Tema 3
Una arquitectura defensiva ordena dónde se ubican los activos, cómo se comunican, qué controles los protegen y qué límites existen entre zonas con distinto nivel de confianza.
Una arquitectura defensiva es la forma en que organizamos una infraestructura para protegerla. No se limita a elegir un firewall o activar un IDS. Incluye decisiones sobre zonas de red, rutas de comunicación, servicios publicados, accesos administrativos, monitoreo, nube, usuarios remotos y sistemas críticos.
El objetivo es evitar una red plana donde todo se comunica con todo. Una buena arquitectura separa funciones, reduce exposición, facilita el monitoreo y limita el impacto cuando ocurre un incidente.
En este tema veremos los modelos más comunes: perímetro, red interna, DMZ, nube y entornos híbridos. También veremos cómo ubicar firewalls, IDS/IPS y controles de hardening dentro de cada diseño.
Una arquitectura defensiva es un diseño técnico y operativo que define cómo se protegen los activos de una organización. Debe responder preguntas concretas:
Una zona de confianza agrupa activos que comparten un nivel similar de riesgo, función o sensibilidad. Por ejemplo, una red de invitados no debe tener el mismo nivel de confianza que una red de administración.
Separar zonas permite aplicar reglas distintas. Un servidor de base de datos no necesita las mismas reglas que una estación de trabajo. Un servicio publicado en internet no debe tener el mismo tratamiento que una consola administrativa interna.
| Zona | Ejemplos | Tratamiento defensivo |
|---|---|---|
| Internet | Usuarios externos, proveedores, atacantes potenciales | No confiable. Todo acceso debe filtrarse y registrarse. |
| DMZ | Web pública, reverse proxy, gateway VPN | Exposición controlada y comunicación limitada hacia redes internas. |
| Usuarios internos | PC, notebooks, telefonía, impresoras | Acceso limitado por necesidad y monitoreo de comportamiento. |
| Servidores | Aplicaciones, archivos, bases de datos | Segmentación, hardening, parches y acceso restringido. |
| Administración | Consolas, herramientas de gestión, cuentas privilegiadas | Alta protección, MFA, registro de acciones y acceso mínimo. |
| Invitados | Wi-Fi de visitantes, dispositivos no gestionados | Aislamiento estricto y salida controlada a internet. |
El perímetro es el límite entre la organización y redes externas, especialmente internet. Durante mucho tiempo fue el centro de la defensa: se instalaba un firewall en la salida a internet y se intentaba proteger todo desde ese punto.
El perímetro sigue siendo importante, pero ya no alcanza por sí solo. Hoy existen usuarios remotos, servicios en la nube, dispositivos móviles, proveedores conectados y aplicaciones distribuidas. Aun así, controlar el perímetro permite reducir exposición y registrar tráfico relevante.
Controles frecuentes en el perímetro:
El error más común es pensar que lo interno es confiable y lo externo es peligroso. Esa idea ya no es suficiente. Un equipo interno puede estar comprometido, una cuenta legítima puede ser robada o un proveedor puede introducir riesgo.
El modelo perimetral falla cuando la red interna queda demasiado abierta. Si un atacante supera el perímetro o ingresa mediante credenciales válidas, puede moverse lateralmente con pocas restricciones.
La red interna contiene usuarios, servidores, dispositivos, impresoras, sistemas de administración, servicios de autenticación y aplicaciones de negocio. Protegerla exige segmentar y controlar comunicaciones internas.
Una arquitectura interna defensiva evita que todos los equipos compartan el mismo nivel de confianza. Por ejemplo, una notebook de usuario no debería comunicarse libremente con bases de datos, sistemas de backups o consolas de administración.
Buenas prácticas para red interna:
Una DMZ, o zona desmilitarizada, es una red intermedia donde se ubican servicios que deben ser accesibles desde redes externas, pero que no deberían estar directamente dentro de la red interna principal.
El objetivo de una DMZ es contener el riesgo. Si un servicio público es comprometido, el atacante no debería tener acceso directo a servidores internos, estaciones de trabajo o sistemas administrativos.
