La DMZ y lo que se ve desde fuera

Desde Internet se ve una dirección pública y, detrás de ella, los puertos que el cortafuegos deja responder. Se puede deducir qué servicio contesta en cada puerto, a veces su versión. Lo que no se ve es lo que hay detrás: las zonas interiores, sus subredes y los activos que no están publicados. La traducción de direcciones (NAT) oculta las direcciones internas, pero ocultar no es proteger: si un puerto se publica hacia un activo interno, ese activo es tan visible como el puerto.

Por eso la DMZ existe: lo que se publica llega a una zona preparada para ser atacada, con poco que perder y sin camino libre hacia el interior.

La comparación más útil de un perímetro es entre lo declarado y lo observado. Consulta publicaciones, que es lo que la empresa cree haber abierto, y visto_desde_fuera, que es lo que respondió el día del informe. Cada fila del informe debería tener su fila en el registro.

Si algo responde sin estar registrado, alguien lo abrió por otro camino: un cambio sin documentar, una regla antigua o una configuración del propio activo.

Cada publicación debe poder contestar para qué existe. Una publicación sin justificación escrita es una puerta cuyo dueño nadie conoce, y esas son las que se olvidan abiertas durante años.

Lee la columna justificacion del registro y localiza la que está vacía de motivo.

La regla de la DMZ es sencilla: lo que Internet abre aterriza ahí. Una publicación que llega directamente a una zona interior se salta la zona que se diseñó para amortiguar el golpe. Consulta el registro y mira la columna zona_destino; la DMZ es la zona Z1.

Los accesos de terceros se conceden por un plazo. La columna vence dice hasta cuándo es válida cada publicación; el informe es del 12 de abril de 2027. Una publicación vencida que sigue abierta es un acceso que nadie renovó ni cerró.