Segmentación de red: menos alcance para el atacante

En muchas oficinas todo vive en la misma red: los portátiles, los servidores, las impresoras, las cámaras y la wifi de invitados. Funciona, y precisamente por eso nadie lo cuestiona. El problema aparece el día que un equipo se infecta, porque desde ahí se puede alcanzar todo lo demás.

Una oficina sin puertas interiores

Piensa en un edificio con una buena cerradura en la entrada y ninguna puerta dentro. Quien consigue entrar, por la puerta principal o por una ventana mal cerrada, puede pasear por todas las salas: el almacén, la sala de servidores, los despachos de dirección. Así es una red plana.

Segmentar consiste en poner esas puertas interiores. No para complicar la vida a quien trabaja, que sigue llegando a lo que necesita, sino para que un intruso no tenga el edificio entero a su alcance desde el primer minuto.

Cinco zonas que tienen sentido en casi cualquier pyme

Cada empresa es distinta, pero hay una división que encaja en la mayoría de las oficinas:

• Puestos de trabajo: los ordenadores de la plantilla, que son también los que más correos abren y más webs visitan.
• Servidores: accesibles solo para lo que de verdad necesitan los usuarios, ni un puerto más.
• Invitados: salida a internet y nada más. Quien viene a una reunión no necesita ver la impresora de contabilidad.
• Dispositivos: impresoras, cámaras, control de accesos o maquinaria conectada. Suelen ser los equipos menos actualizados de la casa y, por tanto, los más fáciles de aprovechar.
• Administración: la red desde la que se gestionan servidores y electrónica, separada de todo lo demás para que las llaves maestras no estén al alcance de cualquier equipo.

En una empresa con planta de producción o con varias sedes pueden aparecer más zonas, pero este esquema es un buen punto de partida.

El firewall, el portero entre zonas

Separar no sirve de mucho si luego todo puede hablar con todo. El valor real está en las reglas que el firewall (el equipo que decide qué tráfico pasa y cuál no) aplica entre zonas. Algunos ejemplos de cómo se traduce en la práctica:

• Los puestos llegan al servidor de archivos y al ERP, pero no a la red de cámaras.
• Las impresoras reciben trabajos de impresión, pero no inician conexiones hacia los servidores.
• La red de invitados ni siquiera sabe que existen las demás.
• Solo la zona de administración puede entrar a configurar servidores y electrónica.

La regla de oro es sencilla: cada permiso responde a una necesidad real que alguien puede explicar. Si nadie sabe por qué existe una regla, probablemente sobra.

Una red segura no es la que impide entrar, sino la que impide avanzar.

Primero mirar, después mover

El error clásico es diseñar las zonas en un papel y aplicarlas un lunes por la mañana. Lo sensato es empezar observando qué tráfico existe de verdad, porque siempre aparecen sorpresas: un programa que habla con un servidor que nadie recordaba, un equipo de producción que necesita algo muy concreto, una aplicación antigua que imprime de una forma peculiar.

Con ese mapa en la mano, el proceso suele seguir este orden:

1. Crear las zonas y las reglas, al principio en modo permisivo y registrando todo.
2. Mover los dispositivos por grupos, empezando por los menos críticos, como la wifi de invitados o las cámaras.
3. Revisar qué se habría bloqueado y ajustar lo necesario.
4. Endurecer las reglas poco a poco, vigilando cada paso.

Lo que cambia el día que algo sale mal

Imagina que un portátil de comercial se infecta al abrir un adjunto. En una red plana, ese equipo puede intentar llegar a los servidores, a las copias de seguridad y a cualquier otro ordenador. En una red segmentada, se encuentra con puertas cerradas: puede ver lo que su zona tiene permitido y poco más.

Hay una segunda ventaja menos evidente. Cualquier intento de saltar de una zona a otra sin permiso queda registrado en el firewall. Lo que en una red plana pasaría desapercibido, aquí deja rastro, y eso permite detectar un problema antes de que crezca.

Un efecto secundario muy útil: orden

Segmentar obliga a saber qué hay en la red, dónde está y con qué habla. Al terminar, la empresa tiene algo que muchas no tienen: una red documentada. Eso facilita cualquier cambio posterior, desde añadir una sede hasta sustituir un servidor, y reduce la dependencia de que una sola persona recuerde cómo estaba todo montado.

En OLATIC diseñamos las zonas a partir de cómo trabaja tu empresa, no de una plantilla genérica, y las implantamos por fases con el firewall como punto de control. Observamos primero, movemos después y dejamos la red documentada, sin cortes en la actividad.