Uso Potencial de VPN No autorizadas en el Entorno Corporativo
Esta detección identifica posibles conexiones relacionadas con el uso de VPNs dentro del entorno corporativo, correlacionando puertos asociados a protocolos VPN, dominios no habituales, procesos iniciadores y adaptadores de red virtuales o tunelizados. El objetivo es descubrir actividad de VPN no autorizada, conexiones cifradas ocultas dentro de tráfico HTTPS y el uso de extensiones de navegador que actúan como túneles tipo VPN. La lógica de esta consulta aplica múltiples capas de filtrado para reducir falsos positivos: - Filtra conexiones salientes hacia puertos característicos de IPsec, OpenVPN, WireGuard, L2TP y PPTP. - Detecta túneles sobre puerto 443 cuando el proceso iniciador no corresponde a aplicaciones del sistema. - Excluye ruido generado por procesos de Windows y dominios legítimos asociados a Microsoft, Google y servicios cloud corporativos. - Identifica adaptadores TAP, TUN, Wintun, WireGuard, Tailscale o ZeroTier presentes en el host. - Clasifica el tipo probable de VPN según el puerto utilizado y el proceso que inicia la conexión. Esta detección permite encontrar: - Clientes VPN instalados sin autorización. - Extensiones de navegador que establecen túneles SSL-VPN encubiertos. - Herramientas de túneles encubiertos como WireGuard stealth, Tailscale o ZeroTier. - Actividad anómala desde navegadores que podría indicar proxies cifrados o VPNs embebidas.
Microsoft Sentinel (KQL)
