Seguridad de redes
La seguridad de redes protege las comunicaciones, los servicios conectados y la infraestructura que los transporta. Su objetivo no es únicamente bloquear tráfico. También debe permitir los flujos legítimos, limitar la exposición, detectar comportamiento anómalo y mantener la disponibilidad.
Superficies que deben conocerse
Sección titulada «Superficies que deben conocerse»- límites entre Internet, redes internas, cloud, sedes, terceros y acceso remoto
- activos, direcciones, rutas, servicios y dependencias
- planos de datos, control y administración
- identidades de usuarios, dispositivos y cargas de trabajo
- puntos de concentración como DNS, VPN, proxies, firewalls y gateways
- telemetría disponible y zonas sin visibilidad.
Una red plana o desconocida convierte un compromiso local en un problema sistémico. La segmentación, el mínimo privilegio de red y la administración separada reducen las rutas disponibles, pero solo funcionan si las reglas representan flujos reales y se revisan. Crear subredes organiza direcciones. La segmentación añade controles que restringen qué comunicaciones pueden atravesar sus límites.
Familias de controles
Sección titulada «Familias de controles»| Objetivo | Controles habituales | Pregunta de validación |
|---|---|---|
| Reducir exposición | Filtrado, segmentación, hardening y cierre de servicios | ¿Qué puede alcanzar cada origen y por qué? |
| Proteger comunicaciones | Protocolos seguros, VPN y gestión de claves | ¿Se autentican los extremos y se protege el tránsito? |
| Controlar acceso | Identidad, autorización y postura del dispositivo | ¿La decisión depende solo de estar “dentro” de la red? |
| Detectar | Logs, flujos, sistemas IDS/IPS y análisis de tráfico | ¿Se ve el comportamiento que importa con contexto suficiente? |
| Resistir fallos | Redundancia, capacidad y protección DDoS | ¿Qué dependencia única puede interrumpir el servicio? |
Un firewall es un control, no una frontera de confianza absoluta. El cifrado protege el contenido en tránsito, pero no corrige un endpoint comprometido ni autoriza por sí mismo el acceso.
Un Intrusion Detection System (IDS) genera señales ante actividad sospechosa. Un Intrusion Prevention System (IPS) puede además bloquearla en línea. Ambos dependen de una ubicación adecuada, reglas mantenidas y telemetría suficiente.
Qué comprueba un pentest de red
Sección titulada «Qué comprueba un pentest de red»Un pentest de red contrasta el diseño esperado con rutas que existen de verdad. Dentro del alcance autorizado, comprueba qué servicios están expuestos, desde dónde pueden alcanzarse, si la segmentación limita el movimiento, cómo se protegen las rutas de administración y qué actividad detectan los controles defensivos.
Esta página define qué se quiere proteger. Los detalles sobre TCP, los protocolos y las técnicas de enumeración pertenecen a sus referencias operativas, donde pueden explicarse sin duplicar aquí los mismos procedimientos.
Preguntas de repaso
Sección titulada «Preguntas de repaso»- ¿Qué diferencia existe entre segmentar y simplemente crear subredes?
- ¿Por qué cifrar tráfico no basta para confiar en un endpoint?
- ¿Qué tres planos de una infraestructura de red conviene separar?