Flujos este-oeste y microsegmentación

El tráfico norte-sur es el que entra o sale de la red; el este-oeste, el que circula entre equipos del interior. El cortafuegos del borde solo ve el primero. Dos servidores de la misma zona se hablan sin pasar por ninguna regla, y es justo ese tráfico el que usa quien ya está dentro para llegar a otros equipos.

La microsegmentación lleva las reglas hasta la carga de trabajo: cada servidor decide con quién habla, aunque esté en la misma zona que otros. No sustituye a las zonas; añade una frontera dentro de ellas.

Una política por etiquetas dice cosas como «las cargas con etiqueta app pueden hablar con las de etiqueta bd por un puerto». Lo que el registro de flujos muestra es lo que de verdad ocurrió. Comparar las dos es el método: todo flujo observado que la política no cubriría es una pregunta que alguien debe responder antes de cerrar nada.

En cargas está la etiqueta de cada equipo y en registro_flujos las conexiones de los últimos 30 días.

Un puesto de trabajo habla con servidores: el correo, las carpetas, el ERP. Que un puesto abra miles de conexiones de compartición de archivos hacia otros puestos es un patrón que no corresponde a ningún trabajo normal, y es el que describe el movimiento lateral. No prueba por sí solo que haya un intruso; sí prueba que la red permite un camino que el diseño no necesita.

No te fijes en el volumen total sino en el destino: el tráfico hacia el servidor de archivos es esperable y el que va a otros puestos no.

Expresar «la aplicación habla con la base» por dirección obliga a una regla por cada pareja de equipos. Con A servidores de aplicación y B de base son A por B reglas, y cada servidor nuevo añade otras tantas. Por etiqueta es una sola, que se aplica sola a quien nazca con la etiqueta.

Esa diferencia es la que hace sostenible la microsegmentación: sin ella, las reglas crecen más rápido que la capacidad de revisarlas.

La política propuesta está sin aplicar, y por una razón razonable: nadie quiere ser quien bloqueó el ERP un lunes. La salida es empezar en modo solo registro: la política se carga, no bloquea nada y anota lo que habría bloqueado. Tras un ciclo de negocio completo, esa lista dice qué flujos reales faltan en la política y cuáles no tienen razón de existir.

Esperar a tener un inventario perfecto no sirve: el inventario se completa precisamente al ver qué se habla de verdad.