Respuesta inmediata
Reacción inmediata 24/7 ante incidentes de ciberseguridad. Reduzca los daños con nuestro servicio de respuesta inmediat…
VerServicios defensivos
Firewall y detección de intrusiones
Hoy todo el mundo tiene un cortafuegos en la frontera con internet. La pregunta que decide el daño es otra: ¿hasta dónde puede llegar un atacante una vez que ya está dentro? En una red sin fronteras internas la respuesta es: a todas partes.
01
El punto de partida
El daño ocurre después de la intrusión
El acceso inicial es un incidente. En qué se convierte se decide en las horas siguientes: pasando de sistema en sistema por una red que creció con los años y en la que todo puede hablar con todo. A esa parte de un ataque se la llama «lateral movement», y es la parte que de verdad puede evitarse con un coste razonable.
Un puesto de trabajo comprometido en contabilidad debería ser técnicamente incapaz de alcanzar los controladores de la planta de producción. En la mayoría de las redes que vemos, no lo es. No por dejadez, sino porque nadie llegó a preguntarse qué conexiones hacen falta realmente.
El planteamiento
La segmentación es la palanca de verdad
Las zonas se recortan según la necesidad de protección, no según el organigrama y desde luego no según el cableado tal como fue creciendo. Producción, administración, servicios del edificio, red de invitados, accesos de administrador: cada una tiene su propia necesidad de protección y su propia lista de qué puede entrar y salir.
Nombrar las conexiones permitidas, no recopilar las prohibidas
Un conjunto de reglas que recopila prohibiciones crece con cada incidente y no se termina nunca. Un conjunto de reglas que nombra permisos cuesta al principio y después es manejable. Siempre trabajamos en esa dirección: la misma idea que hay detrás de Zero Trust, solo que sin la promesa de implantarlo en un fin de semana.
Primero observar, después bloquear
Ningún conjunto de reglas sale bien sobre el papel. Por eso las reglas nuevas funcionan primero en modo de observación: ¿qué se bloquearía y sería eso un problema? Solo cuando esa lista se mantiene vacía durante semanas se aplica algo. Cuesta tiempo y evita la llamada de que la producción se ha parado.
Las reglas caducan
Cada excepción que se hace en el día a día se queda ahí para siempre a menos que alguien la mantenga. A los tres años nadie sabe explicar para qué servía la regla 214, y tampoco se borra. Por eso un conjunto de reglas necesita, desde el primer día, un responsable con nombre, una fecha de revisión y una decisión sobre las reglas que ya nadie puede justificar.
- 01
Inventario
qué sistemas hablan hoy realmente entre sí, medido y no supuesto
- 02
Modelo de zonas
recortado por necesidad de protección, con responsabilidad nombrada por zona
- 03
Conjunto de reglas
nombrar las conexiones permitidas, cada una con su finalidad y su responsable
- 04
Transición
modo de observación antes de bloquear, zona a zona en lugar de todo a la vez
- 05
Detección
valoración de lo que ocurre dentro de las conexiones permitidas
- 06
Mantenimiento
una revisión fija, sin la cual cualquier conjunto de reglas se degrada en dos años
Lo que decide no es la intrusión, sino hasta dónde llega.
02
El complemento
Detección dentro de la red, no solo en su borde
Un cortafuegos decide si se establece una conexión. No dice nada de lo que ocurre dentro de una conexión permitida, y ahí es exactamente donde opera un atacante con credenciales. Un IDS/IPS interno cierra ese hueco, y el análisis NDR lo amplía a todo el tráfico de red: sondeos sistemáticos de rangos de direcciones internos, datos que salen a una hora inusual, conexiones con infraestructura registrada hace apenas unas horas.
La valoración la hace NeoI, para que no toda desviación acabe convertida en aviso: la misma lógica que en la detección de amenazas con IA, aplicada aquí al tráfico de red. El resultado se ve en Strider.
- semanas
- de modo de observación antes del primer bloqueo
- por zona
- un responsable con nombre, no un buzón compartido
- anual
- una revisión de todo el conjunto de reglas
- ISO 27001
- donde la segmentación es un requisito
03
El equipo
Cortafuegos por hardware, fabricado en Europa
Cuando quiera operar el equipo usted mismo, se lo suministramos como Valar: cuatro modelos escalonados, de la sucursal única a la red corporativa distribuida, con la misma lógica de gestión en todos ellos y una cadena de suministro documentada.
