Segmentación de red

La segmentación de redes en informática consiste en dividir una red informática en subredes , cada una de las cuales constituye un segmento de red . Las ventajas de esta división radican principalmente en mejorar el rendimiento y la seguridad.

• Reducción de la congestión : En una red segmentada, hay menos hosts por subred y el tráfico y, por lo tanto, la congestión por segmento se reduce.
• Seguridad mejorada :
  • Las transmisiones se limitarán a la red local. La estructura interna de la red no será visible desde el exterior.
  • Existe una superficie de ataque reducida que permite realizar ataques de pivote si uno de los hosts del segmento de red se ve comprometido. Los vectores de ataque comunes, como LLMNR y el envenenamiento de NetBIOS, pueden mitigarse parcialmente mediante una segmentación de red adecuada, ya que solo funcionan en la red local. Por este motivo, se recomienda segmentar las distintas áreas de una red según su uso. Un ejemplo básico sería separar los servidores web, los servidores de bases de datos y los equipos de usuario estándar en segmentos independientes.
  • Al crear segmentos de red que contienen solo los recursos específicos de los consumidores a los que autoriza el acceso, está creando un entorno de mínimo privilegio ^{[ 1 ] [ 2 ].}
• Contención de problemas de red : Limitar el efecto de fallas locales en otras partes de la red.
• Controlar el acceso de los visitantes : El acceso de los visitantes a la red se puede controlar implementando VLAN para segmentar la red.

Cuando un ciberdelincuente obtiene acceso no autorizado a una red, la segmentación o “zonificación” puede proporcionar controles efectivos para limitar el movimiento posterior a través de la red. ^{[ 3 ]}

Los estándares proporcionan orientación sobre cómo crear una clara separación de datos dentro de la red; algunos ejemplos son:

• IEC 62443 (Protección de sistemas de automatización y control industrial )
• PCI-DSS (Estándar de seguridad de datos de la industria de tarjetas de pago)

Por ejemplo, separar la red para autorizaciones de tarjetas de pago de las destinadas a puntos de venta (cajas registradoras) o tráfico Wi-Fi para clientes . Una política de seguridad sólida implica segmentar la red en múltiples zonas, con diferentes requisitos de seguridad, y aplicar rigurosamente la política sobre lo que se permite que pase de una zona a otra. ^{[ 4 ]}

Los departamentos de Finanzas y Recursos Humanos suelen necesitar acceso a sus servidores de aplicaciones a través de su propia VLAN debido a la naturaleza confidencial de la información que procesan y almacenan. Otros grupos de personal pueden requerir sus propias redes segregadas, como los administradores de servidores, el personal de seguridad, los gerentes y los ejecutivos. ^{[ 5 ]}

Por lo general, se exige a los terceros que tengan sus propios segmentos, con contraseñas de administración diferentes a las de la red principal, para evitar ataques a través de un sitio de terceros comprometido y menos protegido. ^{[ 6 ] [ 7 ]}

La segmentación se suele lograr mediante una combinación de cortafuegos y VLAN (redes de área local virtuales). Las redes definidas por software (SDN) permiten la creación y gestión de redes microsegmentadas.

La segmentación de red es requerida o recomendada por varios estándares regulatorios y de la industria. El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) exige que las organizaciones que procesan datos de titulares de tarjetas utilicen la segmentación de red para aislar los entornos de datos de los titulares de tarjetas del resto de la red. ^{[ 8 ]} En el sector de la salud, un Aviso de Propuesta de Reglamentación de diciembre de 2024 para actualizar la Regla de Seguridad de HIPAA requeriría que las entidades reguladas implementen la segmentación de red como una salvaguarda técnica para la información de salud protegida electrónicamente . ^{[ 9 ]} El Marco de Ciberseguridad del NIST y el NIST SP 800-41 también recomiendan la segmentación de red como un control clave para limitar el movimiento lateral de atacantes dentro de entornos comprometidos.

• Dominio de colisión
• Solución entre dominios
• Red plana
• puente de red
• conmutador de red
• Enrutador (informática)
• Red unidireccional