¿Qué es la segmentación de redes?
La segmentación de redes es la práctica de dividir una red* en secciones más pequeñas y aisladas. Estas particiones pueden crearse y asegurarse mediante hardware físico o software, cada uno de los cuales conlleva sus propios retos de implementación.
Al acordonar distintos segmentos de una red, las organizaciones pueden evitar más fácilmente el movimiento lateral, ejercer un control granular sobre el tráfico de la red y mejorar su rendimiento. Incluso pueden establecer políticas para cargas de trabajo y aplicaciones individuales, un enfoque conocido como microsegmentación.
*Una red es un grupo de ordenadores conectados entre sí.
¿Cómo funciona la segmentación de redes?
La segmentación de redes divide una red en varias secciones, a las que se pueden aplicar distintos controles. Normalmente, este proceso se realiza utilizando uno de estos dos métodos: la segmentación física y la segmentación lógica.
Segmentación física
La segmentación física requiere aparatos de hardware -como un enrutador, conmutadores y Firewalls - para separar una red en secciones discretas. Estos aparatos controlan el tipo de tráfico que puede entrar y salir de cada sección mediante políticas de segmentación, que pueden configurarse según criterios específicos (por ejemplo. origen del tráfico, destino, etc.).
La segmentación física (también llamada segmentación basada en el perímetro) suele ser cara y laboriosa de configurar y mantener. También funciona bajo el supuesto de que la mayoría de las organizaciones siguen manteniendo un perímetro de red físico.
Sin embargo, con la llegada de la computación en la nube, este perímetro prácticamente ha desaparecido, ya que los usuarios pueden acceder a los datos y a las aplicaciones a través de Internet, en lugar de las redes internas gestionadas por TI. Incluso las organizaciones que utilizan infraestructura local permiten a menudo a los usuarios conectarse a recursos internos desde dispositivos y software externos.
Segmentación lógica
La segmentación lógica, o segmentación de red virtual, utiliza software para dividir una red en secciones más pequeñas. Estos segmentos pueden crearse mediante subredes, redes de área local virtuales (VLAN) y esquemas de direccionamiento de red.
- Las subredes ayudan a dividir una red en segmentos más pequeños, permitiendo así que el tráfico de red recorra una distancia más corta sin pasar por enrutadores innecesarios para llegar a su destino
- Las VLAN dividen el tráfico de una única red física en dos redes, sin necesidad de disponer de varias conexiones de enrutador o de Internet para dirigir el tráfico de la red a diferentes destinos
- Los esquemas de direccionamiento de red crean segmentos de red dividiendo los recursos de red entre varias subredes de capa 3.
Al igual que la segmentación física, la segmentación lógica también utiliza políticas de segmentación para restringir el flujo de tráfico que entra y sale de cada segmento de red.
Puesto que la segmentación lógica no depende de la configuración, mantenimiento y actualización de múltiples dispositivos de hardware, se considera un método más flexible, escalable y rentable de separar y proteger una red.
¿Cuáles son las ventajas de la segmentación de redes?
Cuando se aplica correctamente, la segmentación de redes puede ayudar a las organizaciones a mejorar la seguridad, el rendimiento y el cumplimiento con mayor eficacia. Algunas de las ventajas más significativas son las siguientes:
- Reducción del movimiento lateral: una vez que los atacantes han penetrado en una red, no pueden moverse libremente por esta, ya que solo han penetrado en un segmento concreto de la red. Esto, a su vez, ayuda a minimizar la superficie de ataque de una organización.
- Remediar la actividad maliciosa: cuando un ataque o actividad sospechosa se limita a un área específica, los equipos de TI pueden detectarlo y remediarlo con mayor eficacia, sin afectar al resto de la red.
- Aumentar el rendimiento: restringir ciertos tipos de tráfico a zonas específicas de la red puede ayudar a reducir la congestión general de la red y optimizar el rendimiento.
- Garantizar el cumplimiento: la segmentación puede aislar áreas de la red que están sujetas a normas de cumplimiento, facilitando su actualización cuando sea necesario.
