Fundamentos de seguridad de redes: una guía gratuita

La «seguridad de redes» abarca mucho terreno, y la mayoría de las explicaciones gratuitas o se quedan demasiado en lo abstracto para ser útiles o se lanzan directamente a la gama de productos de un fabricante concreto. Esta no es ninguna de las dos: es una introducción independiente a los fundamentos que de verdad necesita un profesional de nivel principiante a intermedio: cómo se divide una red, cómo deciden los firewalls qué dejan pasar, cómo se protege el acceso remoto, cómo se detectan los ataques y dónde se rompe en silencio todo el modelo en los entornos reales. Si estudias para una certificación, empiezas en un puesto de seguridad o simplemente quieres entender qué quiere decir tu equipo de redes cuando habla de «segmentación» y «zero trust», está pensada para que lo domines.

Si aprendes mejor haciendo, el laboratorio de firewall de PlayCISO te permite construir y probar un conjunto de reglas mientras lees.

Empieza por el modelo mental, no por los productos

Cada control de los que siguen responde a una de tres preguntas: quién o qué puede hablar con quién, si podemos saber cuándo está hablando algo que no debería y si algo malo entra, hasta dónde puede llegar. La segmentación y los firewalls responden sobre todo a la primera y a la tercera. IDS/IPS y el monitoreo de DNS responden a la segunda. Las VPN y el acceso a la red zero trust responden a la primera para las personas y dispositivos que están fuera del edificio. Ten presente ese marco: es fácil memorizar una lista de tecnologías y perder de vista qué problema resuelve realmente cada una.

Segmentación de red: la base sobre la que se apoya todo lo demás

Una red plana, en la que cualquier dispositivo puede llegar a cualquier otro, es el motivo más común por el que un incidente pequeño se convierte en uno grande. La segmentación divide una red en zonas según su función, su sensibilidad o su nivel de confianza, e impone reglas sobre qué tráfico puede cruzar los límites entre zonas. Un portátil comprometido en la wifi de invitados nunca debería poder llegar a una base de datos de nóminas, aunque ambos estén conectados a «la red».

VLAN y subredes

El enfoque clásico: las VLAN (LAN virtuales) agrupan los puertos de un switch en dominios de difusión lógicos, y cada VLAN suele corresponderse con su propia subred IP (planifica los rangos de direcciones con la calculadora de subredes / CIDR, prueba gratis con una cuenta gratuita (3 usos de herramientas Pro en total)). El tráfico entre VLAN tiene que pasar por un router o un firewall, que es el punto de control. Las divisiones habituales son las estaciones de trabajo de los usuarios, los servidores, la wifi de invitados, los dispositivos IoT/OT y una red de gestión para la propia infraestructura; esta última se olvida con frecuencia y con frecuencia es la primera que encuentra un atacante.

Microsegmentación

Las VLAN segmentan en la capa de red, lo que es poco granular: todo lo que hay dentro de una VLAN sigue confiando en todo lo demás. La microsegmentación lleva el control hasta cada carga de trabajo o host, normalmente con políticas definidas por software en lugar de configuración física de switches, de modo que incluso a dos servidores de la misma subred se les puede negar el acceso directo entre sí salvo que se permita de forma explícita. Es más exigente de construir y mantener, pero es lo que de verdad detiene el movimiento lateral una vez que un atacante tiene un punto de apoyo, que es precisamente la fase en la que la mayoría de las brechas reales pasan más tiempo.

El hábito de denegar por defecto

Sea cual sea la granularidad, el principio duradero es denegar por defecto: el tráfico se bloquea salvo que una regla lo permita de forma explícita, y no al revés. Una segmentación que permite por defecto parece segmentación en un diagrama y en la práctica no hace casi nada, porque «permitirlo todo y bloquear lo que se nos ha ocurrido» siempre va por detrás de lo que de verdad hay que bloquear.

Firewalls: con estado frente a nueva generación

El trabajo de un firewall es imponer la política de segmentación anterior y decidir, conexión a conexión, qué puede cruzar un límite.

Firewalls con estado

Un firewall con estado filtra según la IP de origen y destino, el puerto y el protocolo, y lleva el seguimiento del estado de la conexión para que la respuesta a una petición saliente permitida pueda volver a entrar automáticamente. Es un avance real respecto al antiguo filtrado de paquetes, pero no tiene ni idea de qué hay dentro del tráfico: puede decirte que el puerto 443 está abierto, no qué está pasando de verdad por esa conexión HTTPS.