Servicios que suelen ubicarse en una DMZ:
Una DMZ no es una zona libre. Debe tener reglas estrictas. El tráfico desde internet hacia la DMZ se limita a los servicios publicados. El tráfico desde la DMZ hacia la red interna se restringe todavía más.
| Comunicación | Ejemplo | Criterio defensivo |
|---|---|---|
| Internet a DMZ | Clientes hacia HTTPS del sitio web | Permitir solo puertos publicados y registrar intentos. |
| DMZ a red interna | Aplicación web hacia base de datos | Permitir solo origen, destino y puerto necesarios. |
| Red interna a DMZ | Administración o despliegue | Permitir solo desde redes administrativas autorizadas. |
| DMZ a internet | Actualizaciones o consultas externas | Restringir destinos y monitorear conexiones salientes. |
| Internet a red interna | Administración directa | Evitar. Usar VPN, bastión o acceso controlado. |
Un host bastión es un equipo especialmente protegido que se usa como punto controlado para administrar otros sistemas. En lugar de permitir administración directa desde muchas redes, se concentra el acceso en un punto endurecido, monitoreado y auditado.
Un bastión puede usarse para SSH, RDP, consolas web, administración de nube o acceso a servidores críticos. Debe tener hardening estricto, autenticación fuerte, registro de sesiones y acceso limitado por origen.
Características esperables de un bastión:
En la nube, la defensa no desaparece: cambia de forma. En lugar de switches físicos y firewalls tradicionales, aparecen redes virtuales, subredes, grupos de seguridad, firewalls administrados, balanceadores, identidades, políticas y servicios gestionados.
Un error frecuente es pensar que el proveedor de nube protege todo. En realidad, la seguridad se comparte. El proveedor protege la infraestructura base, pero el cliente sigue siendo responsable de configurar accesos, identidades, redes, datos, sistemas y aplicaciones de forma segura.
Controles habituales en nube:
El modelo de responsabilidad compartida indica que el proveedor de nube y el cliente tienen responsabilidades diferentes. El detalle cambia según el servicio, pero la idea general es constante: usar nube no elimina la necesidad de administrar seguridad.
| Área | Responsabilidad típica del proveedor | Responsabilidad típica del cliente |
|---|---|---|
| Infraestructura física | Datacenter, energía, hardware, red física | Elegir regiones y servicios adecuados. |
| Red virtual | Plataforma de red disponible | Diseñar subredes, rutas, reglas y exposición. |
| Identidad | Servicio de autenticación disponible | Configurar MFA, roles, permisos y revisión de accesos. |
| Máquinas virtuales | Hipervisor e infraestructura base | Parcheo, hardening, firewall del sistema y monitoreo. |
| Datos | Servicios de almacenamiento confiables | Cifrado, clasificación, permisos y respaldo. |
Un entorno híbrido combina infraestructura local con servicios en la nube. Puede incluir datacenters propios, sedes remotas, usuarios móviles, aplicaciones SaaS, máquinas virtuales en nube y conexiones privadas o VPN.
Estos entornos son comunes, pero requieren especial atención porque aumentan la cantidad de rutas, identidades, consolas y puntos de integración. Si no se diseñan bien, pueden aparecer accesos duplicados, reglas inconsistentes y falta de visibilidad.
Riesgos habituales en entornos híbridos:
La ubicación de sensores IDS/IPS depende de lo que se necesita observar o bloquear. No todos los sensores ven lo mismo. Un sensor en el perímetro ve tráfico de entrada y salida, pero puede no ver comunicación lateral entre servidores internos.
Puntos útiles para ubicar sensores:
Una arquitectura defensiva debe proteger especialmente los accesos administrativos. Si un atacante obtiene control de firewalls, routers, servidores o consolas de nube, puede modificar reglas, borrar evidencias o crear accesos persistentes.
Medidas recomendadas:
Supongamos una empresa con usuarios internos, una aplicación web pública, base de datos, administración remota y servicios en nube. Una arquitectura defensiva básica podría organizarse así:
Este diseño no elimina todo riesgo, pero reduce exposición, mejora visibilidad y limita el movimiento lateral.
Las arquitecturas defensivas convierten los principios de defensa en profundidad y reducción de superficie de ataque en diseños concretos. Separar zonas, controlar comunicaciones, proteger accesos administrativos y monitorear eventos permite construir una infraestructura más ordenada y resistente.
En el próximo tema estudiaremos fundamentos de tráfico de red para defensa: TCP/IP, puertos, protocolos y flujos. Ese conocimiento será necesario para diseñar reglas de firewall, interpretar alertas IDS/IPS y entender qué ocurre dentro de una comunicación.