Proteger el acceso a FlowPro NG: inicio de sesión, 2FA, llaves de acceso y firewall

Un sistema de monitorización de seguridad ve toda la red: logs de los servidores, flujos de red, vulnerabilidades, el inventario de dispositivos y los resultados de las pruebas de penetración. Para un atacante es un mapa de su entorno, por lo que el acceso a FlowPro NG merece el mismo cuidado que el acceso a un controlador de dominio o a un firewall. La protección se apoya en dos capas: quién puede iniciar sesión (cuentas, contraseñas, segundo factor) y desde dónde se puede llegar al servidor (el firewall). Esta guía recorre ambas.

Inicio de sesión: contraseña, 2FA o llave de acceso

FlowPro NG ofrece tres formas de iniciar sesión que se pueden combinar:

FlowPro NG responde con el mismo mensaje a una cuenta inexistente y a una contraseña incorrecta, de modo que un atacante no puede averiguar qué cuentas existen. El número de intentos de inicio de sesión desde una misma dirección IP está limitado y cada intento fallido queda registrado (ver más abajo).

Autenticación de dos factores (TOTP)

Cada usuario activa el segundo factor en Configuración → Acceso → Usuarios (los administradores, en el editor de su propia cuenta). FlowPro NG muestra un código QR para Google Authenticator, Microsoft Authenticator u otra aplicación compatible con TOTP. Tras verificar el primer código recibirá códigos de respaldo: guárdelos fuera del teléfono, le ayudarán si lo pierde. A partir de ese momento, después de la contraseña se exige el código actual de la aplicación. Conocer solo la contraseña no basta para iniciar sesión.

Llaves de acceso (passkeys)

Una llave de acceso es un sustituto moderno de la contraseña basado en el estándar WebAuthn / FIDO2. La clave privada nunca sale de su dispositivo: Windows Hello, Touch ID o Face ID, Android, un gestor de contraseñas (Llavero de iCloud, Gestor de contraseñas de Google, 1Password…) o una llave de seguridad física como YubiKey. Al servidor nunca se envía nada que pueda interceptarse y reutilizarse.

La principal ventaja es la resistencia al phishing. El navegador solo usa la llave de acceso en el dominio exacto para el que se creó. Una página falsa que imite el inicio de sesión de FlowPro nunca la obtendrá, aunque el usuario caiga en el engaño. Además, la llave de acceso cuenta como autenticación de dos factores completa: la llave está guardada en el dispositivo (posesión) y se desbloquea con la huella, el rostro o el PIN.

Añadir una llave requiere la contraseña actual. Recomendamos registrar dos llaves (por ejemplo, el teléfono y el portátil) o una llave más 2FA, para que la pérdida de un dispositivo no bloquee la cuenta. Si aun así desaparece un dispositivo, un administrador elimina las llaves del usuario en el editor de usuarios.

Política de seguridad: reglas para todos

Un administrador define las reglas para todas las cuentas en Configuración → Acceso → Seguridad:

• Contraseñas: longitud mínima (12 caracteres por defecto) y complejidad, es decir, al menos 3 de 4 grupos de caracteres (minúsculas, mayúsculas, dígitos, símbolos). La contraseña no puede contener el nombre de usuario.
• Sesiones: duración máxima (8 horas por defecto; después hay que volver a iniciar sesión) y cierre de sesión por inactividad.
• Segundo factor obligatorio: para todos los administradores, o para todos los usuarios con un periodo de transición (14 días por defecto). Los usuarios sin segundo factor reciben un correo con la fecha límite y un aviso tras iniciar sesión. Pasado el plazo, su cuenta se bloquea hasta que un administrador la desbloquee. El segundo factor también puede exigirse a un usuario concreto.

Cambiar la contraseña o el rol, o desactivar una cuenta, cierra al instante todas las sesiones abiertas de ese usuario. Si se pierde un portátil, basta con pulsar Cerrar todas las sesiones en la lista de usuarios. El último administrador activo no se puede eliminar ni desactivar, así que el sistema no puede quedar bloqueado por error. Y si aun así se bloquearan todos los administradores, el comando flowpro-reset-password en el servidor desbloquea la cuenta.