Firewalls de nueva generación (NGFW)

Un firewall de nueva generación añade conocimiento de las aplicaciones (puede distinguir una aplicación para compartir archivos de una videollamada aunque las dos usen el mismo puerto), firmas de prevención de intrusiones integradas y, a menudo, inspección de TLS para mirar dentro del tráfico cifrado, además de conocimiento de la identidad para que las reglas puedan escribirse por usuario o grupo en lugar de por IP. El precio es la complejidad y el coste en rendimiento; en particular, la inspección de TLS debe desplegarse de forma deliberada, con reglas claras sobre qué se descifra y por qué, dadas las implicaciones de privacidad y confianza de interceptar tráfico cifrado.

Los firewalls de aplicaciones web son otra cosa

Un WAF se sitúa delante de una aplicación web concreta y filtra el tráfico HTTP/HTTPS en busca de ataques de la capa de aplicación, como la inyección SQL y el cross-site scripting. No sustituye al firewall de red: es una capa especializada que opera un escalón más arriba en la pila y protege la aplicación, no el camino de red hasta ella.

VPN y acceso remoto seguro

El acceso remoto tiene que resolver dos problemas a la vez: cifrar el tráfico por un camino no fiable (internet) y demostrar que el dispositivo y el usuario que se conectan son quienes dicen ser.

VPN entre sedes frente a VPN de acceso remoto

Una VPN entre sedes une dos redes (por ejemplo, una oficina y la sede central) mediante un túnel cifrado, para que los dispositivos de ambos lados puedan comunicarse como si estuvieran en una sola red. Una VPN de acceso remoto hace lo mismo con el portátil de un usuario concreto, normalmente terminando en un concentrador VPN o un firewall y colocando después ese portátil dentro de la red interna (o junto a ella).

Dónde se rompe el modelo tradicional de VPN

La debilidad central de la VPN de acceso remoto es justo lo que la hace cómoda: te autenticas una vez y se te trata como «de dentro», a menudo con un alcance amplio sobre los recursos internos, independientemente de lo que de verdad necesites para la tarea. Si ese portátil se compromete, o si roban las credenciales con phishing, el atacante hereda ese mismo alcance amplio. Ese es el hueco que el acceso a la red zero trust nació para cerrar.

Acceso a la red zero trust (ZTNA)

Zero trust parte de un supuesto contundente: no concedas confianza por la ubicación en la red. Estar «dentro de la VPN» o «en la LAN corporativa» no demuestra nada sobre si una petición debe permitirse. En su lugar, ZTNA evalúa la identidad, el estado del dispositivo y el contexto (¿es el usuario correcto?, ¿el dispositivo está gestionado y sano?, ¿la petición coincide con el comportamiento esperado?) en cada petición a cada aplicación, y solo concede acceso a esa aplicación concreta, nunca a la red en su conjunto. No hay ningún alcance interno amplio que heredar si se compromete una sesión, porque nunca se concedió.

No es un producto único, sino una arquitectura, y las organizaciones llegan a ella por etapas, a menudo empezando por sus aplicaciones de mayor riesgo y ampliando desde ahí. Si quieres una forma estructurada de ver en qué punto de ese camino está un entorno real, la evaluación de madurez Zero Trust de PlayCISO puntúa identidad, dispositivos, redes, aplicaciones y datos según el modelo de madurez publicado por CISA y sitúa cada pilar entre Traditional y Optimal: útil tanto para estudiar por tu cuenta como para comprobar la hoja de ruta de tu propia organización.

Detección y prevención de intrusiones (IDS/IPS)

La segmentación y los firewalls definen lo que está permitido. IDS/IPS existe para el tráfico que técnicamente cumple las reglas pero no merece confianza de todos modos: un inicio de sesión desde una ubicación inusual, un patrón de exploit conocido, un patrón de beaconing que parece malware contactando con un servidor de mando y control.

Detección frente a prevención

Un IDS es pasivo: inspecciona el tráfico (a menudo mediante un puerto espejo o un tap) y lanza alertas, pero no toca el tráfico. Un IPS está en línea, en el propio camino del tráfico, y puede descartar paquetes o reiniciar conexiones automáticamente cuando coincide con una firma o una regla de comportamiento. La mayoría de los despliegues en producción usan hoy funciones de IPS, pero el ajuste importa muchísimo: un IPS demasiado agresivo rompe tráfico legítimo, y uno mal ajustado o pasa por alto ataques reales o ahoga a los analistas en falsos positivos hasta que se ignoran las alertas.

