Unidad Nacional de Proteccion
Rama Ejecutiva · Sector interior · Unidad administrativa especial
UNP presenta riesgo medio: tiene 6 hallazgos activos publicados, de los cuales 2 requieren atención prioritaria (2 altos). La prioridad es restringir accesos o configuraciones visibles públicamente y validar que no queden servicios sensibles abiertos sin control. Los temas que más inciden son exposición pública de servicios, controles básicos del portal y suplantación institucional.
Siguiente paso: asignar responsable, fecha de corrección y evidencia de cierre; si un riesgo no se corrige, aceptarlo formalmente con dueño y fecha de revisión.
Descripción técnica
Se registran 6 hallazgos activos publicados: 2 altos y 4 medios.
Señales técnicas principales: Subdominios sensibles nuevos descubiertos en wordlist extendida (1): intranet.unp.gov.co sigue resolviendo en DNS público y responde HTTPS 401 Unauthorized con Microsoft-IIS/10.0, confirmando una superficie de autenticación de intranet accesible desde internet. Verificado pasivamente el... UNP: cookie de sesion sin Secure ni SameSite: La portada de UNP emite una cookie persistente con HttpOnly, pero sin Secure ni SameSite. DKIM no detectado en unp.gov.co (selectores comunes): Probados 12 selectores comunes (default, mail, google, mailgun, etc.) — ninguno responde con v=DKIM1.
Focos técnicos dominantes: subdominios, APIs o paneles expuestos; headers, cookies y endurecimiento web; y autenticación de correo.
Hallazgos (6)
Subdominios sensibles nuevos descubiertos en wordlist extendida (1)
Altaintranet.unp.gov.co sigue resolviendo en DNS publico y responde HTTPS 401 Unauthorized con Microsoft-IIS/10.0, confirmando una superficie de autenticacion de intranet accesible desde internet. Verificado pasivamente el 2026-06-27.
Subdominios con prefijos de no-produccion o de paneles/herramientas internas alcanzables desde DNS publico. Cada uno expande la superficie y suele tener menor hardening que el portal principal.
UNP: cookie de sesion sin Secure ni SameSite
AltaLa portada de UNP emite una cookie persistente con HttpOnly, pero sin Secure ni SameSite.
Secure evita envio por canales no cifrados y SameSite reduce abuso cross-site; declarar la politica esperada evita depender de defaults variables por navegador.
DNSSEC ausente en unp.gov.co
MediaNo hay registro DS en zona padre.
Sin DNSSEC, un atacante con MITM en cualquier resolvedor puede inyectar respuestas DNS falsas. Permite redirección a servidores controlados sin alertas.
DKIM no detectado en unp.gov.co (selectores comunes)
MediaProbados 12 selectores comunes (default, mail, google, mailgun, etc.) — ninguno responde con v=DKIM1.
Sin DKIM, los receptores no pueden verificar criptográficamente que un correo proviene del servidor autorizado. Combinado con DMARC permisivo, deja la puerta abierta a spoofing.
UNP: headers defensivos ausentes en la portada
MediaLa portada de UNP responde 200, pero no publica controles basicos de endurecimiento del navegador.
Headers defensivos reducen impacto de inyeccion, clickjacking, filtrado de referencias y abuso de capacidades del navegador.
UNP: sin security.txt valido detectable
MediaUNP no publica un security.txt valido en las rutas estandar del portal principal.
Sin un canal estandar de divulgacion responsable, reportes legitimos de vulnerabilidades pueden llegar tarde o perder trazabilidad operativa.
Soluciones recomendadas
Qué necesita UNP
Acciones derivadas directamente de los hallazgos observados en esta entidad.
Inmediatas
Cifrado obligatorio en todos los portales
- Activar HTTPS correctamente en todos los portales y subdominios.
- Corregir certificados vencidos o mal configurados.
- Habilitar HSTS para obligar conexiones seguras.
- Revisar que no haya contenido mixto cargando por HTTP.
Cierre de subdominios expuestos
- Retirar de DNS público ambientes como dev, intranet, apps, digiturno o pqrs si no deben ser públicos.
