Qué cuenta como medio extraíble
El medio extraíble se define por poder desconectarse, no por su tecnología. Cuenta cualquier almacenamiento que pueda retirarse de una computadora y conectarse a otra, sin herramientas ni privilegios de administrador. El término forma parte de la categoría más amplia de dispositivo de transferencia de datos, pero es más restringido: no incluye las interfaces que mueven datos sin un elemento de almacenamiento portátil.
Los teléfonos y las cámaras también cuentan cuando el sistema operativo los monta como almacenamiento. Los tipos más comunes aparecen en la tabla siguiente.
| Tipo de dispositivo | Dónde está el riesgo | Uso típico |
|---|---|---|
| Memoria USB | Cabe en el bolsillo, es barata y fácil de ocultar | Copias rápidas entre equipos |
| Disco duro externo o SSD | Guarda archivos grandes y conjuntos de datos completos | Respaldos y transferencias masivas |
| Disco óptico | Grabable e invisible para los controles de red | Archivo, aunque cada vez se usa menos |
| Tarjeta de memoria | Fácil de pasar por alto en cámaras y laptops | Fotos, archivos y almacenamiento de dispositivos |
| Teléfono o cámara | Se monta como almacenamiento por MTP o PTP | Sincronización y transferencia de archivos |
Fugas, malware y pérdida
En la salida, el medio extraíble es un canal de exfiltración deliberado. Una memoria grabada en una computadora corporativa no genera tráfico de red que un proxy o una pasarela de correo pueda inspeccionar, y copia a toda la velocidad de la interfaz. Por eso es un paso clásico al final, cuando alguien deja la empresa.
En la entrada, el mismo puerto importa riesgos. Los medios traídos desde fuera, como discos personales, discos de socios o dispositivos de origen desconocido, pueden instalar malware en un endpoint. Hay dispositivos diseñados para hacerse pasar por teclados o adaptadores de red. El puerto que exporta datos también importa lo que haya en el medio.
La pérdida no requiere un actor malicioso. Un dispositivo pequeño que se lleva a diario se olvida fácilmente en un tren o en una sala de juntas. Si contiene datos sensibles sin cifrar, su pérdida es un evento de divulgación, y muchos marcos regulatorios la consideran reportable. Borrar archivos o formatear no los elimina de forma confiable, así que el descarte requiere saneamiento de medios o destrucción física.
Cómo avanza una fuga por medio extraíble
El actor habitual es una amenaza interna, no un atacante externo, y la secuencia es corta:
- 1
Conexión
Un medio no aprobado se conecta a una estación de trabajo.
- 2
Copia
Los archivos se escriben en el medio en bloque, muchas veces en minutos.
- 3
Salida
El medio sale del edificio, fuera del alcance de cualquier filtro de red.
- 4
Uso
El contenido llega a un competidor, a un comprador o al público.
Enfoques de control comparados
Ninguna medida sola cubre todos los casos. El bloqueo de puertos, el control de dispositivos con auditoría y el control de escritura por contenido responden preguntas distintas, así que funcionan mejor en conjunto:
| Enfoque | Frena dispositivos no aprobados | Inspecciona el contenido de los archivos | Registra cada escritura |
|---|---|---|---|
| Solo bloqueo de puertos | |||
| Lista de dispositivos permitidos con auditoría | |||
| Control de escritura por contenido |
Cómo se ve en Anexet
En el control de USB y unidades externas, el administrador define reglas de dispositivos para cada perfil de agente. La pestaña Devices and drives activa la auditoría de uso, la auditoría de operaciones de archivos en dispositivos de almacenamiento y el control de escritura por contenido, de modo que cada canal se ajusta por separado.
1 / 2
Errores comunes
La mayoría de los programas que fracasan lo hacen de las mismas pocas maneras.
El bloqueo total el primer día es la forma más rápida de que el control de dispositivos se desactive.
- Bloquear todos los puertos el primer día, con lo que el trabajo habitual se detiene y el personal busca maneras de evitarlo
- Suponer que un medio es inofensivo porque nunca toca la red
- Tratar un medio perdido como un problema de hardware en lugar de una fuga de datos que puede requerir reporte
Por dónde empezar
Se empieza por los datos que más daño causarían si salieran y, después, por los canales que realmente se usan para sacarlos. Las políticas escritas para todos los archivos a la vez terminan bloqueando el trabajo y se desactivan.
El control de medios extraíbles es una capa del DLP de endpoints. Los datos también salen por correo, subida web, nube y mensajería, así que una misma regla de clasificación de datos debe aplicarse a todos los canales.
Lectura recomendada: Sistemas DLP — qué son y cómo funcionan; Cómo prevenir el acceso no autorizado a tu computadora.
La mayoría de las fugas por medio extraíble parecen un día de trabajo normal, una copia tras otra.
Anexet TeamCómo lo resuelve Anexet
En Anexet, los medios extraíbles se rigen por el control de dispositivos en el agente del endpoint, combinado con inspección de contenido para que la aplicación sea precisa en lugar de general:
Como el producto se implementa on-premise, las copias capturadas de los archivos transferidos y los registros de las operaciones de dispositivo permanecen dentro de la propia infraestructura de la organización.
Qué se trata como extraíble
memorias USB, discos duros externos, unidades ópticas y de disquete, y cualquier dispositivo que el sistema operativo identifique como almacenamiento extraíble, incluidos teléfonos y cámaras conectados como dispositivos multimedia.
Bloqueo y listas de permitidos
los dispositivos en puertos USB, COM y LPT se rigen por reglas de lista blanca o lista negra basadas en parámetros del dispositivo (tipo, atributo y valor), con políticas separadas para el acceso y para la escritura.
Interceptación de operaciones de archivo
cada escritura en almacenamiento externo se audita con nombre de archivo, tamaño y el proceso que la inició, y las copias sombra de los archivos transferidos se capturan para revisarlas en la consola.
Control sensible al contenido
las escrituras en unidades externas pueden evaluarse por contenido: tesauros de seguridad, bases de hashes, bibliotecas de huellas digitales y etiquetas de sensibilidad. Así, las transferencias legítimas continúan y las sensibles se bloquean.
Anexet DLP
Más información