Quién inició sesión y quién lo intentó

La seguridad del acceso no solo se configura, también hay que vigilarla. En Configuración → Acceso → Usuarios encontrará:

• Historial de inicio de sesión: quién, cuándo, desde dónde (dirección IP con nombre DNS y proveedor) y con qué método (contraseña, contraseña + 2FA, llave de acceso).
• Intentos fallidos de inicio de sesión: el nombre de usuario introducido (con la etiqueta «no existe» si la cuenta no existe), el motivo (contraseña incorrecta, código incorrecto, llave de acceso no válida, cuenta bloqueada) y la dirección IP. Tras iniciar sesión, los administradores ven un resumen de los nuevos intentos fallidos hasta que uno de ellos lo confirme.

Cada cambio en la administración queda registrado en la Auditoría (Configuración → Acceso → Auditoría): usuarios y roles, política de seguridad, firewall, claves API y más. Cada entrada incluye la hora, el usuario, la dirección IP y qué cambió. Las contraseñas y claves nunca se guardan en el registro. El módulo Cumplimiento evalúa después la auditoría y la política de contraseñas automáticamente como controles de NIS2 y de la ley checa de ciberseguridad.

Firewall: desde dónde se puede llegar a FlowPro

Ni la mejor contraseña sirve de nada si la página de inicio de sesión, SSH o la base de datos son accesibles desde todo internet. El instalador de FlowPro NG activa el firewall del servidor (UFW) con la política por defecto denegar todo el tráfico entrante y abre solo los puertos que FlowPro NG necesita. Para que la instalación funcione de inmediato en cualquier red, esos puertos quedan abiertos desde cualquier lugar. Es un buen punto de partida, no el estado final: después de la instalación hay que limitar los orígenes a las redes desde las que realmente se conecta.

Las reglas se editan directamente en la aplicación, en Configuración → Red → Firewall: en cada regla se indica el puerto, el protocolo y el origen (una dirección IP o una red en notación CIDR). Este es el resumen de puertos y recomendaciones:

¿Por qué limitar también los puertos de syslog y NetFlow? Los datos llegan por UDP sin verificación del remitente. Cualquiera que alcance el puerto podría enviar logs falsificados: provocar falsas alertas, ocultar un ataque real o llenar el disco. Limitar el puerto a las direcciones de sus dispositivos lo evita y no le cuesta nada.

La interfaz web no puede desactivar ni restablecer el firewall: la aplicación solo puede ejecutar los comandos permitidos para gestionar reglas, y cada cambio se registra en la auditoría. SSH está protegido además por fail2ban: tras 5 intentos fallidos en 10 minutos bloquea la dirección IP durante una hora.

El firewall en el perímetro de la red

El firewall del servidor es la segunda línea de defensa. La primera es su firewall perimetral o router:

• No redirija puertos de FlowPro NG desde internet. Para la administración remota use una VPN.
• Si el servidor debe ser accesible desde fuera (por ejemplo, para agentes en sucursales sin VPN), permita en el perímetro solo direcciones de origen concretas y solo los puertos necesarios (8220 y 9200). No exponga nunca la interfaz web ni SSH a internet.
• Tráfico saliente: FlowPro NG necesita HTTPS saliente hacia api.net-service.io (licencia, bases de datos centrales de amenazas y vulnerabilidades, correos) y hacia repo.net-service.io (actualizaciones). El soporte remoto de NET service usa un túnel VPN saliente que se activa en Configuración → Sistema → Soporte remoto, así que el soporte no requiere abrir ningún puerto entrante.

Lista de comprobación

1. Cada cuenta tiene 2FA o una llave de acceso, y en Seguridad la obligatoriedad está activada al menos para los administradores.
2. FlowPro NG funciona con un nombre de dominio y un certificado de confianza, para poder usar llaves de acceso.
3. Política de contraseñas: al menos 12 caracteres con complejidad y una duración de sesión razonable.
4. Firewall: puertos 443, 22, 8220 y 9200 solo desde redes internas o de gestión; syslog y NetFlow solo desde las direcciones de sus dispositivos.
5. Ninguna redirección de puertos hacia FlowPro NG en el firewall perimetral; administración remota solo por VPN.
6. Los administradores revisan con regularidad los intentos fallidos de inicio de sesión y la auditoría.

Puede probar FlowPro NG gratis. Cómo llegan los datos a FlowPro NG y qué puertos utiliza se describe en las guías Recogida de syslog, Recogida de NetFlow y Elastic Agent.