Listas de bloqueo de IP - Bloqueo de fuentes maliciosas conocidas
Lectura de 2 min aprox.
Una lista de bloqueo de IP (IP Blocklist) es una lista que registra las direcciones IP confirmadas como origen de actividad maliciosa y deniega automáticamente el acceso desde ellas. Al incorporarla a las reglas de un cortafuegos o un WAF, se puede bloquear en la entrada la comunicación procedente de fuentes de ataque conocidas. A fecha de 2025, se ha vuelto habitual la operativa que actualiza las listas de bloqueo en tiempo real mediante la integración automática con fuentes de inteligencia de amenazas.
Casos de uso reales
«Cuando sufrimos un ataque DDoS, añadimos el rango de direcciones IP del origen del ataque (/24) al conjunto de IP del WAF para bloquearlo de inmediato. Al mismo tiempo, obtenemos la lista de IP de los servidores C2 relacionados a partir de las fuentes de inteligencia de amenazas y las añadimos preventivamente a la lista de bloqueo.»
Tipos de listas de bloqueo
Las listas de bloqueo públicas (como Spamhaus y AbuseIPDB) son servicios que comparten en la comunidad las direcciones IP de remitentes de spam y distribuidores de malware. Las fuentes comerciales de inteligencia de amenazas ofrecen información de reputación de IP más precisa. Una lista de bloqueo propia es aquella en la que registras por tu cuenta las IP de origen de ataques detectadas mediante el análisis de tus propios registros; resulta eficaz operarla con actualizaciones automáticas integradas con un SIEM.
| Tipo | Qué se registra | Cómo se actualiza | Uso típico |
|---|---|---|---|
| Listas públicas (Spamhaus, AbuseIPDB y otras) | IP de remitentes de spam y distribuidores de malware | Se consulta una lista compartida por la comunidad | Se coteja como DNSBL en servidores de correo para rechazar la recepción |
| Fuentes comerciales de inteligencia de amenazas | Información de reputación de IP más precisa | Se actualiza en tiempo real mediante integración automática (práctica habitual a fecha de 2025) | Bloquear preventivamente las IP de servidores C2 relacionados |
| Lista de bloqueo propia | IP de origen de ataques detectadas en tu propio análisis de registros | Se actualiza automáticamente junto con un SIEM | Añadir el rango del origen del ataque (/24) al conjunto de IP del WAF durante un DDoS |
Escenarios operativos
Cuando se detecta un ataque DDoS a un servidor web, se añade el rango de direcciones IP del origen del ataque a la lista de bloqueo y se corta de inmediato. En los servidores de correo, las IP de los remitentes de spam se cotejan con una lista de bloqueo basada en DNS (DNSBL) y se rechaza la recepción. En entornos en la nube, al combinar el conjunto de IP de AWS WAF con la georrestricción de CloudFront, también es posible el control de acceso por país. Al usar la seguridad DNS junto con una lista de bloqueo de IP, se puede lograr una defensa en múltiples capas.
Consideraciones operativas
El mayor reto de las listas de bloqueo de IP son los falsos positivos. Si bloqueas una dirección IP compartida (un entorno NAT, una CDN o una VPN), los usuarios legítimos también se ven afectados. Es necesario revisar la lista de bloqueo periódicamente y gestionarla de modo que se eliminen las entradas innecesarias. Además, como los atacantes cambian sus direcciones IP con frecuencia, no dependas solo de la lista de bloqueo; combínala con la limitación de tasa y el análisis de comportamiento. También es importante proteger la consola de administración del cortafuegos con una contraseña aleatoria fuerte.
¿Te resultó útil este artículo?