La solución se desarrolla en Europa, y esa es la parte que importa: el sistema operativo, el conjunto de reglas, la detección y la gestión salen de nuestra casa, y los datos residen en la UE. Los equipos en sí se fabrican según nuestras especificaciones; acreditamos la cadena de suministro, pero no afirmamos que sea europea.
Para los operadores de instalaciones críticas y para el sector público, esa distinción es justo lo que cuenta. Lo que un pliego le obliga a acreditar es el control sobre el software, las actualizaciones y los datos, y eso puede acreditarse antes de la adjudicación, no después.
Pero también trabajamos con lo que ya tenga. Cambiar de fabricante es una decisión propia, con sus propios costes, y no debe figurar como condición previa en un proyecto de segmentación.
Un cortafuegos no es un proyecto, es un estado.
04
La mirada honesta
Dónde le frenamos
El motivo más frecuente de que los proyectos de segmentación se atasquen es un primer paso demasiado grande. Un modelo de zonas para toda la organización, diseñado en un taller e implantado en una ventana de mantenimiento: eso fracasa sin falta, y después el tema queda quemado durante años.
Por eso empezamos por una zona, normalmente la de necesidad de protección más clara y menos dependencias. De ahí salen el método, las cifras y la experiencia para todas las demás. Si quiere el gran diseño, le diremos por qué lo desaconsejamos.
Y la segmentación no sustituye ni a las actualizaciones ni a la autenticación multifactor. Limita el daño; no impide la entrada. Donde falta lo básico, se corrige primero.
05
Después
Operación y evidencias
Un cortafuegos no es un proyecto, es un estado. Las reglas se quedan rancias, las aplicaciones cambian de comportamiento y las excepciones se quedan. Asumimos el mantenimiento continuo dentro del SOC cogestionado si así lo desea, o hacemos una entrega limpiamente documentada a su equipo, con modelo de zonas, justificación de las reglas y plan de revisión.
La segmentación es un requisito en ISO 27001 y un punto central de la implantación de NIS2. La documentamos de modo que aguante una auditoría, integrada en la implantación de un SGSI si necesita las evidencias en conjunto.
06
Para terminar
El primer paso no cuesta nada
Antes de hablar de zonas o de equipos hay una pregunta sencilla: ¿sabe qué sistemas de su red hablan hoy realmente entre sí? En la mayoría de las organizaciones la respuesta no está por escrito, y medirlo no cuesta gran cosa.
Por ahí empezamos. El resultado es suyo, siga o no con nosotros después.
FAQ
Preguntas frecuentes
Ya tenemos un cortafuegos. ¿No basta con eso?
Para la frontera con internet, sí. Pero no dice nada de lo que ocurre dentro de su red. Ahí es justo donde opera un atacante que ha entrado, y donde se produce el daño de verdad. Así que la pregunta no es si tiene un cortafuegos, sino cuántas fronteras internas hay detrás de él.
¿La segmentación no paraliza la operación?
Si la aplica en un fin de semana, sí. Por eso cada regla nueva funciona primero durante semanas en modo de observación y produce una lista de lo que se bloquearía. Todo lo que hay en esa lista se resuelve antes de que nada surta efecto. La vía es más lenta y, por eso mismo, la única que llega.
¿Cuánto dura un proyecto así?
La primera zona suele llevar varias semanas; toda la organización, bastante más según el tamaño. Lo recortamos a propósito para que cada zona aporte valor por sí sola en lugar de aportarlo solo el conjunto al final. Un calendario que promete todo en una ventana de mantenimiento no es realista.
¿Tenemos que comprar hardware nuevo para esto?
No. Con diferencia, la mayor parte del trabajo es el modelo de zonas y el conjunto de reglas, y ambos son independientes del fabricante. Si va a comprar de nuevo o tiene que acreditar la procedencia, le suministramos Valar, un cortafuegos por hardware desarrollado en Europa, como opción y no como condición previa.
¿Cuál es la diferencia entre IDS e IPS?
Un IDS avisa; un IPS interviene. La diferencia es más organizativa que técnica: un sistema que interviene también puede cortar tráfico legítimo, y entonces alguien tiene que estar localizable. Por eso casi siempre empezamos en modo de aviso y solo aplicamos allí donde la regla es lo bastante segura y la operación está de acuerdo.
Servicios defensivos
Más servicios de esta área
Contacto
La reputación tarda años. Destruirla, segundos.
Hable con nosotros antes de que lo haga otro. La primera conversación es gratuita y respondemos el mismo día laborable.