Configurar la Protección contra Amenazas

Auris proporciona tres capas de protección configurables que trabajan juntas en el pipeline de seguridad de inicio de sesión: reglas de IP (bloqueo a nivel de red), detección de inicios de sesión sospechosos (análisis de comportamiento) y CAPTCHA (mitigación de bots). Cada capa opera de forma independiente y puede configurarse para adaptarse a tus requisitos de seguridad.

Esta guía recorre la configuración práctica de cada capa y explica cómo encajan en el pipeline de inicio de sesión completo.

Resumen de las Capas de Protección

Las tres capas no son bloqueantes entre sí — configurar una no afecta a las demás.

Listas de IPs Permitidas/Bloqueadas

Las reglas de IP usan notación CIDR para controlar qué direcciones IP pueden acceder a los endpoints de autenticación de tu tenant.

Tipos de Reglas y Precedencia

Precedencia: Las reglas BLOCK siempre tienen prioridad sobre las reglas ALLOW dentro del mismo ámbito. Si una IP coincide con una regla BLOCK y una ALLOW, queda bloqueada.

Ámbito

Las reglas pueden aplicarse en dos niveles:

• Ámbito de tenant (scope: TENANT) — aplica a todas las aplicaciones del tenant
• Ámbito de aplicación (scope: APPLICATION) — aplica solo a una aplicación específica

Las reglas de ámbito de aplicación se evalúan después de las reglas de ámbito de tenant. Un BLOCK a nivel de tenant no puede ser anulado por un ALLOW a nivel de aplicación.

Configurar Reglas de IP

{
  "cidr": "203.0.113.0/24",
  "type": "BLOCK",
  "scope": "TENANT",
  "label": "Fuente de ataque conocida",
  "note": "Bloqueado tras ataque de credential stuffing el 2025-06-01"
}

{
  "cidr": "198.51.100.42/32",
  "type": "BLOCK",
  "scope": "TENANT",
  "label": "Bloqueo temporal - ataque activo",
  "isTemporary": true,
  "expiresAt": "2025-07-01T00:00:00Z"
}

{
  "cidr": "10.0.0.0/8",
  "type": "ALLOW",
  "scope": "TENANT",
  "label": "Red corporativa"
}

Gestión Programática

Las reglas de IP también pueden gestionarse a través de la API para la respuesta automatizada ante incidentes:

// Bloquear un rango de IP programáticamente tras detectar un ataque
await fetch('https://auth.yourdomain.com/api/ip-rules', {
  method: 'POST',
  headers: {
    'Authorization': `Bearer ${adminToken}`,
    'Content-Type': 'application/json',
    'x-tenant': 'your-tenant',
  },
  body: JSON.stringify({
    cidr: '192.0.2.0/24',
    type: 'BLOCK',
    scope: 'TENANT',
    label: 'Bloqueo automático - límite de velocidad superado',
    isTemporary: true,
    expiresAt: new Date(Date.now() + 24 * 60 * 60 * 1000).toISOString(),
  }),
})

Referencia Rápida de CIDR

Detección de Inicio de Sesión Sospechoso

Después de verificar las credenciales de un usuario, Auris analiza el contexto del inicio de sesión en busca de anomalías de comportamiento usando cinco detectores independientes.

Métodos de Detección

1. Dispositivo Nuevo

Se calcula un hash de huella digital a partir del user agent del navegador, la resolución de pantalla y otras señales estables. Los dispositivos vistos por primera vez quedan marcados. La huella digital se registra tras un inicio de sesión exitoso para futuras comparaciones.

2. Nueva Dirección IP

Auris registra las direcciones IP desde las que un usuario ha iniciado sesión previamente. Un inicio de sesión desde una IP no vista para esta cuenta activa el detector.

3. Nuevo País

La búsqueda GeoIP determina el país de la IP de inicio de sesión. Un país no visto anteriormente en el historial de inicios de sesión del usuario activa el detector.

4. Viaje Imposible

La distancia geográfica entre el inicio de sesión actual y el más reciente se divide por el tiempo transcurrido para calcular la velocidad de viaje implícita. Si la velocidad supera el umbral configurado (por defecto: 800 km/h), el inicio de sesión se marca como viaje imposible.

5. VPN / Proxy / Centro de Datos

Los metadatos GeoIP identifican IPs pertenecientes a proveedores de VPN conocidos, proxies o centros de datos en la nube. Estas se marcan por defecto, pero pueden permitirse para organizaciones cuyos usuarios habitualmente usan VPNs.

