Tema 2
Una defensa sólida no se basa en una única barrera. Combina capas de protección, limita lo innecesario, verifica accesos y prepara a la organización para detectar, contener y corregir incidentes.
En el tema anterior vimos que firewalls, IDS/IPS y hardening cumplen funciones distintas pero complementarias. Ahora vamos a estudiar los principios que permiten usarlos con criterio. Antes de escribir reglas, activar firmas o endurecer servidores, necesitamos saber qué queremos proteger, de qué lo queremos proteger y qué nivel de exposición es aceptable.
Dos ideas son centrales: defensa en profundidad y reducción de superficie de ataque. La primera busca que la seguridad tenga varias capas. La segunda busca eliminar o limitar los puntos por los que un atacante podría ingresar, moverse o causar daño.
Estos principios no dependen de una marca, producto o tecnología específica. Sirven para diseñar redes, proteger servidores, publicar aplicaciones, administrar accesos, monitorear eventos y responder incidentes.
La defensa en profundidad consiste en aplicar varias capas de controles para que un fallo individual no deje toda la infraestructura expuesta. Si una capa no previene, otra puede detectar. Si una capa no detecta, otra puede limitar el impacto. Si una capa no limita, otra puede ayudar a recuperar.
Un ejemplo simple: una aplicación web pública puede estar protegida por un firewall, un WAF, reglas de hardening en el servidor, autenticación fuerte, monitoreo de logs, respaldos y un proceso de respuesta. Cada capa cumple una función diferente.
Una defensa basada en una única barrera es frágil. Si esa barrera está mal configurada, queda desactualizada o no cubre un tipo de ataque, el resto del entorno queda demasiado expuesto.
Por ejemplo, un firewall perimetral puede bloquear conexiones externas no autorizadas, pero no impide por sí solo que un usuario interno ejecute malware, que una cuenta legítima sea robada o que un servidor tenga una vulnerabilidad explotable desde una red permitida.
Por eso las capas defensivas deben cubrir distintos escenarios:
Las capas pueden variar según el entorno, pero una estrategia defensiva completa suele incluir controles en varios niveles.
| Capa | Controles comunes | Qué protege |
|---|---|---|
| Perímetro | Firewall, WAF, protección DDoS, VPN | Entrada y salida de la organización hacia redes no confiables. |
| Red interna | Segmentación, ACL, firewalls internos, monitoreo | Comunicación entre usuarios, servidores, sedes y zonas. |
| Endpoint | Hardening, EDR, parches, control de aplicaciones | Estaciones de trabajo, notebooks y dispositivos de usuarios. |
| Servidor | Configuración segura, mínimos servicios, logs, permisos | Sistemas que ejecutan aplicaciones, bases de datos o servicios críticos. |
| Identidad | MFA, roles, mínimo privilegio, revisión de cuentas | Usuarios, administradores, cuentas de servicio y accesos privilegiados. |
| Monitoreo | IDS/IPS, SIEM, alertas, NetFlow, auditoría | Visibilidad sobre actividad sospechosa y eventos relevantes. |
| Recuperación | Backups, planes de respuesta, documentación, pruebas | Continuidad operativa después de errores, ataques o fallas. |
La superficie de ataque es el conjunto de puntos que podrían ser usados para intentar comprometer un sistema, una red o una organización. Incluye servicios publicados, puertos abiertos, interfaces administrativas, usuarios con privilegios, aplicaciones, APIs, dispositivos, proveedores conectados y configuraciones débiles.
Cuanto más grande y desordenada es la superficie de ataque, más difícil es defenderla. No se puede monitorear bien lo que no se conoce, y no se puede proteger bien lo que crece sin control.
La reducción de superficie de ataque busca responder una pregunta práctica: qué podemos eliminar, cerrar, limitar, aislar o monitorear mejor.
La superficie de ataque no se limita a internet. Muchas exposiciones peligrosas se encuentran dentro de la red interna o en configuraciones administrativas.
| Elemento expuesto | Riesgo | Reducción recomendada |
|---|---|---|
| Puerto de administración abierto | Acceso no autorizado o fuerza bruta. | Permitir solo desde red administrativa, usar MFA y registrar accesos. |
| Servicio innecesario activo | Vulnerabilidad explotable sin necesidad operativa. | Deshabilitarlo y documentar la configuración base. |
| Regla de firewall demasiado amplia | Comunicación no controlada entre zonas. | Restringir origen, destino, puerto y justificación. |
| Cuenta con privilegios excesivos | Mayor impacto ante robo de credenciales. | Aplicar mínimo privilegio y revisar permisos periódicamente. |
| Servidor sin parches | Explotación de vulnerabilidades conocidas. | Actualizar, priorizar por riesgo y compensar con controles temporales. |
| Red plana | Movimiento lateral fácil después de un compromiso. | Segmentar por función, criticidad y nivel de confianza. |
El mínimo privilegio indica que cada usuario, equipo, aplicación o servicio debe tener únicamente los permisos necesarios para cumplir su función. Nada más.
