Lo público y lo privado — segmentación de la red

Una red en la nube se divide en zonas con distinto trato. Una subred pública tiene camino de ida y vuelta a internet: lo que vive ahí puede tener una dirección pública y ser alcanzable desde fuera. Una subred privada no tiene ese camino de entrada: lo que vive ahí solo se alcanza desde dentro de la red, y si necesita salir a internet lo hace por una pasarela de salida, sin quedar expuesto a que entren. La decisión de en qué zona va cada recurso es anterior a cualquier regla de cortafuegos, y es la que fija cuánta superficie tiene algo antes incluso de empezar a filtrar.

Dónde colocas un recurso decide si tiene cara a internet; la regla de red solo afina quién llega a la cara que ya le diste.

La base de datos de Cobalto está colocada en una subred pública y tiene una dirección pública propia a internet. Aunque hoy sus reglas de red estuvieran bien, eso ya es un problema: tiene cara a internet sin ninguna necesidad —a una base de datos no la visitan los usuarios—, así que cualquier error futuro en una regla la expone al instante, y mientras tanto es un objetivo visible que se puede sondear desde fuera. La defensa en profundidad dice que esa base no debería ni poder recibir una conexión de internet, regla buena o no. Depender solo de la regla es apostarlo todo a que nadie la toque mal nunca.

Una base de datos con dirección pública confía toda su protección a una sola regla; un error en ella y queda expuesta sin red debajo.

No todo tiene que esconderse: algo tiene que recibir a los usuarios. Lo que va en la zona pública es exactamente eso —lo que atiende tráfico de fuera por diseño: la web de la tienda o el balanceador que la publica—. Todo lo demás va detrás: la base de datos, los servicios internos, las colas de trabajo. La forma típica es de dos capas: delante, en la subred pública, lo mínimo que tiene que ser alcanzable; detrás, en la privada, los datos y la lógica, que solo hablan con la capa de delante por la red interna. Así, aunque comprometan lo público, no están ya dentro de donde viven los datos.

Delante, solo lo que atiende usuarios; detrás, los datos: la superficie pública se reduce a lo que de verdad la necesita.

La corrección en Cobalto es mover la base de datos a una subred privada y quitarle la dirección pública, de modo que deje de tener cualquier camino de entrada desde internet. Si la base necesita salir a internet para algo —descargar una actualización, por ejemplo—, lo hace por una pasarela de salida, que permite la ida sin abrir la vuelta. La web se queda delante, en la pública, y alcanza la base por la red interna. Con eso, la protección de la base ya no depende de una sola regla: depende de que, estructuralmente, internet no tiene por dónde llegar a ella. La regla de red pasa a ser la segunda capa, no la única.

Quitarle la cara pública a lo que no la necesita es poner una capa de defensa debajo de la regla, no en vez de ella.

Abre el laboratorio de segmentación de Cobalto. Revisa en qué subred vive cada recurso y cuál tiene dirección pública, quédate con el que está expuesto sin necesitarlo —la base de datos en la zona pública— y lee el informe de la revisión, que cierra con el código de la sala.