¿Por qué bloquear Windows Update en Mikrotik?
Bloquear Windows Update en una red, una medida que puede llevar a un mejor rendimiento de la red, puede ser necesario en ciertas situaciones para mantener la estabilidad y el ancho de banda. En ocasiones, las actualizaciones de Windows pueden consumir una gran cantidad de ancho de banda e interferir con el uso de aplicaciones empresariales. Por lo tanto, bloquear Windows Update en Mikrotik puede ser una forma de evitar problemas y garantizar que la red funcione de manera eficiente y estable. Además, bloquear Windows Update también permite a los administradores de red controlar y monitorear las actualizaciones, lo cual puede ser útil en términos de seguridad y planificación de recursos.
No es una buena práctica bloquear completamente las actualizaciones de Windows, ya que podría representar un vector de seguridad en una empresa en caso de que toda su infraestructura sea de Microsoft. Sin embargo, una buena práctica para los administradores es planificarlo. En este artículo, hablaremos sobre cómo lograr esto con Mikrotik y FlashStart.
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
Cómo configurar Mikrotik para bloquear Windows Update
Mikrotik es un router con muchas capacidades y funciones de seguridad, y es posible crear reglas de firewall para bloquear las actualizaciones de Windows Update de manera sencilla. Microsoft utiliza los siguientes hosts para las actualizaciones en los puertos 80 y 443:
http://windowsupdate.microsoft.com
http://*.windowsupdate.microsoft.com
https://*.windowsupdate.microsoft.com
http://*.update.microsoft.com
https://*.update.microsoft.com
http://*.windowsupdate.com
http://download.windowsupdate.com
http://download.microsoft.com
http://*.download.windowsupdate.com
http://wustat.windows.com
http://ntservicepack.microsoft.com
http://stats.microsoft.com
https://stats.microsoft.com
Esta lista se puede modificar; en Mikrotik, podríamos usar el comando “content” para el tráfico en el puerto 80, utilizar el proxy DNS en Mikrotik y crear una entrada a una IP local, así como usar TLS-HOST para el tráfico en el puerto 443.
Bloquear Windows Update con Mikrotik para el puerto 443.
Puedes usar las siguientes reglas para bloquear el tráfico de Windows Update con Mikrotik.
/ip firewall filter add action=drop chain=prerouting comment=”Blok Windows Update” protocol=tcp tls-host=windowsupdate.microsoft.com add action=drop chain=prerouting comment=”Blok Windows Update” protocol=tcp tls-host=download.microsoft.com add action=drop chain=prerouting comment=”Blok Windows Update” protocol=tcp tls-host=test.stats.update.microsoft.com add action=drop chain=prerouting comment=”Blok Windows Update” protocol=tcp tls-host=ntservicepack.microsoft.com add action=drop chain=prerouting comment=”Blok Windows Update” protocol=tcp tls-host=*.download.windowsupdate.com add action=drop chain=prerouting comment=”Blok Windows Update” protocol=tcp tls-host=*.update.microsoft.com add action=drop chain=prerouting comment=”Blok Windows Update” protocol=tcp tls-host=download.windowsupdate.com add action=drop chain=prerouting comment=”Blok Windows Update” protocol=tcp tls-host=*.windowsupdate.microsoft.com
También puedes usar RAW en lugar de filter/firewall.
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
Bloqueo por DNS
Para hacer esto usando el proxy DNS de Mikrotik, puedes crear las siguientes reglas en la sección IP/DNS:
Haz clic en Static y agrega una entrada del tipo todos los hosts anteriores. Aquí hay un ejemplo, donde todo el tráfico se redirige a un servidor local o a una IP inexistente.
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
¿Por qué es importante controlar las actualizaciones en una red empresarial?
En una red empresarial, controlar las actualizaciones es esencial para garantizar la estabilidad y la seguridad de la red. Las actualizaciones pueden corregir problemas de seguridad y añadir nuevas funciones a los sistemas y aplicaciones, pero también pueden causar problemas si la red no tiene suficiente ancho de banda o el consumo es demasiado alto.
Por ejemplo, en una red donde existen sistemas críticos y el ancho de banda es limitado, podríamos perder el acceso, por ejemplo, a recursos en internet, como máquinas virtuales en la nube. Por estas razones, es importante que las actualizaciones se realicen de manera controlada y se prueben antes de implementarse en toda la red.
De esta manera, se pueden minimizar los riesgos y garantizar una experiencia de usuario confiable y segura.