Este principio se aplica a muchas áreas:
Un criterio defensivo muy usado es denegar por defecto. Esto significa que, si no existe una regla o autorización explícita, el acceso no se permite.
Este enfoque es más seguro que permitir todo y bloquear algunas excepciones, porque obliga a justificar cada comunicación. En firewalls, por ejemplo, suele expresarse como una política final de bloqueo: todo tráfico que no coincida con reglas permitidas se descarta.
Para aplicarlo bien se necesita conocer el entorno. Si se bloquea sin entender dependencias, se pueden interrumpir servicios legítimos. Por eso el proceso correcto es inventariar, analizar, permitir lo necesario, registrar y revisar.
La segmentación divide la infraestructura en zonas o redes con diferentes niveles de confianza, función o criticidad. Su objetivo es evitar que todo pueda comunicarse con todo.
Una red sin segmentación facilita el movimiento lateral. Si un atacante compromete una estación de trabajo, podría intentar alcanzar servidores, bases de datos, equipos de administración o sistemas críticos sin demasiadas barreras.
Ejemplos de segmentos habituales:
La segmentación define separaciones. Los firewalls y ACL hacen cumplir reglas entre esas separaciones. Sin controles de filtrado, una segmentación puede quedar solo como una separación lógica débil.
Por ejemplo, separar usuarios y servidores en VLAN distintas es útil, pero la seguridad real depende de qué tráfico se permite entre esas VLAN. Si todas las comunicaciones siguen permitidas, la segmentación aporta poco desde el punto de vista defensivo.
Una buena política entre segmentos debería indicar:
Reducir exposición no significa apagar todo. También significa aumentar visibilidad sobre lo que queda funcionando. Una organización necesita saber qué equipos existen, qué servicios publican, qué reglas permiten tráfico, qué alertas se generan y qué eventos son importantes.
Los IDS/IPS, logs de firewall, registros de sistema, NetFlow, EDR y SIEM ayudan a construir esa visibilidad. Sin registros, un incidente puede pasar desapercibido o volverse muy difícil de investigar.
La visibilidad debe responder preguntas concretas:
El hardening es una de las formas más directas de reducir superficie de ataque. Consiste en quitar lo innecesario y configurar de forma segura lo que sí se necesita.
En un servidor, el hardening puede incluir cierre de puertos, eliminación de paquetes no usados, actualización de software, permisos estrictos, configuración segura de servicios y auditoría. En un firewall, puede incluir administración solo por interfaces internas, cuentas individuales, backups de configuración y deshabilitación de servicios administrativos inseguros.
El objetivo no es hacer que el sistema sea incómodo de operar, sino que opere con menos puntos débiles.
A veces no se puede corregir una debilidad de inmediato. Puede haber una aplicación antigua, un sistema que no admite actualización rápida o una dependencia de negocio que obliga a mantener un servicio temporalmente expuesto.
En esos casos se usan controles compensatorios: medidas adicionales que reducen el riesgo mientras se implementa la solución definitiva.
Supongamos que una empresa necesita publicar una aplicación web para clientes. Un enfoque débil sería abrir varios puertos hacia el servidor y confiar en que la aplicación está bien programada. Un enfoque defensivo por capas sería distinto.
Este ejemplo muestra cómo la defensa en profundidad y la reducción de superficie se aplican al mismo tiempo.
Para comenzar a aplicar estos principios, una organización puede revisar esta lista básica:
Los principios de defensa en profundidad y reducción de superficie de ataque son la base para tomar buenas decisiones defensivas. Nos ayudan a diseñar controles que no solo bloquean, sino que también ordenan, limitan, detectan y permiten responder.
En el próximo tema estudiaremos arquitecturas defensivas: perímetro, red interna, DMZ, nube y entornos híbridos. Allí veremos cómo estos principios se convierten en diseños concretos de red e infraestructura.