Configurar Acciones

Cada detector puede configurarse de forma independiente con una de cuatro acciones:

Configura en Consola -> Configuración -> Detección de Inicio de Sesión Sospechoso:

Proveedor GeoIP

Revisar Eventos

Los eventos de inicio de sesión sospechoso son visibles en Consola -> Configuración -> Detección de Inicio de Sesión Sospechoso -> Eventos. Cada evento muestra:

• Email e ID de usuario
• Motivo de detección (dispositivo nuevo, viaje imposible, etc.)
• Severidad (baja, media, alta)
• Acción tomada (registrado, notificado, bloqueado, MFA requerido)
• Dirección IP, país e información del dispositivo
• Marca de tiempo

Los administradores pueden marcar eventos como revisados para hacer seguimiento del estado de la investigación.

CAPTCHA

El CAPTCHA protege las páginas de inicio de sesión, registro y restablecimiento de contraseña de bots automatizados. Auris soporta tres proveedores y tres modos de activación.

Proveedores Soportados

Modos de Activación

Pasos de Configuración

El Pipeline Completo de Seguridad de Inicio de Sesión

Cuando un usuario intenta iniciar sesión, la solicitud pasa por todas las capas de protección en secuencia. Cada capa puede cortocircuitar el pipeline:

Solicitud de inicio de sesión entrante
        |
        v
1. Comprobación de lista de permisión/bloqueo de IP
   ¿Regla BLOCK coincide? --> HTTP 403, detener
        |
        v
2. Verificación de CAPTCHA (si está configurado)
   ¿Token inválido o faltante? --> HTTP 400, detener
        |
        v
3. Limitación de velocidad
   ¿Límite por IP o por usuario superado? --> HTTP 429, detener
        |
        v
4. Comprobación de bloqueo por fuerza bruta
   ¿Cuenta o IP bloqueada? --> HTTP 423, detener
        |
        v
5. Autenticación Keycloak
   ¿Credenciales inválidas? --> registrar fallo, HTTP 401, detener
        |
        v
6. Análisis de inicio de sesión sospechoso
   Ejecutar 5 detectores, ejecutar acciones configuradas
   ¿Acción = block? --> HTTP 403, detener
   ¿Acción = require_mfa? --> forzar paso de MFA
        |
        v
7. Puntuación de riesgo MFA adaptativa
   Puntuación ponderada de 5 factores
   ¿Puntuación por encima del umbral? --> requerir step-up MFA
        |
        v
8. Emisión de tokens
   Establecer claims ACR/AMR
   Devolver access token + refresh token

Los pasos 1-4 son comprobaciones rápidas y síncronas que filtran el tráfico claramente malicioso antes de llegar a los pasos más costosos de autenticación y análisis.

Buenas Prácticas para Producción

1. Empieza con logging: Habilita todos los detectores de inicio de sesión sospechoso en modo log primero. Revisa los eventos durante una semana para entender tu línea base antes de cambiar a block o require_mfa.

2. Usa bloqueos de IP temporales: Durante un ataque activo, crea reglas BLOCK temporales con vencimiento de 24-48 horas en lugar de bloqueos permanentes. Esto previene bloqueos accidentales a largo plazo.

3. Combina CAPTCHA con limitación de velocidad: Usa el modo AFTER_FAILURES para que los usuarios legítimos nunca vean el CAPTCHA, mientras que los atacantes lo encuentran después de 3-5 intentos fallidos.

4. Despliega MaxMind localmente: Para despliegues que manejan más de 1000 inicios de sesión por hora, cambia de ip-api.com a MaxMind GeoLite2 para evitar los límites de velocidad de la API en el nivel gratuito y reducir la latencia.

5. Monitorea el pipeline: Revisa los logs de auditoría regularmente en busca de patrones. Un pico repentino de detecciones de impossible_travel o new_country puede indicar un ataque de credential stuffing.

6. Combina con MFA: La protección contra amenazas funciona mejor junto con la Autenticación Multifactor. Habilita MFA para todos los usuarios y usa la detección de inicio de sesión sospechoso para activar la autenticación escalonada en inicios de sesión anómalos.

Endpoints de API

Permisos Requeridos

Guías Relacionadas

• Protección contra Ataques — Limitación de velocidad, bloqueo por fuerza bruta, seguridad de contraseñas y referencia completa del pipeline
• Autenticación Multifactor — TOTP, SMS OTP, WebAuthn y MFA adaptativa
• Implementar DPoP — Vinculación de tokens para prevenir el robo de tokens
• Gestión de Sesiones — Gestión de sesiones de usuario y políticas de sesión