Segmentación de redes vs. microsegmentación
La segmentación de redes la divide en secciones más pequeñas, a las que se aplican controles y políticas de seguridad diferentes.
La microsegmentación, en cambio, es un subconjunto de la segmentación de red que permite aplicar controles aún más granulares a cargas de trabajo individuales. (Una carga de trabajo es un programa o aplicación -como un servidor, una máquina virtual o una función sin servidor- que utiliza cierta cantidad de memoria y recursos informáticos). Forma parte de un modelo de seguridad Zero Trust , en el que ningún usuario o dispositivo es de confianza por defecto.
Para comprender mejor las ventajas de seguridad de la segmentación de red frente a la microsegmentación, imagine que un rey tiene una gran suma de oro y joyas que quiere proteger. Podría poner todo su tesoro en varias cámaras secretas, cada una de las cuales solo podría abrirse utilizando una llave específica (segmentación de redes). Si un ladrón robara la llave de una cámara acorazada, podría robar el tesoro que hay en su interior, pero no podría acceder a cámaras adicionales sin robar llaves adicionales de esas salas. Del mismo modo, un atacante que vulnere una subred podrá comprometer los datos que contenga, pero no podrá pasar libremente a otra subred.
Alternativamente, el rey podría no solo distribuir su tesoro entre múltiples cámaras acorazadas, sino colocarlo en cofres cerrados con llave dentro de esas salas, y asegurarse de que cada cofre solo pudiera abrirse con su propia llave (microsegmentación). De ese modo, si un ladrón robaba la llave de uno de los cofres del tesoro, no podría abrir los cofres individuales sin procurarse llaves adicionales. Del mismo modo, en una red microsegmentada, incluso si un atacante compromete una carga de trabajo, puede que no sea capaz de comprometer (o incluso acceder) a cargas de trabajo adicionales.
Más información sobre cómo la microsegmentación ayuda a las organizaciones a alcanzar una postura de seguridad Zero Trust .
Preguntas frecuentes
¿Qué es la segmentación de redes?
La segmentación de redes mejora la seguridad al dividir una red en segmentos más pequeños y aislados. Esta práctica limita lo que un atacante puede acceder si vulnera la red y permite un mejor control sobre el tráfico de la red.
¿Qué es microsegmentación?
La microsegmentación es una forma granular de segmentación de red que aplica controles de seguridad a cargas de trabajo o aplicaciones individuales, permitiendo políticas de seguridad específicas para cada una. A diferencia de otros tipos de segmentación de red, la microsegmentación se realiza en la capa de aplicación en lugar de en la capa de red.
¿Cómo evita la segmentación de redes el movimiento lateral?
La segmentación de redes limita la capacidad de un atacante para moverse a otras partes de la red después de una fuga, confinando su acceso solo al segmento comprometido y protegiendo el resto de la red.
¿Cuál es la diferencia entre la segmentación física y la lógica?
La segmentación física utiliza hardware como enrutadores y firewalls para separar las secciones de la red. La segmentación lógica emplea métodos basados en software, como la subdivisión en subredes y las redes de área local virtual (VLAN), para crear barreras virtuales dentro de una red.
¿Qué ventajas para el rendimiento ofrece la segmentación de redes?
La segmentación puede ayudar a las organizaciones a optimizar el rendimiento de la red, ya que garantiza que solo el tráfico necesario fluya entre los segmentos, reduciendo así la congestión de la red.
¿Cómo ha afectado la informática en la nube a la segmentación de la red?
La informática en la nube ha difuminado los perímetros de red tradicionales, haciendo que los métodos de segmentación flexibles y basados en software sean más cruciales para proteger los entornos modernos y distribuidos. La segmentación de red basada en hardware no contribuye significativamente a la seguridad de las implementaciones en la nube.
¿Cómo se relaciona la seguridad Zero Trust con la segmentación de la red?
Zero Trust es un modelo de seguridad en el que se asume que las amenazas ya están presentes dentro de una red y no se confía en ningún usuario o dispositivo por defecto. La segmentación de red, especialmente la microsegmentación, es un principio clave de la seguridad Zero Trust porque impide que estas amenazas ya presentes vulneren toda la red.