Colocación del Dispositivo en la Arquitectura de Seguridad

📚 Visión Maestra

Una red bien diseñada no depende de un solo punto de control. La seguridad es como una muralla con múltiples capas de piedra, donde cada dispositivo se convierte en un centinela con un rol específico. Saber dónde colocar cada uno es tan importante como saber cuál elegir.

Para ello, debemos contemplar tres tipos de controles:

🔒 1. Controles Preventivos (Controlan antes de que ocurra un daño)

• Dónde se colocan:
  En el borde o límite de zonas sensibles: entre la red interna y externa, entre subredes, en el perímetro de zonas DMZ, etc.

• Qué hacen:
  Bloquean y filtran todo lo que no cumpla con las políticas establecidas. Se enfocan en la confidencialidad e integridad del tráfico.

• Ejemplos típicos:

  • Firewalls (NGFW, WAF, UTM)

  • ACLs en routers y switches

  • Segmentación VLAN

  • Seguridad en puntos de acceso WiFi

  • Autenticación de acceso a red (802.1X)

• Objetivo táctico:
  Que nada no autorizado entre, salga o se mueva lateralmente sin ser filtrado.

🔎 2. Controles de Detección (Detectan cuando el atacante ha evadido algo)

• Dónde se colocan:
  Dentro de las zonas internas o en paralelo al tráfico. Suelen ser pasivos o usar réplicas de tráfico (SPAN, TAP).

• Qué hacen:
  Monitorean, analizan y generan alertas de comportamiento anómalo o tráfico malicioso.

• Ejemplos típicos:

  • IDS (Snort, Suricata)

  • SIEM (Splunk, Wazuh, QRadar)

  • Honeypots y honeynets

  • Logs + análisis de comportamiento (UEBA)

• Objetivo táctico:
  Detectar intrusiones que han evadido la capa perimetral. La alerta temprana lo es todo.

🛠️ 3. Controles Correctivos (Responden al ataque, mitigan y restauran)

• Dónde se colocan:
  En puntos donde sea viable interrumpir o modificar el flujo de datos (gateways, balanceadores de carga, hosts críticos).

• Qué hacen:
  Actúan una vez detectado el incidente. Cortan conexiones, cambian rutas, regeneran configuraciones.

• Ejemplos típicos:

  • IPS (Intrusion Prevention Systems)

  • Balanceadores de carga que redirigen tráfico sospechoso

  • EDR/XDR que aíslan hosts automáticamente

  • SOAR para respuesta automática

• Objetivo táctico:
  Mitigar el daño, aislar el problema y comenzar la recuperación antes de que escale.

🔁 4. Colocación en los Endpoints

• Qué hacen:
  Proveen una defensa extra desde dentro, en cada host. Son la última línea de defensa si todo lo demás falla.

• Ejemplos:

  • Firewalls de host (Windows Defender Firewall, iptables)

  • Antimalware y antivirus

  • EDR (Crowdstrike, SentinelOne, Microsoft Defender ATP)

  • DLP (Prevención de pérdida de datos)

• Objetivo táctico:
  Asegurar que cada nodo de la red pueda defenderse de forma individual si es comprometido.

🕸️ Ejemplo visual tipo diagrama lógico

Imagina la red como un castillo:

1. En la muralla exterior, hay torres con arqueros (firewalls perimetrales).

2. Dentro del castillo, hay centinelas silenciosos observando (IDS, SIEM).

3. Cuando se detecta un enemigo, un puente levadizo se cierra (IPS/balanceador).

4. Si el enemigo logra entrar, los guardias del salón real se activan (EDR en endpoints).

5. Además, cada puerta dentro del castillo tiene candados inteligentes (ACLs, segmentación), y hay espías ocultos en los pasillos (honeypots).

🧠 Como Arquitecta e Ingeniera de Seguridad

Tu rol es diseñar esta defensa multinivel sabiendo:

• Qué amenazas son más probables en cada zona.

• Qué dispositivos protegen mejor en ese punto exacto.

• Cómo correlacionar eventos entre capas y zonas.

• Cómo minimizar puntos ciegos.

• Cómo equilibrar rendimiento vs seguridad.

📌 COLOCACIÓN DEL DISPOSITIVO EN ARQUITECTURA DE RED SEGURA

📚 Defensa en Profundidad

1️⃣ Explicación en Profundidad

La colocación del dispositivo en una red no es un simple acto técnico, sino un acto estratégico. Cada dispositivo de seguridad —como firewalls, IDS, balanceadores de carga, EDRs o routers— tiene un papel específico y debe colocarse en el punto exacto donde su acción sea más efectiva.

Este principio forma parte de la defensa en profundidad, una filosofía que se basa en la idea de que ningún control es infalible, y que debemos colocar múltiples capas de defensa para proteger los activos críticos desde varios ángulos. Como en una fortaleza medieval: no basta una muralla, hacen falta torres, arqueros, fosos y centinelas interiores.

