Segmentación interna y la red plana

Una red plana es aquella donde casi todo puede hablar con casi todo: un solo segmento, o varios con un enrutamiento que no filtra nada. Es cómoda de montar y se paga cuando algo falla: un equipo comprometido llega a los demás con el mismo permiso que un equipo sano, y lo que se llama movimiento lateral (en MITRE ATT&CK, la táctica TA0008) deja de tener obstáculos.

La segmentación corta esa libertad: cada zona vive en su propia VLAN y el tráfico entre VLAN pasa por un punto que decide, flujo por flujo. Tener VLAN no es segmentar: si el enrutador entre ellas lo deja pasar todo, la red sigue plana con otros nombres.

Consulta pruebas_de_alcance. Cada fila dice desde qué zona se probó, hacia qué destino y puerto, lo que la política esperaba (esperado) y lo que sucedió (resultado). Las filas donde las dos columnas coinciden son la red funcionando como se diseñó; las que difieren son los hallazgos.

Empieza por la zona que no debería llegar a nada interior: la red de visitas.

Los equipos de planta hablan protocolos industriales que no se diseñaron para estar expuestos. Modbus sobre TCP usa un puerto convencional y no autentica a quien le habla: quien lo alcanza puede leer y escribir. Por eso la planta se aísla incluso de la red de oficinas.

Filtra la hoja por la zona de usuarios y busca la prueba contra la pantalla de operación de la planta.

Un buen informe de segmentación termina con un número: cuántas pruebas no se comportaron como la política decía. Ese número se compara en la siguiente revisión para ver si la red mejora.

Recorre las diez filas y cuenta aquellas en las que esperado y resultado no coinciden.

Cerrar las cuatro diferencias una por una, con reglas sueltas, repite el problema. Lo que corrige el diseño es cambiar la postura por defecto: lo que no se permite expresamente se niega, y los flujos permitidos son los de la matriz que alguien justificó.