- Mover intranets y ambientes internos detrás de VPN.
- Exigir autenticación fuerte para cualquier sistema administrativo.
Protección contra suplantación de correo
- Configurar SPF, DKIM y DMARC.
- Llevar DMARC progresivamente a política estricta: reject.
- Monitorear reportes de suplantación.
- Bloquear dominios similares usados para phishing.
Headers de seguridad
- Activar Content-Security-Policy.
- Activar X-Frame-Options o frame-ancestors.
- Activar X-Content-Type-Options, Referrer-Policy y Permissions-Policy.
- Eliminar headers que revelan tecnología, como X-Powered-By.
Mantenimiento técnico
Protección de APIs
- Exigir autenticación.
- Implementar rate limiting.
- Validar permisos por usuario y rol.
- Evitar que las APIs revelen datos personales, errores internos o estructuras del sistema.
Control de certificados
- Publicar registros CAA para definir qué autoridades pueden emitir certificados del dominio.
- Monitorear Certificate Transparency.
- Renovar certificados automáticamente.
- Detectar certificados sospechosos o no autorizados.
Canal de divulgación responsable
- Publicar security.txt (RFC 9116).
- Definir un correo oficial para reportes de seguridad.
- Crear un procedimiento interno para recibir, validar y corregir vulnerabilidades.
Gestión de datos personales
- Revisar formularios, PQRS, trámites y APIs que procesan datos ciudadanos.
- Minimizar los datos expuestos.
- Cifrar datos sensibles en tránsito y en reposo.
- Aplicar controles de acceso y trazabilidad.
Cómo sostenerlo
- Política de mínimos de seguridad web. Estándar obligatorio para todos los portales (HTTPS, HSTS, DMARC, headers, backups, logs, actualizaciones, monitoreo), exigible a proveedores.
- Cláusulas de ciberseguridad en contratos. Obligar mínimos técnicos, SLA de corrección por severidad, evidencias de parcheo y derecho de auditoría.
- Monitoreo continuo. No una revisión anual: alertar ante cada nuevo subdominio, certificado, API o tecnología vulnerable, y medir la postura por entidad y proveedor.
- Modelo de remediación coordinada. Cuando un hallazgo se repite en muchas entidades, corregir la causa raíz (proveedor, plantilla o configuración común) para cerrar el riesgo en bloque.
- Indicadores para la alta dirección. Tiempo promedio de corrección, hallazgos críticos abiertos, % de entidades con DMARC y HSTS, activos expuestos sin responsable, riesgo por proveedor.
- EstadoSeguro no solo detecta vulnerabilidades; permite priorizar soluciones.
- No reemplaza a su equipo de TI: le da visibilidad, evidencia y orden.
- No es una auditoría anual: es monitoreo continuo de la superficie pública.
- No busca señalar culpables: busca cerrar brechas antes de que se conviertan en incidentes.
- Convierte el riesgo técnico en decisiones ejecutivas: qué corregir, quién responde y qué hacer primero.
Cronología de hallazgos
2026-04-30 → 2026-06-27Nuevos
6
Activos
6
Pendientes
0
Solucionados
0
UNP: headers defensivos ausentes en la portada
Apareció: 2026-06-27 · Revisado: 2026-06-27
UNP: cookie de sesion sin Secure ni SameSite
Apareció: 2026-06-27 · Revisado: 2026-06-27
UNP: sin security.txt valido detectable
Apareció: 2026-06-27 · Revisado: 2026-06-27
DNSSEC ausente en unp.gov.co
Apareció: 2026-04-30 · Revisado: 2026-06-27
DKIM no detectado en unp.gov.co (selectores comunes)
Apareció: 2026-04-30 · Revisado: 2026-06-27
Subdominios sensibles nuevos descubiertos en wordlist extendida (1)
Apareció: 2026-04-30 · Revisado: 2026-06-27
Activos públicos (1)
unp.gov.co
portal principal
Server: nginx
Targeted passive refresh for unp. HEAD https://www.unp.gov.co returns 200 with nginx, cookiesession1, and no defensive headers; GET body endpoints timed out.
Observado: 2026-06-27