Cómo garantizar que su red esté protegida mientras se bloquea Windows Update
Aunque bloquear Windows Update puede ser una solución temporal para evitar problemas en la red de su empresa, es importante asegurarse de que su red esté protegida de otras amenazas. Estos son algunos pasos que puede seguir para garantizar la seguridad de su red mientras Windows Update está bloqueado:
- Mantenga actualizados los programas antivirus y antimalware en todos los dispositivos de su red. Realice escaneos regulares y supervise la actividad de la red para detectar posibles intrusiones.
- Verifique las reglas de seguridad en el Firewall: Un Firewall es un sistema de seguridad que permite o deniega el acceso a la red según un conjunto de reglas. Configure reglas estrictas para limitar el acceso a su red y protegerla de posibles amenazas.
- Mantenga copias de seguridad: Realice copias de seguridad periódicas de los datos críticos de su red para garantizar su recuperación en caso de fallos técnicos o intrusiones.
- Supervise y realice auditorías periódicas: Supervise su red en busca de posibles intrusiones o comportamientos anómalos. Realice auditorías periódicas para detectar y corregir posibles vulnerabilidades de seguridad.
Alternativas a Mikrotik para bloquear Windows Update
Mikrotik es un potente firewall y router con capacidades muy altas, pero no olvide que su función principal es gestionar la red y no está diseñado para la gestión del tráfico. FlashStart es una potente solución de filtrado DNS, integrada con inteligencia artificial y baja latencia, y puede integrarse perfectamente en su router Mikrotik.
En caso de que cree reglas para bloquear Windows Update con Mikrotik, y Microsoft realice algún cambio, tendrá que actualizarlas en el router. Al usar FlashStart, la gestión será aún más sencilla, ya que, gracias a sus filtros granulares y actualizaciones constantes, siempre tendremos el bloqueo garantizado, sin añadir ni modificar reglas en nuestro router Mikrotik.
FlashStart tiene una categoría especial llamada Actualizaciones. Si queremos bloquear solo el dominio o dominios de Windows Update con FlashStart, podemos añadirlo en la sección de lista negra personal.
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
FlashStart ayudará a bloquear las actualizaciones y controlar su red. Además, la integración para bloquear Windows Update facilitará el trabajo de un administrador.
Sin embargo, eso no es lo único. Como hemos mencionado anteriormente, bloquear Windows Update por completo en una red no es una buena práctica, ya que podríamos tener un vector de ataque para un fallo de seguridad en una versión de software. FlashStart nos ofrece la posibilidad de bloquear actualizaciones programadas; esto significa que podríamos bloquear las actualizaciones durante el horario laboral y dejarlas activas fuera de ese horario, de esta manera aprovecharíamos el ancho de banda de una mejor manera sin impactar en el uso. Esta es una función realmente útil y sin la complejidad de otras soluciones.
Consejos finales y consideraciones sobre cómo bloquear Windows Update con Mikrotik.
Al bloquear Windows Update con Mikrotik, es importante tener en cuenta los siguientes consejos y factores:
- Pruebe la configuración antes de implementarla en toda la red: Antes de bloquear Windows Update en todos los dispositivos de su red, asegúrese de que la configuración funcione correctamente en un entorno de prueba.
- Mantenga actualizados los sistemas y aplicaciones críticos: Aunque bloquee Windows Update, asegúrese de mantener actualizados los sistemas y aplicaciones críticos para garantizar su seguridad y estabilidad.
- Supervise las actualizaciones importantes: Microsoft publica, de vez en cuando, actualizaciones importantes que corrigen problemas críticos o vulnerabilidades de seguridad. Esté atento a estas actualizaciones y considere desbloquear temporalmente Windows Update para instalarlas en su red.
- Planifique la gestión de actualizaciones: Determine un plan para gestionar las actualizaciones en su red y asegúrese de tener una estrategia para manejar las actualizaciones importantes y críticas. FlashStart ofrece bloqueos programados.
En resumen, es importante considerar cuidadosamente las consecuencias de bloquear Windows Update en Mikrotik y FlashStart, y recordar tomar medidas para garantizar la seguridad y estabilidad a largo plazo de su red mientras se optimiza el ancho de banda.
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
Puede activar la protección FlashStart® Cloud en cualquier tipo de Router y Firewall para proteger equipos de escritorio, dispositivos móviles y dispositivos IoT en redes locales.
