Tema 2 de 6
Defensa en profundidad y la tríada CIA
En lugar de confiar en una sola barrera, la defensa en profundidad combina varias capas de controles. Si una falla, la siguiente sigue protegiendo los datos. Las capas sirven a tres objetivos: confidencialidad, integridad y disponibilidad.
Contenido
¿Qué es la defensa en profundidad?
Es una estrategia de seguridad por capas, en lugar de un único perímetro. Cada capa protege por sí misma, de modo que si un atacante supera una, todavía debe superar las siguientes antes de llegar a los datos.
Microsoft lo compara con la bóveda de un banco: puerta exterior cerrada, cámaras, sensores de movimiento, teclado de acceso, la puerta de la bóveda y, adentro, cajas aseguradas. Pasar la primera puerta no da acceso al dinero; el ladrón sigue enfrentando varias barreras más, y cada una aumenta la probabilidad de que lo detecten.
En TI funciona igual: ningún control es la defensa completa. La pregunta no es "¿qué control pongo?", sino "¿qué pasa si este control falla?". La respuesta siempre debe ser: otro control sigue protegiendo.
Las 7 capas
De afuera hacia adentro. La capa de datos está al centro porque es lo que todas las demás protegen.
Seguridad física
Limita el acceso físico a la infraestructura: instalaciones cerradas, guardias, lectores de credenciales y cámaras. Evita que alguien manipule o robe servidores, equipos de red o almacenamiento.
Ejemplo: Solo personal autorizado entra al datacenter.
Identidad y acceso
Autentica y autoriza antes de dar acceso: MFA, RBAC y políticas de acceso condicional que evalúan señales como ubicación, cumplimiento del dispositivo y nivel de riesgo.
Ejemplo: Aunque un atacante tenga una contraseña válida, MFA lo frena.
Perímetro
Protege el borde de la red frente a ataques externos a gran escala: protección DDoS, que filtra el tráfico de ataque antes de que afecte a los usuarios, y firewalls perimetrales que inspeccionan lo que entra y sale.
Ejemplo: Azure DDoS Protection filtra tráfico de ataque.
Red
Controla la comunicación entre recursos dentro de la red: segmentación en zonas aisladas y grupos de seguridad de red (NSG) que restringen el tráfico con reglas. Reduce el daño tras comprometer un solo recurso.
Ejemplo: Una VM comprometida no alcanza la subred de bases de datos.
Cómputo
Protege VMs, contenedores y otros recursos de cómputo: sistemas y software parcheados, puertos innecesarios cerrados, acceso administrativo restringido y monitoreo de comportamiento inusual.
Ejemplo: Cerrar RDP y SSH hacia internet.
Aplicación
Aplicaciones sin vulnerabilidades explotables: desarrollo seguro, validación de entradas contra inyección SQL y XSS, y autenticación y autorización dentro de la app. Probar antes de producción es mucho más barato que corregir después.
Ejemplo: Pruebas de seguridad en el pipeline de despliegue.
Datos
La capa más interna y crítica: controles de acceso que limitan quién lee o modifica, cifrado que vuelve ilegibles los datos sin las claves y clasificación que identifica qué datos necesitan más protección.
Ejemplo: Cifrar datos sensibles y etiquetarlos.
Perímetro y red no son lo mismo
El perímetro protege el borde frente a ataques externos (DDoS, firewall perimetral). La red controla la comunicación entre recursos de dentro (segmentación, NSG). El examen pone controles de una y pregunta por la otra.
El recorrido de un atacante
Una forma útil de entender las capas es seguir a un atacante que quiere robar datos de clientes y ver dónde lo frena cada una:
Identidad y acceso: Consigue una contraseña por phishing, pero el inicio de sesión pide MFA y el acceso condicional detecta una ubicación inusual.
Perímetro: Intenta saturar el servicio para distraer al equipo; la protección DDoS filtra el tráfico.
Red: Logra comprometer un servidor web, pero la segmentación y los NSG le impiden llegar a la subred de bases de datos.
Cómputo: Busca puertos de administración abiertos; están cerrados y el sistema está parcheado.
Aplicación: Prueba una inyección SQL; la aplicación valida las entradas.
Datos: Aun si llegara a los archivos, están cifrados y no tiene las claves.
Cada paso le cuesta tiempo al atacante y le da al equipo de seguridad una oportunidad más de detectarlo y responder.
Por qué funcionan las capas
Ganan tiempo
Cada capa frena al atacante y da más oportunidades para detectarlo y responder antes del daño.
Ningún control es perfecto
Un control fuerte puede fallar por una vulnerabilidad, un error de configuración o un proceso del negocio que exige una excepción.
Asumen la brecha
Se diseña como si el atacante fuera a pasar las defensas exteriores, limitando lo que puede hacer una vez dentro. Los perímetros se ponen a prueba constantemente.
"Asumir la brecha" también es uno de los principios de Zero Trust. La defensa en profundidad y Zero Trust se complementan: una organiza los controles en capas; el otro decide cómo se verifica cada acceso.
