Microsegmentación y perímetros definidos por software

En una red plana, una vez que un atacante obtiene acceso a un endpoint, puede comunicarse libremente con casi cualquier otro sistema. Esto permite un movimiento lateral rápido: la técnica que utilizan los atacantes para pasar de una estación de trabajo comprometida a servidores sensibles, controladores de dominio y almacenes de datos. La microsegmentación aborda directamente este problema al dividir la red en zonas pequeñas y aisladas.

La microsegmentación divide la red en segmentos detallados en los que las cargas de trabajo solo se comunican con pares autorizados explícitamente. A diferencia de las VLAN tradicionales, que segmentan de forma general, la microsegmentación aplica políticas en el nivel de la carga de trabajo o de la aplicación, a menudo hasta contenedores o máquinas virtuales individuales. El tráfico se deniega de forma predeterminada y solo se permiten explícitamente los flujos autorizados.

El tráfico de red fluye en dos direcciones. El tráfico norte-sur fluye entre los usuarios o Internet y los recursos internos (verticalmente). El tráfico este-oeste fluye entre las cargas de trabajo dentro del centro de datos (horizontalmente). Los firewalls tradicionales inspeccionan principalmente el tráfico norte-sur. La microsegmentación se centra en el tráfico este-oeste, la vía que utilizan los atacantes para desplazarse entre sistemas internos después del compromiso inicial.

Software-Defined Networking (SDN) separa el plano de control (las decisiones sobre el destino del tráfico) del plano de datos (el reenvío real de los paquetes). Un controlador SDN centralizado programa los dispositivos de red con reglas de reenvío, lo que permite implementar la microsegmentación mediante software sin reconfigurar los switches físicos. Esto hace que los cambios de políticas sean rápidos, coherentes y auditables en entornos grandes.

Un Software-Defined Perimeter (SDP) hace que los recursos de red sean invisibles de forma predeterminada: no responden a intentos de conexión no autenticados. Primero, los usuarios se autentican ante un controlador SDP, que comprueba la identidad y el estado del dispositivo; después, crea dinámicamente un túnel cifrado únicamente hacia los recursos específicos a los que están autorizados a acceder. Esto elimina el reconocimiento a nivel de red y las vías de movimiento lateral.

Zero Trust Network Access (ZTNA) es la categoría de productos que implementa los conceptos de SDP. A diferencia de una VPN, que concede un acceso amplio a la red, ZTNA concede acceso únicamente a aplicaciones específicas. El usuario se conecta a un broker ZTNA que autentica la identidad y el dispositivo y, a continuación, actúa como proxy para las conexiones a la aplicación de destino. Entre las implementaciones más conocidas se incluyen Cloudflare Access, Zscaler Private Access y Palo Alto Prisma Access.

Las plataformas en la nube ofrecen herramientas nativas de microsegmentación. AWS Security Groups permite definir reglas precisas de entrada y salida para cada instancia de EC2. Azure NSGs (Network Security Groups) se aplican en el nivel de la subred o de la NIC. Google VPC Firewall Rules puede limitarse mediante etiquetas. Todas funcionan con un modelo de denegación implícita: solo fluye el tráfico permitido explícitamente, lo que las convierte en componentes básicos naturales para la microsegmentación en entornos de nube.

En entornos en contenedores, las mallas de servicios, como Istio y Linkerd, implementan la microsegmentación mediante TLS mutuo (mTLS) entre pods. Cada llamada entre servicios se autentica y se cifra, y las políticas de autorización definen explícitamente qué servicios pueden comunicarse. Esto extiende los controles este-oeste de Zero Trust hasta los microservicios individuales de los clústeres de Kubernetes.

La segmentación de red tradicional utiliza VLAN, DMZ y subredes para crear zonas de seguridad amplias. La microsegmentación es mucho más granular: las políticas se aplican en el nivel de la carga de trabajo o del proceso, no en el nivel de la subred. Una VLAN puede contener 50 servidores con autorización para comunicarse entre sí; la microsegmentación garantiza que solo servidores específicos de esa VLAN puedan acceder a puertos específicos de pares específicos, reduciendo drásticamente las vías de movimiento lateral.

Una microsegmentación eficaz requiere una visibilidad completa de los flujos de red existentes antes de aplicar las políticas. Las herramientas de descubrimiento trazan los patrones de comunicación reales entre las cargas de trabajo. Un enfoque habitual consiste en implementar primero el modo de supervisión: observar todo el tráfico y generar políticas propuestas; después, cambiar al modo de aplicación para denegar los flujos no autorizados. Esto evita bloquear accidentalmente el tráfico legítimo durante la implementación.

El principal beneficio de seguridad de la microsegmentación es reducir el alcance de los daños. Si un atacante compromete una estación de trabajo de la VLAN de ventas, las políticas de microsegmentación impiden que esa estación se comunique con la base de datos financiera, el sistema de RR. HH. o los controladores de dominio. El atacante permanece aislado en el segmento en el que consiguió entrar, lo que facilita contener y remediar el incidente antes de que se produzcan daños generalizados.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que la microsegmentación divide las redes en el nivel de las cargas de trabajo para limitar el movimiento lateral, que los perímetros definidos por software hacen que los recursos sean invisibles hasta verificar la identidad y que ZTNA reemplaza las VPN al conceder acceso en el nivel de la aplicación en lugar del nivel de la red. A continuación, exploraremos cómo la identidad se convierte en el nuevo perímetro mediante las políticas de acceso condicional.