🧠 Alegoría: El Castillo y las Capas del Asedio

Imagina tu red como un castillo medieval:

• Capa 1/2: Son los puentes levadizos y pasadizos secretos. Si no están custodiados, cualquier espía puede entrar al castillo.

• Capa 3: Es la plaza del castillo donde se otorgan identidades (IP). Si no se verifica quién es quién, cualquiera puede disfrazarse de caballero y moverse entre zonas.

• Capa 4-7: Son las salas del castillo donde se celebran reuniones privadas. Si no hay guardias en las puertas (puertos y servicios), los intrusos pueden escuchar o sabotear.

🔎 Superficie de ataque por capas

Capa OSI -> Superficie de Ataque ->  Ejemplos Controles Clave
1 - Física -> Acceso a cableado o puertos de red -> Robo de cable, conexión física no autorizada -> Puertos cerrados, CCTV, control físico
2 - Enlace -> Acceso a VLANs, spoofing de MAC -> Ataques ARP, VLAN hopping, port mirroring 802.1X, ACLs en switches, DAI, port security
3 - Red ->  IP spoofing, falta de segmentación Saltar zonas con IP falsas, moverse entre subredes ->  Routing con ACLs, IPsec, firewalls
4 - Transporte -> Escaneo de puertos, DoS, hijacking -> Acceder a servicios por TCP/UDP abiertos Firewalls, IDS/IPS, WAF
5-7 - Aplicación -> Servicios mal configurados o inseguros -> HTTP sin TLS, FTP abierto, APIs expuestas WAF, autenticación multifactor, hardening

🔥 Red Team – ¿Cómo exploto esa superficie?

1. Capa 2 (Enlace)

   • VLAN Hopping: Uso doble 802.1Q para saltar de una VLAN a otra.

   • Ataques ARP (spoofing): Intercepto tráfico entre dos hosts internos.

   • Herramientas: yersinia, ettercap.

2. Capa 3 (Red)

   • IP spoofing: Simulo ser un host de confianza.

   • Enrutamiento mal configurado: accedo a zonas internas sin restricción.

3. Capa 7 (Aplicación)

   • Escaneo con nmap, nikto, burpsuite.

   • Explotación de vulnerabilidades con Metasploit, SQLmap, wpscan.

🛡️ Blue Team – ¿Cómo lo defiendo?

1. En capa 1/2

   • Port Security en switches para limitar dispositivos por puerto.

   • 802.1X para autenticación de usuarios antes de dar acceso.

   • NAC (Network Access Control).

2. En capa 3

   • Segmentación lógica con VLANs y firewalls.

   • No permitir rutas por defecto entre zonas de privilegios distintos.

   • DHCP Snooping para evitar asignación fraudulenta de IPs.

3. En capas 4-7

   • Firewall + WAF (Web Application Firewall).

   • IDS/IPS para detectar escaneos y anomalías.

   • TLS everywhere, autenticación fuerte, zero trust.