La configuración de la acción por defecto (Default Action) en Cisco Firepower 6 es una opción crítica dentro de la gestión de políticas de seguridad que define cómo se trata el tráfico que no coincide con ninguna regla explícita. Esta funcionalidad asegura el manejo adecuado de conexiones no previstas, facilitando una defensa proactiva al bloquear o permitir tráfico según se configure, y complementa el registro de eventos para un monitoreo efectivo.
Campos principales
- Action: Determina la acción que tomará el sistema cuando no se cumpla ninguna regla específica. Las opciones más comunes son Block para bloqueos automáticos y Trust o Allow para permitir el tráfico por defecto. En esta configuración, la acción está definida en Block, lo que significa que cualquier tráfico no explicitado será rechazado, fortaleciendo la postura de seguridad.
- Intrusion Policy: Aquí se indica que no se pueden aplicar políticas de intrusión a reglas del tipo Trust o Block, sino sólo a las reglas de Allow. Es relevante para ajustar el nivel de inspección y detección basados en la política activa para diferentes tipos de tráfico.
- Connection Events Logging: Esta opción controla el nivel de registro de eventos relacionados con las conexiones de red. El valor seleccionado «At Beginning and End of Connection» asegura la creación de logs tanto al iniciar como al terminar una conexión, lo cual es fundamental para auditorías y análisis forenses en seguridad.
- Send connection events to: Aunque en esta configuración aparece deshabilitado, normalmente permite elegir un destino syslog donde enviar los eventos registrados, facilitando la integración con sistemas externos de monitoreo y correlación de eventos.
Compatibilidad de versiones y modelos
Esta configuración es típica en sistemas Cisco Firepower Management Center (FMC) versión 7.x y posteriores, que gestionan dispositivos Firepower que incluyen modelos como Firepower 2100, 4100, y 9300. La funcionalidad de acción por defecto y registro está soportada en la mayoría de estos dispositivos siempre que operen bajo el FMC, aunque algunas flexibilidades en el registro pueden variar según la versión del software o del hardware específico.
Limitaciones reales incluyen la imposibilidad de asignar políticas de intrusión a reglas de tipo Block o Trust, restringiendo análisis profundos solo a tráfico permitido, lo que puede dejar sin inspección al tráfico bloqueado automáticamente.
Escenarios de uso y recomendaciones
En entornos donde la seguridad es prioritaria, configurar la acción por defecto en Block minimiza el riesgo de tráfico no autorizado o desconocido, cerrando posibles vectores de ataque. Esta estrategia es clave en segmentos de red críticos o zonas desmilitarizadas (DMZ).
El registro de eventos al inicio y cierre de conexión otorga visibilidad completa del ciclo de las comunicaciones, facilitando análisis post-mortem y detección temprana de patrones anómalos. Sin embargo, puede aumentar el volumen de logs generados, por lo que se deben evaluar recursos y capacidad de almacenamiento.
Es importante considerar que bloquear por defecto puede generar falsos positivos si no se realiza un análisis adecuado previo y la infraestructura no está bien documentada, lo que podría afectar servicios legítimos.
Comandos de CLI útiles para diagnóstico
show access-control policy: Permite visualizar la política de control de acceso activa y su configuración relacionada con acciones por defecto.show loggingoshow logging | include connection: Explora los registros generados relacionados con eventos de conexión para verificar el correcto logging configurado.show intrusion policy: Consulta las políticas de intrusión aplicadas a las reglas y su estado.show run | include default-action: Busca directamente configuraciones vinculadas a la acción por defecto establecida.debug connection events(en entornos de prueba): Para monitorear en tiempo real los eventos de conexión activados por la política.
Buenas prácticas de configuración
- Configurar la acción por defecto en Block en zonas críticas para evitar tráfico no autorizado, pero realizar pruebas exhaustivas para reducir impacto en servicios legítimos.
- Habilitar el registro de eventos tanto al inicio como al cierre de conexiones para asegurar trazabilidad completa de actividades de red.
- Integrar los logs con sistemas de SIEM o gestión centralizada para agilizar análisis y correlación de eventos.
- Revisar periódicamente las políticas y listas de excepciones para ajustar la acción por defecto según la evolución del entorno y necesidades de negocio.
- Documentar y comunicar claramente las políticas de bloqueo por defecto al equipo de administración y usuarios, minimizando el riesgo de incidentes por bloqueos inadvertidos.