Microsegmentación de cargas

La microsegmentación controla el tráfico entre cargas de trabajo individuales o pequeños grupos, no solo entre grandes zonas. En lugar de decir «la subred de aplicaciones habla con la de bases de datos», dice «la API de la tienda habla con la base de datos de la tienda, por un puerto». La guía NIST SP 800-207 la describe como uno de los enfoques posibles de la arquitectura de confianza cero (sección 3.1.2). Su valor es limitar el movimiento lateral: si una carga se compromete, solo alcanza lo que su regla le permite.

Las reglas por etiqueta (tienda, erp, respaldos) siguen a la carga aunque cambie de dirección, algo que una regla por subred no hace.

Una carga sin etiqueta no queda cubierta por ninguna regla por etiqueta: o cae en una regla amplia o en la de negar por defecto. Consulta cargas, o filtra por etiqueta_app, y cuenta las que todavía no tienen.

La regla M-07 niega a las máquinas de pruebas el acceso a las cargas de la tienda, pero no tuvo ni un acierto en 30 días. En la política gana la primera regla que coincide, así que una regla amplia anterior puede dejarla sin efecto. Compara orden, origen y destino.

En flujos_observados la columna regla dice con qué regla se resolvió cada flujo. Suma las conexiones que se resolvieron con la regla de la tarea anterior: son las conexiones que la política declaraba prohibidas, o al menos sin dueño.

Antes de activar una política por etiqueta se deja funcionando en modo de observación: registra qué flujos habría negado sin negarlos. Así se descubren dependencias que nadie había anotado, como la copia nocturna del ERP que usa la regla M-05.