Cada capa del modelo OSI puede y debe tener controles específicos:

• Controles preventivos: detienen ataques antes de que ocurran.

• Controles detectivos: identifican ataques que han evadido los controles.

• Controles correctivos: actúan para contener y reparar los daños.

2️⃣ Ejemplos Prácticos

• Firewall perimetral bloquea conexiones no autorizadas desde Internet.

• IDS dentro del segmento de servidores detecta comportamiento anómalo.

• Balanceador de carga distribuye peticiones web, mitigando DoS.

• ACLs en switches internos impiden que dispositivos no autorizados se comuniquen lateralmente.

• EDR en endpoints detecta y responde a malware que ha logrado penetrar otras defensas.

🎯 Analogía: Imagina una casa bien protegida. Tiene una reja exterior (firewall), una alarma (IDS), cerraduras internas (ACLs), y cámaras dentro de la casa (EDR). Cada parte está diseñada para un punto específico del ataque.

3️⃣ Aplicaciones y Herramientas Reales

Tipo de control -> Herramientas / Soluciones reales
Preventivos ->  pfSense, Cisco ASA, Palo Alto NGFW
Detectivos -> Snort, Suricata, Zeek, Splunk, Wazuh, QRadar
Correctivos ->  Suricata + IPS, SOAR (Cortex XSOAR, Splunk SOAR)
Endpoints -> CrowdStrike Falcon, SentinelOne, Microsoft Defender ATP, Bitdefender GravityZone
Balanceo/Alta disp. ->  F5 BIG-IP, HAProxy, NGINX Plus

4️⃣ ¿Qué hace un Líder de Red, Blue y Purple Team al respecto?

🔴 Red Team

• Busca puntos ciegos: redes sin IDS, tráfico no inspeccionado, puertos abiertos mal protegidos.

• Ataca rutas sin balanceador, o explota falta de segmentación (redes planas).

• Inyecta malware o script por bypass del EDR o desde dispositivos BYOD mal colocados.

🔵 Blue Team

• Diseña la red con zonas segmentadas, aplica firewall perimetral, distribuye sensores.

• Instala IDS y SIEM donde haya más tráfico sensible.

• En los endpoints, despliega EDR con respuesta activa, políticas de microsegmentación, reglas NAC.

• Refuerza puertos de red, configura ACLs, bloquea lateralidad.

🟣 Purple Team

• Supervisa toda la topología: ¿están bien colocados los sensores? ¿hay zonas sin visibilidad?

• Hace pruebas de evasión: simula malware para ver si el EDR o el SIEM lo detectan.

• Corrige fallos en la correlación entre capas: p. ej., alertas de red sin contexto del host.

5️⃣ Purple Team — ¿Cómo se ataca y cómo se defiende?

Ejemplo 1:

🔴 Ataque Red Team: Inyección de tráfico malicioso en red sin IDS, usando SMB lateral para comprometer múltiples hosts.
🔵 Defensa Blue Team: Coloca IDS+IPS detrás del firewall y segmenta la red para evitar movimiento lateral. Detecta el SMB inusual y bloquea con reglas IPS.
🟣 Validación Purple Team: Simula SMB lateral desde un equipo clonado y mide la capacidad de detección + bloqueo en tiempo real. Ajusta firmas y reglas según resultados.

Ejemplo 2:

🔴 Ataque Red Team: Ataque DDoS a servidores web no protegidos con balanceador.
🔵 Defensa Blue Team: Implementa balanceador con detección de tráfico anómalo y capacidad de absorción + mitigación.
🟣 Validación Purple Team: Prueba DDoS con herramientas como LOIC/HOIC o simuladores cloud, y evalúa la elasticidad del balanceador.

✅ Resumen práctico

Colocación de Dispositivos de Seguridad: la danza estratégica de la defensa
En una red bien protegida, cada dispositivo es un guardián en una zona sagrada. Desde el firewall que vigila la frontera, hasta el EDR que duerme con los servidores, todos tienen su lugar.
Los controles preventivos impiden que el enemigo cruce las puertas. Los controles de detección escuchan los susurros de la red, esperando detectar traición. Los correctivos actúan cuando la batalla estalla dentro. Y en los puestos más vulnerables, los endpoints, cada dispositivo está entrenado para resistir, detectar y reportar.
Como futura Arquitecta y CISO Purple Team, mi deber es componer esta sinfonía de seguridad. Porque una red no se defiende solo con tecnología, sino con visión estratégica, vigilancia constante y una armonía profunda entre capas, herramientas y equipos.
Defensa en Profundidad no es una idea abstracta: es la base táctica de toda red resistente al caos.