Las firmas no lo son todo

La detección basada en firmas captura con fiabilidad patrones de ataque conocidos, pero no dice nada de los nuevos. Por eso la mayoría de los entornos la combinan con detección de anomalías y de comportamiento: establecer cómo es el tráfico normal de un host o usuario y señalar las desviaciones. Ningún enfoque basta por sí solo; la habilidad práctica es aprender a leer qué te está diciendo realmente una alerta, que es justo el tipo de reconocimiento de patrones difícil de desarrollar solo leyendo. El entrenador de triaje de logs del SOC gratuito de PlayCISO ofrece un flujo de logs sintéticos de firewall, identidad, EDR, correo y DNS y explica, campo a campo, por qué un analista señalaría o no cada uno: una forma de bajo riesgo de desarrollar ese instinto antes de hacerlo con tráfico de producción.

Seguridad del DNS

El DNS es fácil de pasar por alto precisamente porque es tan básico: casi todas las conexiones empiezan con una consulta DNS, en su forma clásica no está cifrado por defecto y rara vez se vigila tan de cerca como los logs del firewall o de los endpoints. Esa combinación lo convierte en un canal favorito de los atacantes: el malware usa el DNS para el beaconing de mando y control, la exfiltración puede sacarse codificada en consultas DNS y las campañas de phishing dependen de dominios que un filtro en la capa DNS podría detectar antes de que un usuario haga clic.

La seguridad práctica del DNS tiene unas cuantas piezas habituales: un filtrado o resolución segura que bloquea los dominios maliciosos conocidos antes de que se intente siquiera la conexión, registrar y monitorizar las consultas DNS igual que cualquier otro tráfico, y pasar a DNS cifrado (DNS sobre HTTPS o DNS sobre TLS) para que las consultas en tránsito no se puedan observar ni manipular fácilmente, asegurándote de que ese cifrado no deje ciego por accidente a tu propio monitoreo al esquivarlo. DNSSEC es un control relacionado pero distinto: autentica las respuestas DNS para evitar la suplantación y el envenenamiento de caché, en lugar de proteger la confidencialidad.

Dónde se rompe de verdad el modelo: configuraciones incorrectas habituales

La mayoría de los fallos de seguridad de redes no son exóticos: son un puñado de reincidentes:

• Reglas que permiten por defecto, heredadas de la configuración inicial. Una regla «temporal» de cualquiera a cualquiera que nunca se elimina anula todas las capas construidas encima.
• Redes de gestión planas. La segmentación se diseña con cuidado para el tráfico de usuarios y servidores, y luego los switches, firewalls e hipervisores que lo gestionan todo están en una única red compartida y poco vigilada.
• Accesos VPN o ZTNA que sobreviven a su propósito. Los accesos de contratistas y antiguos empleados que no se retiran a tiempo equivalen en la práctica a una puerta trasera permanente. En realidad es un problema de identidad disfrazado de problema de red: un acceso con demasiados privilegios y sin vigilar es el mismo riesgo de fondo tanto si detrás hay una persona como una cuenta de servicio o un agente de IA. La calculadora de riesgo de identidades de PlayCISO (Pro) puntúa exactamente esa cuestión del radio de impacto en identidades humanas, de servicio y de IA.
• Tráfico interno sin cifrar que se da por «seguro porque es interno». La segmentación limita el radio de impacto; no hace que el tráfico sea fiable por defecto, sobre todo cuando los modelos de microsegmentación y zero trust dejan de suponer que interno equivale a seguro.
• IDS/IPS desplegados y nunca ajustados. Una herramienta que genera miles de alertas que nadie revisa da la apariencia de monitoreo sin su sustancia.

Desarrollar el criterio, no solo el vocabulario

Conocer los términos anteriores es la línea de salida, no la meta. Reconocer una regla de firewall mal configurada, un patrón de DNS extraño o un inicio de sesión que no encaja con el comportamiento normal de un usuario es una habilidad que se construye viendo muchos ejemplos, no leyendo una definición una vez. Si quieres práctica estructurada más allá de esta guía, el centro de aprendizaje y el arcade de seguridad de PlayCISO reúnen ejercicios basados en escenarios y simulaciones, incluidas las herramientas de SOC y zero trust enlazadas arriba, pensados precisamente para ese tipo de repetición.