denegaciones en vez de aplicarlas.
Hay dos detalles que deciden si aguanta la prueba. La resolución de nombres tiene que estar restringida a los resolutores de la propia organización, o el tunelado por DNS atraviesa de frente una política que bloquea todo lo demás. Y una lista de direcciones de destino permitidas es débil por sí sola, porque una parte enorme de Internet es alcanzable a través de un puñado de plataformas compartidas de hosting y de contenido que aparecen en todas las listas de permitidos. Lo que informamos es el conjunto exacto de destinos y protocolos que funcionaron desde cada segmento, que es la salida del trabajo de red team donde medimos qué detiene de verdad la política de salida.