La defensa no es un muro

La forma equivocada de pensar la defensa es como una muralla: una barrera fuerte, y dentro todo tranquilo.

El problema es que las murallas se caen. Todas. La contraseña se filtra, la librería tiene un fallo publicado, alguien pincha un enlace, un desarrollador sube una clave por error. Dar por hecho que una capa fallará no es pesimismo: es el punto de partida.

Así que la pregunta profesional no es «¿cómo hago esta barrera perfecta?». Es:

Cuando esta capa falle, ¿qué pasa después?

Y ahí está la diferencia entre un incidente pequeño y un titular. Aplícalo a la clínica, capa por capa:

La página /agenda-interna no comprobaba quién entraba. Falló la capa de autorización. ¿Qué pasó después? Nada la contuvo: la página entregó todos los datos.

El respaldo tenía permisos abiertos. Falló la capa de permisos. ¿Qué pasó después? Se leyó la configuración con la contraseña de root.

La red no estaba segmentada. Falló la capa de red. ¿Qué pasó después? Desde el servidor web se llegaba a todo.

Tres capas, y ninguna tenía otra detrás. No es que faltara una defensa: es que cada fallo llevaba directo al siguiente.

En cualquier sistema, con cualquier tecnología, las capas se agrupan en cuatro familias. Y fíjate en que las cuatro ya salieron en esta ruta, sala por sala:

Impedir. Que no se pueda. Comprobar quién entra en cada página, permisos mínimos en cada archivo, parámetros separados de la orden en cada consulta, HTTPS en todo el sitio. Es la capa más barata y la que más se olvida.

Limitar. Que si se puede, alcance poco. El proceso del servidor web sin acceso a la carpeta privada, la red partida en trozos, el documento truncado a cuatro cifras, la contraseña resumida y con sal. Aquí se decide si el incidente es una página o la base entera.

Ver. Que si pasa, se sepa. Los registros de auth.log, los 404 del panel de monitoreo, el latido regular en el tráfico. Sin esta capa el incidente sigue pasando; lo único que cambia es que nadie lo sabe.

Reaccionar. Que cuando se sepa, se pueda cortar. El bloqueo del origen, el límite de peticiones por minuto, el aviso a coordinación. Y algo que se olvida: poder restaurar, porque un respaldo probado es una capa de defensa completa.

Las cuatro juntas dan la propiedad que buscas: el ataque tiene que atravesarlas todas, y tú solo necesitas que una funcione.

Abre el laboratorio de monitoreo, el mismo del primer módulo. Ahora vas a mirarlo con otros ojos.

Cuando el escaneo llegó, mira lo que había hecho ya el sistema, en la lista de acciones: el aviso se había enviado y el límite de peticiones estaba activado.

Eso son dos capas que funcionaron solas, antes de que llegara ninguna persona. El límite no impidió el escaneo, pero lo hizo lento. El aviso no lo impidió, pero puso a alguien a mirar. Sin esas dos, el mismo ataque habría durado toda la noche sin que nadie se enterara.

Y quedaba la tercera, la que solo puede hacer alguien que decide: bloquear el origen. Hazlo otra vez, y fíjate en el orden de las tres. Automático, automático, humano.

Ese reparto es el que hace que la defensa funcione de verdad. Lo que se puede automatizar, automatizado, porque a las tres de la mañana no hay nadie. Lo que requiere criterio, para la persona, porque bloquear un origen equivocado deja fuera a pacientes reales.

Queda una idea que suele contarse al revés, y conviene enderezarla.

Se repite mucho que quien defiende está en desventaja: el atacante solo necesita un fallo, y tú tienes que tapar todos. Es cierto, y es real.

Pero hay otra mitad que casi nunca se dice, y la tienes delante en el panel:

Quien ataca tiene que acertar en todas las fases. Quien defiende solo necesita detectar una.

El ataque a la clínica tenía cuatro fases y dejó rastro en las cuatro: los 404 del escaneo, el POST a la carpeta de subidas, el proceso raro con su archivo en /tmp, el latido de 512 bytes cada cinco minutos.

Con vigilar una sola de esas cuatro cosas, alguien lo habría visto. Y no se estaba mirando ninguna.

Esa es la conclusión operativa de la sala, y no cuesta dinero: casi ningún incidente grande falla por falta de una herramienta carísima. Falla porque el rastro estaba escrito y nadie lo leyó.

Lo que viene ahora es precisamente eso: leerlo.