móvil y red
En el nivel básico aprendiste los hábitos seguros. Ahora vas a configurar las defensas: el antivirus en profundidad, las herramientas antimalware, el firewall y sus reglas, el cifrado del disco, la protección del móvil y la seguridad del router de casa o de una pequeña oficina.
Microsoft Defender integrado (protección en la nube, protección contra alteraciones, bloqueo de aplicaciones potencialmente no deseadas, acceso controlado a carpetas), Smart App Control, cifrado de dispositivo y BitLocker, WPA3 y redes de invitados para dispositivos IoT, y las protecciones antirrobo de Android e iPhone.
Cómo detecta un antivirus
Microsoft Defender a fondo
Seguridad de Windows › Protección antivirus y contra amenazas › Administrar la configuración:
| Opción | Qué hace | Recomendación |
|---|---|---|
| Protección en tiempo real | Analiza cada archivo al abrirlo o descargarlo | Activada siempre |
| Protección basada en la nube | Consulta en la nube los archivos desconocidos | Activada |
| Envío automático de muestras | Envía a Microsoft archivos sospechosos para analizarlos | Activada (pregunta antes de enviar documentos personales) |
| Protección contra alteraciones | Impide que un malware desactive Defender | Activada |
| Exclusiones | Carpetas o archivos que no se analizan | Evítalas: los atacantes intentan añadirlas |
Tipos de examen
- Rápido: las zonas donde suele esconderse el malware. Minutos.
- Completo: todos los archivos. Puede durar más de una hora.
- Personalizado: una carpeta o un pendrive (también con clic derecho › Examinar con Microsoft Defender).
- Sin conexión (Microsoft Defender Antivirus sin conexión): reinicia el equipo y analiza antes de que arranque Windows; detecta malware que se oculta mientras el sistema funciona (rootkits).
¿Otro antivirus?
Defender ofrece una protección comparable a la de los antivirus comerciales en las pruebas independientes (AV-TEST, AV-Comparatives). Los paquetes de pago añaden extras (VPN, control parental, gestor de contraseñas). Si instalas otro, Defender se desactiva solo: nunca dos en tiempo real a la vez.
«Malware» abarca todo software malicioso. Hoy el antivirus es, en realidad, un antimalware. Además, existen herramientas para una segunda opinión o para amenazas que no son virus, como el adware y los programas no deseados.
| Herramienta | Para qué |
|---|---|
| Bloqueo de aplicaciones potencialmente no deseadas (PUA) | Opción de Defender en Control de aplicaciones y exploradores › Protección basada en la reputación: bloquea programas que no son virus pero instalan publicidad, barras o «optimizadores». |
| Smart App Control | Bloquea programas sin firma o desconocidos (en instalaciones nuevas de Windows 11). |
| SmartScreen | Avisa de webs y descargas peligrosas o poco conocidas en Edge y en Windows. |
| Microsoft Safety Scanner | Escáner de un solo uso de Microsoft (se descarga, analiza y caduca a los 10 días). |
| Herramienta de eliminación de software malintencionado (MSRT) | Llega con Windows Update cada mes y elimina familias de malware extendidas. |
| Malwarebytes (gratuito) | Escáner bajo demanda de segunda opinión; especialmente bueno con adware. |
| VirusTotal | Analiza un archivo o una URL con más de 70 motores. No subas documentos personales: los archivos quedan disponibles para investigadores. |
Un firewall decide qué conexiones de red se permiten y cuáles se bloquean, según unas reglas. Hay firewalls en el router (protegen toda la red) y en cada equipo (protegen ese equipo, también fuera de casa).
Firewall de Windows Defender
- Tiene un estado por perfil de red: dominio, privada y pública. Debe estar activado en los tres.
- Por defecto bloquea las conexiones entrantes no solicitadas y permite las salientes.
- Cuando un programa quiere aceptar conexiones (un juego, un servidor), Windows pregunta si se permite y en qué redes. Permite solo en redes privadas si no sabes por qué lo necesita en públicas.
- Configuración sencilla: Seguridad de Windows › Firewall y protección de red › Permitir una aplicación a través del firewall.
- Configuración avanzada:
wf.msc(Firewall de Windows Defender con seguridad avanzada): reglas de entrada y de salida por programa, puerto, protocolo y dirección IP.
