¿Qué es la defensa en profundidad? Capas y ejemplos

La defensa en profundidad es la práctica de superponer varios controles de seguridad independientes para que, si uno falla, otros sigan interponiéndose entre el atacante y lo que proteges. Es una de las ideas más duraderas de la seguridad precisamente porque da por hecho que los controles fallan, y lo planifica.

Para ver qué capas tienes ya y dónde están los huecos, prueba el mapeador de defensa en profundidad.

De dónde viene la idea

El concepto se toma de la estrategia militar y del castillo que evoca. Un castillo no dependía de una sola muralla. El atacante se enfrentaba a un foso, después a una muralla exterior, después a una puerta con rastrillo y después a una torre del homenaje interior, con defensores en cada fase. La clave no era que alguna barrera fuera inexpugnable, sino que vencerlas todas una tras otra era lento, costoso y exponía al atacante en cada fase. La seguridad de la información adopta la misma lógica: muchas capas superpuestas y nada en lo que lo apuestes todo.

Las capas

Un modelo típico de defensa en profundidad apila controles de fuera hacia dentro y a lo largo de todo el entorno:

• Perímetro. Firewalls y el borde de la red, que filtran lo que se permite que llegue hasta ti.
• Red. Segmentación para que una brecha en una zona no llegue a otra, además de monitorización y detección de intrusos en el tráfico interno. Bloquear los puertos SMB 445 y 139 en el perímetro y entre zonas es el ejemplo de manual.
• Endpoint. Parches, bastionado y detección y respuesta en endpoints en los portátiles y servidores donde de verdad aterrizan los ataques.
• Aplicación. Codificación segura, validación de entradas, comprobaciones de autenticación y firewalls de aplicaciones web que protegen el propio software.
• Datos. Cifrado en reposo y en tránsito, controles de acceso y copias de seguridad probadas, para que los datos estén protegidos aunque los sistemas que los rodean no lo estén.
• Identidad. Autenticación fuerte, multifactor y mínimo privilegio, para que una credencial robada abra el menor número de puertas posible.
• Física. Instalaciones cerradas con llave y acceso controlado a los racks y los dispositivos, porque el acceso físico vence a la mayoría de los controles lógicos.
• Personas. Concienciación en seguridad y resistencia al phishing, porque las personas son una superficie de control a la que los atacantes apuntan directamente.

La lista exacta importa menos que el principio: la garantía se reparte entre muchas capas independientes, de modo que el hueco de una lo cubren las demás.

Capas de la defensa en profundidad por tipo de control

Las capas de la defensa en profundidad también se describen a menudo por tipo de control: controles administrativos, técnicos y físicos, cada uno con funciones preventivas, detectivas o correctivas.

• Controles administrativos: políticas, estándares y procedimientos, formación de concienciación en seguridad, comprobación de antecedentes, revisiones de accesos y planes de respuesta a incidentes.
• Controles técnicos (lógicos): firewalls, segmentación de red, autenticación multifactor, cifrado, detección y respuesta en endpoints, registro de logs y detección de intrusos.
• Controles físicos: cerraduras, tarjetas de acceso, vigilantes, CCTV y protecciones ambientales para las instalaciones y el hardware.

Mira también los mismos controles por función. Los controles preventivos detienen un ataque (MFA, parches, segmentación). Los detectivos lo advierten (logs, IDS, alertas de EDR). Los correctivos contienen el daño y permiten recuperarse (respuesta a incidentes, restauración desde copias de seguridad probadas). Un buen diseño cubre cada activo importante con las tres funciones, para que una prevención fallida aún se tope con la detección y la recuperación. Es el mismo reparto que describen las funciones del NIST CSF.

Por qué un solo control nunca basta

Todo control tiene puntos ciegos, y todo control acaba fallando o siendo eludido. Un firewall no hace nada contra un correo de phishing convincente. La autenticación multifactor no salva una aplicación con un fallo de inyección. El cifrado es irrelevante para un atacante que ya tiene un token de sesión válido. Si toda tu defensa descansa en uno de ellos, el día que lo vencen es el día en que el atacante llega hasta el final: un punto único de fallo de manual.

