Zonas de confianza y el inventario

Una zona es un conjunto de activos que comparten un mismo nivel de exposición y un mismo trato en la red. La confianza de una zona no mide si su gente es honrada: mide cuánto daño haría que un equipo de esa zona se viera comprometido y cuánto se parece su tráfico a algo que no controlamos. Internet tiene confianza ninguna; una red de visitas, también; la zona desmilitarizada (DMZ), que aloja servicios que Internet debe poder abrir, tiene confianza baja porque es lo primero que se ataca.

La regla de diseño es una sola: lo que sale de una zona de confianza baja hacia una de confianza alta se limita mucho, y no al revés. Así, si el portal cae, el atacante no hereda la red de dentro.

Abre la consola, consulta zonas y fíjate en tres columnas: confianza, subred y para_que_sirve. La subred te dice qué direcciones pertenecen a cada zona; con ella puedes ubicar cualquier activo del inventario aunque no lleve escrita su zona.

Después consulta inventario y filtra por la DMZ. Esa zona solo debería alojar lo que Internet necesita abrir.

Un inventario sirve cuando se cruza con el plano de zonas: cada activo debe estar en la zona que su función justifica. En el inventario de Hilados del Sinú hay un activo que guarda datos personales de clientes y vive en una zona de confianza baja, aunque nada que venga de Internet necesita llegar a él: solo lo consulta otro activo de la empresa.

Lee la columna funcion de lo que vive en la DMZ y decide cuál no pertenece.

La planta es una zona de confianza alta: las máquinas que hilan no se pueden parar ni reiniciar a la ligera, y muchas no se pueden parchear con frecuencia. Saber cuántos activos hay allí es el primer dato para decidir cuánto aislamiento merece.

Consulta el inventario filtrado por la zona de la planta y cuenta las filas.

Cuando llega un activo nuevo, la pregunta de diseño no es «¿dónde hay un puerto libre?» sino «¿quién necesita llegar a él y desde dónde?». La empresa añade un portal para que sus proveedores suban facturas desde Internet. Ese portal lo abre gente de fuera, y lo que guarda hay que consultarlo desde la aplicación de facturación.