Anatomía de una regla
Traza paquetes por las cadenas de un firewall, crea reglas de Windows Defender Firewall y de iptables/nftables y comprueba con un Nmap simulado qué queda abierto. Tienes la guía paso a paso en los complementos.
Abrir CyberFirewall Lab ↗ Guía paso a paso ↗Cifrado del disco
Si te roban un portátil sin cifrar, basta con sacar el disco para leer todo. Con el disco cifrado, sin tu contraseña o clave de recuperación los datos son ilegibles.
- Cifrado de dispositivo (Windows 11 Home en equipos compatibles) y BitLocker (Pro): Configuración › Privacidad y seguridad › Cifrado de dispositivo o busca «Administrar BitLocker».
- La clave de recuperación (48 dígitos) se guarda en tu cuenta Microsoft (
account.microsoft.com/devices/recoverykey) o se imprime. Sin ella, si falla algo, pierdes los datos. - Pendrives y discos externos: BitLocker To Go. Archivos sueltos: 7-Zip con contraseña (AES-256).
- En el móvil, el cifrado está activado de serie si tiene bloqueo de pantalla.
Bastionado (hardening) básico de Windows
Lista de bastionado con la criticidad de cada medida, el comando o la ruta para aplicarla y el progreso exportable.
Abrir Hardening Checklist ↗| Medida | Android | iPhone |
|---|---|---|
| Bloqueo robusto | PIN de 6+ cifras o contraseña + huella/cara | Código de 6 cifras o alfanumérico + Face ID |
| Antirrobo NUEVO | Protección antirrobo: bloqueo automático si detecta un tirón, bloqueo sin conexión, bloqueo remoto con tu número | Protección de dispositivo robado: pide Face ID y un tiempo de espera para cambiar contraseñas fuera de lugares habituales |
| Localizar y borrar | Encontrar mi dispositivo | Buscar |
| Apps | Solo Google Play; Instalar apps desconocidas desactivado; Play Protect | App Store |
| Permisos | Gestor de permisos, permisos «solo mientras se usa», panel de privacidad | Privacidad y seguridad, informe de privacidad de apps |
| Máxima protección | Protección avanzada de Google | Modo de aislamiento (Lockdown) para personas en riesgo |
| Actualizaciones | Comprueba cuántos años de actualizaciones garantiza el fabricante antes de comprar | Apple actualiza durante muchos años |
- PIN de la SIM y, si tu operadora lo permite, bloqueo de duplicados de SIM sin presencia física.
- Los dispositivos de empresa pueden gestionarse con MDM (Intune, Google Endpoint…): perfil de trabajo separado del personal y borrado remoto solo de los datos de empresa.
- No hagas root o jailbreak: desactiva protecciones del sistema.
- Revisa las apps con acceso de administrador o de accesibilidad (Android): es lo que buscan los troyanos bancarios.
El router de casa u oficina
| Medida | Por qué |
|---|---|
Cambiar la contraseña de administración del router (la de entrar a 192.168.1.1) | La de fábrica suele estar publicada o en la pegatina. |
| Cifrado WPA3 (o WPA2/WPA3 mixto; como mínimo WPA2-AES) | WEP y WPA se rompen en minutos. |
| Contraseña Wi-Fi larga (frase de 15+ caracteres) | Resiste ataques de diccionario. |
| Desactivar WPS | El PIN de WPS se puede adivinar. |
| Desactivar UPnP y la administración remota si no se usan | Evitan que programas o atacantes abran puertos. |
| Actualizar el firmware | Corrige vulnerabilidades del propio router. |
| Red de invitados para visitas y dispositivos IoT (bombillas, cámaras, TV) | Si se compromete un dispositivo, no llega a tus ordenadores. |
| Revisar los dispositivos conectados | Detectar intrusos o aparatos desconocidos. |
| Cambiar el nombre (SSID) de fábrica | No revela marca ni operadora. |
Fuera de casa
- Redes Wi-Fi públicas: perfil público en Windows, nada de banca, mejor los datos del móvil.
- VPN: cifra todo el tráfico hasta el servidor VPN. Útil en redes públicas y obligatoria a menudo para teletrabajar. Desconfía de las VPN gratuitas desconocidas: ven todo tu tráfico.
- DNS cifrado y con filtrado (Quad9
9.9.9.9, Cloudflare for Families) bloquean dominios maliciosos conocidos. - Olvida las redes que ya no uses para que el móvil no se conecte solo a redes falsas con el mismo nombre.