La tríada CIA
Las capas trabajan para tres objetivos de seguridad: confidencialidad, integridad y disponibilidad (availability). Representan lo que la seguridad intenta proteger en última instancia.
🔒 Confidencialidad
Que la información sensible solo la vea quien está autorizado: registros de clientes, datos financieros, contraseñas, comunicaciones privadas o propiedad intelectual.
No basta con cifrar: también hacen falta controles de acceso, transmisión segura y políticas que definan quién puede ver qué. Una brecha de confidencialidad (una filtración de datos) trae sanciones regulatorias, responsabilidad legal y pérdida de confianza.
✅ Integridad
Que los datos sean exactos, completos y solo cambien por procesos autorizados: lo que se lee después es exactamente lo que se envió o se guardó.
Se viola por manipulación maliciosa, por errores de software que corrompen datos, por problemas en la transmisión o por borrado no autorizado. Se protege con hashing, firmas digitales, registros de auditoría y control de transacciones. Comparar el hash de una descarga con el que publica el autor es una comprobación de integridad.
⚡ Disponibilidad
Que datos y sistemas estén accesibles para quien los necesita, cuando los necesita. Un sistema seguro pero inaccesible no sirve.
La amenazan los ataques DDoS, el ransomware, los fallos de hardware, los errores de software y los desastres naturales. Se protege con infraestructura redundante, balanceo de carga, failover automático, copias de seguridad con planes de recuperación probados y protección DDoS.
Equilibrio entre los tres objetivos
Los tres objetivos pueden tirar en direcciones distintas, y los equipos de seguridad buscan el punto justo según la sensibilidad de los datos, el impacto de una brecha y lo que necesita el negocio.
Cifrar todo
Protege la confidencialidad, pero si se pierden las claves los datos quedan inaccesibles para siempre: se afecta la disponibilidad.
Autenticación compleja
Protege la confidencialidad y la integridad, pero añade fricción que puede afectar la productividad.
La tríada también sirve para clasificar ataques: robar datos ataca la confidencialidad, modificar registros ataca la integridad y tumbar sistemas ataca la disponibilidad.
Controles, capas y objetivos
| Control | Capa | Objetivo principal |
|---|---|---|
| MFA y acceso condicional | Identidad y acceso | Confidencialidad e integridad |
| Protección DDoS | Perímetro | Disponibilidad |
| NSG y segmentación | Red | Confidencialidad (limita el movimiento lateral) |
| Parches y puertos cerrados | Cómputo | Las tres |
| Validación de entradas | Aplicación | Integridad y confidencialidad |
| Cifrado | Datos | Confidencialidad |
| Hashing y firmas digitales | Datos | Integridad |
| Backups y failover | Cómputo / datos | Disponibilidad |
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Un atacante roba la base de datos de clientes | Confidencialidad | Personas no autorizadas acceden a información protegida: es una filtración de datos. |
| Alguien cambia los importes de unas facturas | Integridad | Los datos se modificaron fuera de un proceso autorizado. |
| Un ransomware cifra los servidores y la empresa no puede operar | Disponibilidad | Los sistemas dejan de estar accesibles para los usuarios legítimos. |
| Se borran registros que debían conservarse | Integridad | El borrado no autorizado también es una violación de integridad. |
| Una inundación de tráfico tumba la web | Disponibilidad · capa de perímetro | Es un ataque DDoS; se mitiga en el perímetro. |
| Se exige un dispositivo compatible para entrar a una app | Capa de identidad y acceso | El acceso condicional evalúa señales antes de dar acceso. |
Trampas frecuentes del examen
❓ Un ataque DDoS deja una web fuera de servicio. ¿Qué objetivo de la tríada CIA se ve afectado?
Disponibilidad. El atacante no roba ni modifica datos, impide que los usuarios legítimos accedan.
❓ ¿Qué control protege la integridad de un archivo descargado?
Comparar su hash con el que publica el autor. Si el archivo cambió, el hash cambia. Las firmas digitales también prueban integridad.
❓ ¿MFA pertenece a la capa de perímetro?
No. MFA es parte de la capa de identidad y acceso. El perímetro incluye protección DDoS y firewalls de borde.
❓ ¿El borrado no autorizado de registros afecta la disponibilidad?
Microsoft lo clasifica como violación de integridad: los datos dejan de estar completos.
❓ ¿Cifrar los datos garantiza la confidencialidad por sí solo?
No. También hacen falta controles de acceso, transmisión segura y políticas sobre quién puede ver qué.
❓ ¿Cuál es la capa más interna de la defensa en profundidad?
La capa de datos. La seguridad física es la más externa.
❓ ¿Qué capa incluye la validación de entradas contra inyección SQL?
La capa de aplicación. La capa de cómputo trata parches, puertos y acceso administrativo de las máquinas.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una empresa divide su red virtual en subredes aisladas y aplica NSG para que los servidores web no puedan comunicarse directamente con la subred de bases de datos. ¿Qué capa de la defensa en profundidad está reforzando?
¿Listo para poner a prueba "Defensa en profundidad y tríada CIA"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro