Segmentación y zonas

Una zona es un conjunto de activos con la misma función y el mismo nivel de confianza, separada de las demás por un punto de control. Lo que se permite entre zonas se escribe como flujos: origen, destino, puerto y motivo.

 internet ──443──► [ dmz ] ──8443──► [ apps ] ──5432──► [ datos ]
                      baja             media               alta

La segmentación no elimina ninguna vulnerabilidad: un servidor sin parche sigue sin parche aunque esté en una zona aislada. Lo que cambia es quién puede alcanzarlo. Por eso, al priorizar, la zona es una variable de alcance: el mismo fallo pesa distinto en la zona de servidores publicados que en una zona de datos a la que solo llegan las aplicaciones.

Abre el plano. La tabla zonas da el rango de cada zona en notación CIDR: el número tras la barra dice cuántos bits fijos tiene la dirección. Una /26 fija 26 bits y deja 6 libres, es decir, 64 direcciones por bloque: el bloque empieza en 0, en 64, en 128 o en 192 del último número.

La tabla activos trae, por activo, una dirección y la zona que alguien anotó. Una zona anotada no es una zona medida: se comprueba con la dirección.

La tabla flujos_permitidos es el diseño: de qué zona a cuál, por qué puerto y con qué fecha de revisión. Un diseño sano sube de confianza escalón a escalón, y un flujo desde una zona de confianza baja directamente a una de confianza alta es el que más conviene mirar.

La cuarta consulta lista los flujos cuyo destino es la zona de datos.

Un escáner solo informa de lo que alcanza. Cada zona tiene una sonda, un punto de escaneo desde el que se llega a ella, y si no la tiene, sus activos no aparecen en ningún informe. Eso no significa que estén limpios: significa que no se miró.

La tabla zonas trae en su última columna la sonda que cubre cada una.

La zona sin sonda es justo la de confianza alta, donde están db-polizas y respaldo-nas. El informe del mes dice «cero hallazgos críticos en datos». Quien lo lee con prisa entiende que están sanos.