Encapsular el sistema viejo detrás de una frontera nueva

Cuando una aplicación heredada utiliza protocolos inseguros (como HTTP plano, SSLv3 o algoritmos débiles) y carece de autenticación multifactor, el arquitecto de seguridad aplica el patrón de encapsulamiento perimetral. El sistema antiguo se encierra en una red aislada sin acceso directo a Internet y se interpone un proxy inverso moderno (como Envoy o NGINX) que maneja las conexiones de los clientes, aplica TLS 1.3, exige autenticación OIDC/MFA y reenvía solo tráfico saneado localmente.

En el diseño de encapsulamiento de SIGMA-2004 se interponen tres componentes defensivos en la frontera de entrada.

Abre el laboratorio y consulta arquitectura-encapsulado-proxy.txt. Identifica el componente de frontera que exige autenticación multifactor antes de alcanzar la IP del sistema heredado.

Los navegadores web modernos rechazan conexiones con servidores que solo soportan cifrados obsoletos como RC4 o DES.

Revisa arquitectura-encapsulado-proxy.txt y localiza la tecnología utilizada como TERMINADOR_TLS.

El tercer componente del encapsulamiento es el motor de inspección de carga útil (WAF), que bloquea intentos de explotación conocidos antes de que alcancen el intérprete PHP 4 vulnerable, aplicando lo que se conoce como parcheo virtual a nivel de red.