Estado: borrador técnico basado en un laboratorio local reproducible. No describe un servicio desplegado ni una integración de producción.
Un SOC que detecta una dirección IP maliciosa necesita convertir una decisión central en una acción controlada en los sistemas autorizados. En este laboratorio exploramos una arquitectura mínima: un controlador genera una política versionada, cada agente verifica su integridad y autenticidad, calcula únicamente los cambios necesarios y actualiza un backend de firewall de forma atómica.
La demostración usa un estado JSON sin privilegios para que cualquier lector pueda repetirla sin tocar el firewall de su equipo. El objetivo es hacer verificable el flujo de confianza y recuperación, no presentar un diseño como si fuera un despliegue operativo.
Qué implementa el laboratorio
El prototipo contiene un controlador, un agente y pruebas deterministas. La política incluye revisión, lista de bloqueo y lista blanca. El agente rechaza resúmenes alterados, firmas no válidas, revisiones antiguas y la intersección entre la lista blanca y la lista de bloqueo.
El estado se escribe mediante archivo temporal y reemplazo atómico. Antes de cada actualización se conserva una ventana de historial para permitir rollback. La aplicación es incremental: si una revisión añade una IP y conserva otra, el agente informa únicamente del alta necesaria.
En este laboratorio el backend es un archivo JSON deliberadamente limitado. No se ejecuta iptables, no se usan credenciales y no se conecta a infraestructura externa.
Cómo reproducirlo
El código y las instrucciones forman parte del expediente técnico del laboratorio y están preparados para revisión antes de publicar cualquier repositorio. La entrada no enlaza a código local no verificable.
python3 test_lab.pyLas pruebas cubren actualización incremental, lista blanca, rollback, manipulación del documento, rechazo de revisiones obsoletas y cálculo de diferencias. El resultado esperado es que todos los casos pasen.
No se presentan tiempos de propagación, capacidad, disponibilidad ni métricas de seguridad porque este laboratorio no los mide.
Relación con trabajos públicos anteriores
Este prototipo continúa una línea de trabajo público atribuida a Jesús Amorós sobre automatización y operación de seguridad:
- WAPPAF Community en GitLab, aplicación web para automatizar tareas en firewalls Fortinet.
- Ansible en GitHub, repositorio de trabajo para automatización y configuración de sistemas.
- My_ban_script.sh en GitHub, script público de bloqueo de IP ante fallos de autenticación en Linux/Plesk.
- Perfil profesional y archivo técnico, donde se documentan arquitectura SOC, SIEM, Fortigate, Ansible y respuesta automatizada a incidentes.
Estas referencias muestran continuidad técnica, pero no prueban por sí solas que exista una plataforma SOC distribuida desplegada en clientes ni que el laboratorio actual esté conectado a producción.
Consideraciones para producción
Una integración real con iptables requeriría privilegios mínimos, transporte autenticado, rotación y custodia de claves, validación estricta de IP/CIDR, gestión de excepciones, límites de frecuencia, auditoría, monitorización y un procedimiento probado de recuperación.
También habría que definir qué ocurre cuando el controlador no está disponible y cómo se evita que un indicador erróneo bloquee accesos administrativos o servicios críticos. El prototipo no afirma resolver esos problemas.
Conclusión
El resultado verificable es un laboratorio local que muestra el flujo de confianza, actualización incremental y recuperación de una respuesta distribuida. Es evidencia de prototipo y de trabajo técnico reproducible, no evidencia de despliegue en clientes, certificación, acreditación ni rendimiento en producción.
Responsable declarado: SECRON es la marca comercial de JSJ Consultoría 23, S.L. La publicación debe revisarse para confirmar autoría, fecha y alcance antes de hacerse pública.