Simulador de router con Wi-Fi, DHCP, firewall, NAT y taller de averías. Practica la configuración segura sin tocar el router real. Tienes la guía paso a paso en los complementos.
Abrir NetSim Router Lab ↗ Guía paso a paso ↗| Término | Significado |
|---|---|
| Bastionado (hardening) | Reducir la superficie de ataque de un sistema aplicando configuraciones seguras. |
| BitLocker | Cifrado de discos de Windows. |
| Firma (antivirus) | Patrón que identifica una muestra de malware conocida. |
| Firewall | Sistema que filtra conexiones de red según reglas. |
| IoT | Internet de las cosas: dispositivos conectados (cámaras, enchufes, electrodomésticos). |
| MDM | Gestión de dispositivos móviles de una organización. |
| PUA | Aplicación potencialmente no deseada (adware, barras, falsos optimizadores). |
| UPnP | Protocolo que permite a los dispositivos abrir puertos en el router automáticamente. |
| WPA3 | Estándar de seguridad Wi-Fi más reciente. |
| WPS | Sistema de conexión Wi-Fi por botón o PIN, vulnerable. |
¿Qué técnica de un antivirus detecta un ransomware nuevo porque empieza a cifrar cientos de archivos?
- Firmas
- Lista de exclusiones
- Análisis de comportamiento
- Desfragmentación
No necesita conocerlo de antes: vigila lo que hace.
¿Qué opción de Defender impide que un malware lo desactive?
- Protección contra alteraciones
- Exclusiones
- Examen rápido
- Modo avión
Tamper Protection.
Sospechas de un rootkit que se oculta mientras Windows funciona. ¿Qué examen eliges?
- Rápido
- Personalizado de Descargas
- Ninguno
- Microsoft Defender Antivirus sin conexión
Analiza antes de que arranque Windows.
¿Qué NO debes subir a VirusTotal?
- Un instalador descargado de Internet
- Un documento con datos personales o confidenciales
- Una URL sospechosa
- Un archivo .exe de un correo
Los archivos quedan disponibles para otros investigadores.
Por defecto, el firewall de Windows…
- Bloquea todo el tráfico.
- Permite todo el tráfico.
- Bloquea las conexiones entrantes no solicitadas y permite las salientes.
- Solo funciona en redes privadas.
Por eso en una regla de bloqueo de salida hay que crearla expresamente.
Un juego te pide permiso en el firewall estando en la Wi-Fi de una cafetería. ¿Qué eliges?
- Permitir solo en redes privadas.
- Permitir en todas las redes.
- Desactivar el firewall.
- Permitir solo en públicas.
En redes públicas, cuanto menos abierto, mejor.
Activas BitLocker. ¿Qué es imprescindible guardar?
- La factura del equipo.
- El número de serie.
- La contraseña del Wi-Fi.
- La clave de recuperación de 48 dígitos.
Sin ella, ante un fallo, los datos se pierden.
En Android, ¿qué permiso buscan especialmente los troyanos bancarios?
- Linterna
- Servicios de accesibilidad
- Brillo de pantalla
- Alarma
Les permite leer la pantalla y pulsar por ti.
¿Qué medida del router es vulnerable y conviene desactivar?
- WPA3
- La red de invitados
- WPS
- Las actualizaciones de firmware
El PIN de WPS se puede adivinar por fuerza bruta.
¿Dónde conectarías las bombillas y la cámara inteligente de casa?
- En la red de invitados o una red separada para IoT.
- En la misma red que el ordenador del trabajo.
- Directamente a Internet sin router.
- Por cable al portátil.
Si un dispositivo IoT se compromete, no alcanza tus equipos.
¿Qué cifrado Wi-Fi debes elegir en un router moderno?
- WEP
- WPA (TKIP)
- Red abierta
- WPA3 (o WPA2/WPA3)
WEP y WPA-TKIP están rotos.
¿Qué hace una VPN en una Wi-Fi pública?
- Hace que Internet vaya más rápido.
- Cifra todo el tráfico entre tu equipo y el servidor VPN.
- Elimina los virus.
- Te hace totalmente anónimo.
Protege de quien espía la red local; el proveedor de VPN sí ve tu tráfico.
Tu progreso
—