Tema 2
La forma en que una red está diseñada condiciona directamente su seguridad. Antes de hablar de firewalls, cifrado o monitoreo, es necesario entender cómo se organiza la infraestructura, qué relaciones de confianza crea y dónde aparecen los puntos de exposición.
La arquitectura de red define cómo se conectan entre sí usuarios, dispositivos, servidores, servicios internos, enlaces externos, redes inalámbricas, sistemas de administración y recursos en la nube. No es un detalle técnico menor: es la base sobre la que luego operan todos los controles de seguridad.
Una mala arquitectura obliga a compensar con reglas, excepciones y controles reactivos. Una buena arquitectura reduce exposición desde el origen, segmenta mejor el riesgo, simplifica el monitoreo y facilita la contención ante incidentes.
Por eso, cuando se analiza la seguridad de una organización, una de las primeras preguntas no es qué herramienta usa, sino cómo está organizada su red y qué caminos de comunicación existen entre los distintos activos.
La arquitectura de red es la forma en que se estructuran físicamente y lógicamente las comunicaciones dentro de una infraestructura. Incluye dispositivos, segmentos, enlaces, jerarquías, zonas, rutas, servicios centrales y mecanismos de acceso.
Desde el punto de vista de seguridad, una arquitectura no se evalúa solo por rendimiento o escalabilidad. También se evalúa por:
Una red empresarial o institucional suele estar formada por varias piezas interdependientes. Entenderlas es el primer paso para analizar su exposición.
| Componente | Función | Riesgo habitual |
|---|---|---|
| Core o núcleo | Interconecta segmentos y concentra tráfico crítico | Impacto alto si se compromete o se cae |
| Acceso de usuarios | Conecta estaciones de trabajo, notebooks y teléfonos IP | Ingreso inicial de malware o abuso de credenciales |
| Zona de servidores | Aloja aplicaciones, bases, autenticación y archivos | Movimiento lateral y acceso a activos críticos |
| Perímetro | Conecta la red con internet o terceros | Exposición de servicios y tráfico malicioso externo |
| Acceso remoto | Permite ingreso desde fuera de la organización | Abuso de cuentas, robo de sesiones o equipos inseguros |
| Red Wi-Fi | Brinda conectividad inalámbrica a usuarios y visitantes | Acceso no autorizado o mala segmentación |
| Integración con nube | Conecta servicios internos con recursos cloud | Confianzas excesivas y pérdida de visibilidad |
Una red tiene una dimensión física y otra lógica. La primera describe cableado, equipos, edificios, enlaces y hardware. La segunda describe VLAN, subredes, rutas, políticas de acceso, dominios de broadcast, zonas y relaciones de confianza.
Desde la perspectiva de seguridad, ambas importan. Una red puede tener equipamiento redundante y cableado ordenado, pero estar lógicamente mal segmentada. Del mismo modo, una red lógicamente correcta puede volverse frágil si depende de un único enlace o de un punto físico sin tolerancia a fallas.
Las topologías describen la forma general en que se conectan los nodos. En la práctica moderna suelen combinarse, pero sus conceptos siguen siendo útiles para pensar fortalezas y debilidades.
La topología no define por sí sola la seguridad, pero condiciona dónde centralizar controles, cómo fluye el tráfico y qué pasa si un punto falla o es comprometido.
| Topología | Ventaja de seguridad | Riesgo a considerar |
|---|---|---|
| Estrella | Facilita inspección y control centralizado | Punto central crítico si no hay redundancia |
| Malla | Mejor continuidad ante fallas | Más caminos posibles para tráfico no deseado |
| Jerárquica | Permite separar capas y funciones | Mala configuración en un nivel puede propagarse |
| Híbrida | Se adapta a necesidades reales del negocio | Complejidad si no hay documentación clara |
En muchas redes corporativas se trabaja con una arquitectura jerárquica compuesta por capas de acceso, distribución y core. Este modelo ayuda a ordenar funciones y a ubicar controles según el rol de cada nivel.
Separar capas no es un capricho académico. Permite decidir mejor dónde inspeccionar, dónde autenticar, dónde limitar el tráfico y dónde priorizar resiliencia.
Una red madura no trata todos los segmentos como equivalentes. Establece zonas con distintos niveles de confianza. Por ejemplo, la red de usuarios no debería tener el mismo nivel de privilegio que la red de servidores, la red de administración o una red de invitados.
Separar funciones reduce el impacto de errores y ataques. Si todo comparte el mismo espacio lógico, un único punto comprometido puede convertirse rápidamente en un incidente transversal.
Ejemplos de zonas comunes:
La superficie de ataque es el conjunto de puntos desde los cuales un actor puede intentar interactuar con la infraestructura de forma no autorizada o dañina. En una red, esa superficie no se limita a servicios publicados en internet. También incluye conexiones internas, relaciones de confianza mal definidas y administración expuesta.
Forman parte de la superficie de ataque:
Muchas organizaciones concentran su atención en internet, pero una red también tiene exposición interna. La exposición externa incluye lo que está publicado o reachable desde fuera. La exposición interna comprende lo que puede ser abusado una vez obtenido cierto acceso, por ejemplo mediante una notebook comprometida, una cuenta robada o un proveedor conectado.
| Tipo de exposición | Ejemplos | Riesgo principal |
|---|---|---|
| Externa | Portales web, VPN, correo, DNS público | Ingreso inicial desde internet |
| Interna | Accesos laterales, shares abiertos, gestión sin segmentar | Escalada y propagación del incidente |
| De terceros | Proveedores, integraciones B2B, mantenimiento remoto | Riesgo transferido por confianza excesiva |
La arquitectura puede jugar a favor o en contra de la defensa. Algunos diseños amplían innecesariamente la exposición y otros la reducen de forma natural.
Una arquitectura segura no solo bloquea: también permite observar. Si el tráfico circula por caminos desordenados, si existen demasiadas excepciones o si no hay puntos claros de control, el monitoreo se vuelve difícil y la detección pierde efectividad.
Diseñar pensando en visibilidad implica:
Una parte importante de la seguridad consiste en saber qué existe. Sin inventario ni documentación, la red tiende a crecer de forma informal y la arquitectura real deja de coincidir con la arquitectura teórica.
Como mínimo, una organización debería conocer:
Los próximos controles que estudiaremos tienen sentido solo si se apoyan en una arquitectura entendida. Un firewall no compensa una red completamente plana. Una VPN no resuelve malas relaciones de confianza. Un sistema de monitoreo no puede detectar bien si no se sabe cuál es el tráfico normal.
Por eso este tema funciona como puente entre el marco general del tema 1 y los contenidos técnicos que siguen. Primero entendemos cómo está organizada la red; después veremos cómo proteger sus capas, protocolos, accesos y flujos.
La seguridad de una red comienza mucho antes de aplicar controles específicos. Comienza con la manera en que se estructura la conectividad, se separan los entornos y se definen los caminos por donde circulará el tráfico. Una arquitectura clara y segmentada reduce riesgo, simplifica la operación y hace más efectiva cualquier medida posterior.
En el próximo tema veremos el modelo OSI, la pila TCP/IP y los puntos críticos de seguridad que aparecen en cada capa de comunicación.