Sala 4 · la nube, la pasarela segura y los sitios de la red

En la nube, el grupo de seguridad es el cortafuegos de cada recurso: una regla de entrada con origen en todo Internet es normal para una página web en el puerto de HTTPS y es una exposición para casi cualquier otro servicio, sobre todo para el de una base de datos. Hay que distinguir lo que se publica a propósito de lo que se abrió «por un rato».

Una regla abierta no es un incidente hasta que alguien la usa. El registro de flujos de la red virtual dice si el grupo aceptó o rechazó cada conexión y cuántos bytes pasaron. Para medir el uso real se suman solo los aceptados, hacia ese puerto, y se descartan los que vienen de las redes propias de la empresa.

Una política de pasarela se evalúa en orden y manda la primera regla que coincide; las que vienen después y se refieren a lo mismo nunca se aplican. Para saber qué hace la política con una persona hay que ubicar su grupo y la categoría, y detenerse en la primera coincidencia, aunque exista otra más específica más abajo.

Las aplicaciones que la empresa no sanciona aparecen en el uso de la pasarela. Para dimensionar el problema se miran dos cosas: cuáles movieron más datos hacia fuera y cuántas personas distintas las usan, porque una misma persona repite sus conexiones y no cuenta más de una vez.

En una red SD-WAN, cada sitio puede enviar su salida a Internet por la sede, por una nube de seguridad o directamente por su propio enlace. La salida directa ahorra enlace y es válida cuando algo la inspecciona en el sitio; sin inspección y con una clave compartida para el equipo de borde, es un sitio que sale a Internet sin que nadie lo vea.