Tema 9
Segmentar es separar para controlar. Una red defensiva no permite que todos los equipos hablen con todos: define zonas, limita comunicaciones y reduce el impacto de un incidente.
En una red plana, muchos equipos pueden comunicarse entre sí sin restricciones importantes. Eso puede simplificar la operación al principio, pero también facilita que un incidente se propague. Si una estación de trabajo es comprometida, el atacante puede intentar alcanzar servidores, bases de datos, sistemas de administración o backups.
La segmentación defensiva busca evitar ese escenario. Separa redes y activos según función, criticidad, nivel de confianza o riesgo. Luego aplica reglas para que solo existan las comunicaciones necesarias.
En este tema veremos VLAN, zonas de seguridad, microsegmentación y Zero Trust como enfoques complementarios para construir una infraestructura más controlada.
Segmentar significa dividir una infraestructura en partes más pequeñas y controladas. Desde una mirada defensiva, la segmentación sirve para limitar alcance, ordenar accesos y reducir movimiento lateral.
Una segmentación útil debe responder:
Una red plana permite demasiada comunicación interna. Aunque parezca cómoda, debilita la defensa porque cualquier compromiso inicial puede abrir camino hacia otros sistemas.
Riesgos de una red plana:
Una VLAN, o red LAN virtual, permite separar lógicamente equipos dentro de una infraestructura de switching. Equipos en VLAN distintas se comportan como si estuvieran en redes separadas, aunque usen la misma infraestructura física.
Las VLAN son útiles para ordenar la red, pero no son una defensa completa por sí solas. Si el enrutamiento entre VLAN permite todo, la separación pierde valor defensivo.
Ejemplos de VLAN:
Una VLAN separa dominios de broadcast y ayuda a ordenar el tráfico, pero la seguridad depende de las reglas entre VLAN. Si una VLAN de usuarios puede acceder libremente a una VLAN de servidores, la separación no está cumpliendo una función defensiva fuerte.
Para convertir VLAN en segmentación defensiva se necesitan controles como:
Una zona de seguridad agrupa activos con un nivel similar de confianza, exposición o criticidad. A diferencia de una VLAN, que es una separación de red, una zona es un concepto de diseño defensivo.
Una zona puede contener una o varias VLAN, subredes, servicios cloud o grupos de servidores. Lo importante es que las reglas entre zonas estén claramente definidas.
| Zona | Activos típicos | Regla defensiva general |
|---|---|---|
| Internet | Redes externas y usuarios públicos | No confiable. Permitir solo servicios publicados. |
| DMZ | Reverse proxy, VPN, web pública | Acceso limitado hacia red interna. |
| Usuarios | PC, notebooks, dispositivos corporativos | Acceso solo a servicios necesarios. |
| Servidores | Aplicaciones, archivos, bases de datos | Separación por criticidad y función. |
| Administración | Bastiones, herramientas de gestión | Acceso muy restringido, auditado y con MFA. |
| Invitados | Visitantes y dispositivos no gestionados | Aislamiento de redes internas. |
Las zonas se vuelven defensivas cuando se definen reglas explícitas entre ellas. Una regla entre zonas debería permitir solo flujos necesarios y bloquear el resto.
Ejemplos:
El objetivo es que cada comunicación tenga una razón, un alcance y un registro.
La segmentación por función agrupa activos según el trabajo que realizan. Es una forma práctica de empezar porque suele coincidir con necesidades operativas.
| Función | Ejemplos | Control recomendado |
|---|---|---|
| Usuarios | Equipos de oficina | Acceso limitado a aplicaciones, proxy y servicios internos. |
| Aplicaciones | Servidores web o API | Comunicación solo con dependencias necesarias. |
| Bases de datos | PostgreSQL, MySQL, SQL Server | No exponer a usuarios ni internet; permitir solo aplicaciones autorizadas. |
| Administración | Consolas, bastiones, herramientas | MFA, registro, mínimo privilegio y red dedicada. |
| Backups | Repositorios y servidores de respaldo | Aislamiento estricto y acceso controlado. |
No todos los activos tienen el mismo impacto si son comprometidos. La segmentación por criticidad separa sistemas según su importancia para el negocio, sensibilidad de datos o impacto operativo.
Ejemplos de activos críticos:
Estos activos deben tener reglas más estrictas, monitoreo más cuidadoso y acceso administrativo muy controlado.
La microsegmentación lleva la segmentación a un nivel más granular. En lugar de separar solo grandes redes, controla comunicaciones entre servidores, cargas de trabajo, contenedores, máquinas virtuales o aplicaciones específicas.
Es especialmente útil en datacenters, nube, virtualización y entornos donde varias aplicaciones comparten infraestructura.
Ejemplo: aunque dos servidores estén en la misma red de servidores, uno solo puede comunicarse con el otro por un puerto concreto y con una justificación específica.
En entornos cloud y virtualizados, la microsegmentación puede implementarse con grupos de seguridad, firewalls distribuidos, políticas de red, etiquetas, identidades de carga de trabajo o controles nativos de la plataforma.
Ventajas:
El desafío es mantener visibilidad. Si las políticas se distribuyen en muchas plataformas, la documentación y el monitoreo centralizado se vuelven fundamentales.
Zero Trust, o confianza cero, es un modelo que evita asumir confianza automática por ubicación de red. No basta con estar "dentro" de la red corporativa. Cada acceso debe verificarse según identidad, dispositivo, contexto, riesgo y necesidad.
Zero Trust no es un producto único. Es una estrategia que combina identidad, segmentación, mínimo privilegio, monitoreo continuo y políticas dinámicas.
Principios comunes:
Aplicado a segmentación, Zero Trust implica que una comunicación interna no se permite solo porque origen y destino están dentro de la organización. Debe existir una razón concreta y verificable.
Ejemplos:
Los firewalls internos controlan tráfico entre segmentos, zonas o aplicaciones dentro de la organización. Son importantes porque no todo riesgo viene desde internet.
Un firewall interno puede ubicarse:
Una buena segmentación mejora el monitoreo porque reduce ruido y aclara qué flujos son esperados. Si un segmento de invitados intenta conectarse a un servidor interno, eso es una señal clara de problema.
Eventos útiles para monitorear:
Supongamos una empresa con usuarios, invitados, servidores, DMZ, administración y backups. Un diseño defensivo podría ser:
| Segmento | Puede acceder a | No debería acceder a |
|---|---|---|
| Usuarios | Aplicaciones internas, proxy, DNS autorizado | Bases de datos, backups, administración directa |
| Invitados | Internet | Cualquier red interna |
| DMZ | Servicios internos puntuales y necesarios | Red de usuarios, backups, administración general |
| Administración | Servidores y dispositivos autorizados | Internet libre sin control |
| Backups | Servidores protegidos según política | Acceso desde usuarios e invitados |
Pasar de una red plana a una red segmentada requiere cuidado. Si se bloquea sin conocer dependencias, se pueden interrumpir servicios importantes.
Un camino razonable:
La segmentación defensiva convierte una red amplia y difícil de controlar en zonas con reglas claras. Su valor principal es limitar el movimiento lateral, reducir exposición interna y facilitar la contención durante incidentes.
En el próximo tema estudiaremos alta disponibilidad, redundancia, respaldos y gestión de cambios en firewalls. Allí veremos cómo mantener los controles defensivos funcionando de forma confiable incluso ante fallas o modificaciones.