Centro de datos: este-oeste y norte-sur

Se llama norte-sur al tráfico que cruza el límite del centro de datos: entra desde Internet o desde el campus, o sale hacia ellos. Se llama este-oeste al que viaja entre servidores dentro de él, por ejemplo de la aplicación a su base de datos. Las dos direcciones se diseñan distinto: el norte-sur tiene un punto de paso natural donde poner un cortafuegos; el este-oeste no, y casi siempre hay que decidirlo a propósito.

En una arquitectura de tres niveles la web habla con la aplicación y solo la aplicación habla con la base de datos. Un flujo que salta ese orden es una conexión que nadie diseñó o que un atajo dejó abierta. Filtra flujos_observados por este-oeste y busca el flujo cuyo origen sea la web y cuyo destino sea la base de datos.

La columna inspeccion dice quién ve cada flujo; «ninguna» significa que ningún cortafuegos lo atraviesa. Consulta puntos_de_inspeccion: los dos cortafuegos del centro de datos solo ven tráfico que cruza sus interfaces, y no ven lo que ocurre dentro de un mismo segmento. Suma las sesiones diarias de los flujos este-oeste sin inspección.

Un cortafuegos solo inspecciona lo que pasa por él. Si la web, la aplicación y la base de datos están en el mismo segmento de red, sus conversaciones se resuelven en el conmutador y jamás llegan al cortafuegos. Compara en servidores el segmento de cada uno de los tres.

Con los tres niveles en un mismo segmento, la solución no es más cortafuegos de borde, que ya ven todo lo que ven. La solución es segmentar: un segmento por nivel y reglas entre ellos que permitan solo el flujo previsto, de la web a la aplicación y de la aplicación a la base de datos. Así la conexión directa de la web con la base de datos deja de ser posible y los demás flujos quedan escritos y registrados.