Superponer capas cambia la economía del ataque. Para llegar al activo, el atacante tiene que vencer ahora varios tipos distintos de control uno tras otro: eludir el perímetro, moverse por una red segmentada, comprometer un endpoint bastionado, superar las comprobaciones de la aplicación y aun así encontrarse con los datos cifrados y la identidad protegida. Cada capa contra la que lucha le encarece el ataque, aumenta la probabilidad de que lo descubran y le da tiempo a tu equipo para detectar y responder. Averiguar qué capas tendría que cruzar un atacante para un activo concreto es justo lo que hace explícito un modelo de amenazas.

Cómo encaja con zero trust y el NIST CSF

A veces se presenta la defensa en profundidad como lo contrario de zero trust, pero es un malentendido. Las interpretaciones antiguas suponían un interior de confianza detrás de una coraza dura: una vez dentro del perímetro, se confiaba en ti. Zero trust mantiene todas las capas y simplemente abandona esa premisa: trata la red como ya hostil y verifica la identidad, el dispositivo y el contexto en cada capa y en cada solicitud. Zero trust es defensa en profundidad, implementada sin confianza implícita.

También encaja limpiamente con el NIST Cybersecurity Framework, cuyas funciones (Identify, Protect, Detect, Respond, Recover) reparten deliberadamente la garantía a lo largo del ciclo de vida. Un programa por capas no lo vuelca todo en la prevención. Invierte en conocer sus activos (Identify), detener ataques (Protect), atrapar lo que se cuela (Detect), gestionar los incidentes (Respond) y restaurar el servicio (Recover). Así, los fallos de prevención los atrapa la detección y los contiene la respuesta, en lugar de convertirse en una brecha completa.

Un ejemplo práctico

Imagina un atacante que roba por phishing la contraseña de un empleado. Por sí solo, en un modelo de un solo control, eso es el fin de la partida. En uno por capas: una MFA resistente al phishing impide que la contraseña robada funcione; si de algún modo pasa, la segmentación de red limita adónde puede ir la cuenta; la detección en el endpoint señala el proceso inusual que ejecuta el atacante; el mínimo privilegio hace que la cuenta comprometida no pueda llegar a la base de datos sensible; e incluso si pudiera, los datos están cifrados y el acceso queda registrado, así que la anomalía se detecta y la brecha se contiene. Cada capa atrapa lo que se le escapó a la anterior. Esa es toda la propuesta de valor de la defensa en profundidad.

La prueba práctica

Cuando revises un diseño, hazte una pregunta sobre cada control: ¿qué nos sigue protegiendo el día que este falle? Si la respuesta honesta es «nada», has encontrado un punto único de fallo y la siguiente capa que construir.

Preguntas frecuentes

¿Qué es la defensa en profundidad? Una estrategia de superponer varios controles de seguridad independientes y solapados para que ningún fallo aislado exponga lo que proteges. Viene de las defensas militares y de los castillos.

¿Cuáles son las capas? Habitualmente el perímetro, la red, el endpoint, la aplicación, los datos, la identidad, la seguridad física y las personas: la garantía repartida entre muchos controles independientes.

¿Por qué un solo control nunca basta? Todo control tiene puntos ciegos y acaba fallando. Depender de uno crea un punto único de fallo; superponer capas obliga al atacante a vencer varias protecciones una tras otra.

¿Qué relación tiene con zero trust? Zero trust es defensa en profundidad sin confianza implícita: las mismas capas, aplicadas de forma continua y verificadas en cada solicitud y no solo en el perímetro.

¿Cómo encaja con el NIST CSF? Reparte los controles entre Identify, Protect, Detect, Respond y Recover, de modo que los fallos de prevención los atrapa la detección y los contiene la respuesta.