Tema 1 de 8
Seguridad de red en Azure
DDoS Protection, Azure Firewall, Web Application Firewall, redes virtuales y grupos de seguridad de red protegen la red en capas distintas. El examen pregunta sobre todo en qué capa trabaja cada uno y cuál elegir ante un escenario concreto.
Contenido
Ataques DDoS
Un ataque de denegación de servicio distribuido (DDoS) busca saturar los recursos de apps y servidores para que dejen de responder o vayan lentos para los usuarios legítimos. Suele apuntar a cualquier endpoint público accesible por internet. Los tres tipos más frecuentes:
Volumétrico
Inunda la capa de red con tráfico aparentemente legítimo y agota el ancho de banda: el tráfico real no pasa.
De protocolo
Agota los recursos del servidor con solicitudes falsas que explotan debilidades de los protocolos de capa 3 (red) y 4 (transporte).
De capa de aplicación
Ataca los paquetes de la aplicación web para interrumpir la transmisión de datos entre hosts.
Azure DDoS Protection
Analiza el tráfico de red y descarta lo que parece un ataque. Protege en las capas 3 (red) y 4 (transporte). Al detectar un ataque, redirige el tráfico al servicio, hace varias comprobaciones, descarta el tráfico malicioso y reenvía el resto. A los pocos minutos avisa con métricas de Azure Monitor.
Monitoreo continuo
Patrones de tráfico vigilados 24×7 y mitigación automática e inmediata.
Ajuste adaptativo
Perfiles de tráfico que aprenden cómo se comporta tu app y se actualizan con el tiempo.
Análisis y alertas
Telemetría en Azure Monitor, informes cada 5 minutos durante el ataque y resumen al final. Logs a Event Hubs, Monitor logs, Storage o Sentinel.
¿No basta con la protección por defecto de Azure?
La protección de infraestructura por defecto tiene umbrales más altos de lo que soporta la mayoría de apps y no da telemetría ni alertas: un volumen que la plataforma considera inofensivo puede tumbar tu app. DDoS Protection da monitoreo dedicado y umbrales ajustados a tu tráfico.
| DDoS Network Protection | DDoS IP Protection | |
|---|---|---|
| Qué protege | Los recursos de una red virtual, sin cambios en la app | IPs públicas concretas |
| Modelo | Por red virtual | Pago por IP protegida |
| Capacidades técnicas | Completas | Las mismas capacidades base |
| Respuesta rápida DDoS (DRR) | Sí | No |
| Protección de costos y descuento en WAF | Sí | No |
El equipo DRR ayuda durante un ataque activo y hace el análisis posterior. Buenas prácticas: combinar DDoS Protection (capas 3-4) con un WAF (capa 7), diseñar para resiliencia, activar alertas y tener un plan de respuesta antes del ataque.
Azure Firewall
Un firewall es un dispositivo (hardware, software o ambos) que controla el tráfico entrante y saliente con reglas, como barrera entre una red de confianza y redes no confiables como internet. Azure Firewall es un servicio de seguridad de red administrado y en la nube para tus cargas en Azure.
Se puede desplegar en cualquier red virtual, pero lo ideal es una red virtual centralizada por la que pasen las demás redes virtuales y las locales, para controlar el tráfico de varias suscripciones desde un punto. Escala con el tráfico, así que no hay que presupuestar el pico. El tráfico pasa por las reglas al enrutarlo al firewall como gateway predeterminado de la subred.
Con estado
Lleva el estado de las conexiones activas y decide con el contexto del tráfico.
Alta disponibilidad
Integrada, y puede abarcar varias zonas de disponibilidad.
Filtrado de red y de aplicación
Reglas por IP, puerto y protocolo, y por protocolos de aplicación como HTTP/S para controlar FQDN.
SNAT y DNAT
SNAT traduce IPs privadas a una IP pública para salir a internet; DNAT traduce una IP pública a IPs privadas para entrar desde internet.
Inteligencia de amenazas
Alerta y deniega tráfico desde o hacia IPs y dominios maliciosos conocidos.
Registros e integración
Logs a Azure Monitor, Log Analytics o Event Hubs; se integra con Azure Policy y Defender for Cloud.
Niveles de Azure Firewall
| Nivel | Para quién | Destaca |
|---|---|---|
| Basic | Pymes | Protección esencial asequible. Inteligencia de amenazas solo en modo alerta; escala fija con dos instancias; unos 250 Mbps |
| Standard | Producción empresarial (el más usado) | Filtrado de capa 3 a 7; alerta y bloquea IPs y dominios maliciosos con inteligencia actualizada en tiempo real |
| Premium | Entornos regulados y muy sensibles | IDPS basado en firmas: más de 67.000 firmas en más de 50 categorías, contra malware, phishing, minería de criptomonedas y troyanos |
- Azure Firewall Manager centraliza políticas de reglas para firewalls de varias suscripciones o regiones, en redes virtuales o en Virtual WAN (Secure Virtual Hub).
- Con Security Copilot se investiga en lenguaje natural el tráfico malicioso interceptado por IDPS o inteligencia de amenazas; requiere logs estructurados de IDPS en Log Analytics y el plugin activado.
Web Application Firewall (WAF)
Prevenir ataques en el código de cada app exige mantenimiento, parches y monitoreo constantes. El WAF da protección centralizada contra vulnerabilidades comunes: simplifica la gestión, mejora el tiempo de respuesta y permite parchear una vulnerabilidad en un solo lugar en vez de en cada app. Se basa en el conjunto de reglas básico de OWASP.
Inyección SQL
Código SQL malicioso en campos de entrada para leer, modificar o borrar datos de la base.
Cross-site scripting (XSS)
Scripts maliciosos en páginas que ven otros usuarios para robar tokens de sesión o credenciales.
Inundaciones HTTP
Grandes volúmenes de solicitudes HTTP: DDoS de capa 7, que DDoS Protection por sí solo no cubre.
Inclusión remota de archivos
Engañar a la app para que incluya y ejecute un archivo remoto malicioso.
| Dónde se despliega | Para qué |
|---|---|
| Azure Application Gateway | Protección regional, inspección HTTP profunda y enrutamiento complejo; apps en una sola región |
| Application Gateway for Containers | Cargas en contenedores |
| Azure Front Door | Protección global; bloquea cerca del origen del ataque, para apps distribuidas |
| Azure Content Delivery Network | Contenido estático y dinámico servido por la CDN |
Segmentación con redes virtuales
Segmentar es dividir en partes más pequeñas, igual que los departamentos de una empresa tienen oficinas propias. En la red sirve para agrupar activos relacionados, aislar recursos y aplicar políticas de gobernanza. Apoya Zero Trust (asumir la brecha) y la defensa en profundidad: si un segmento se compromete, se contiene y no se propaga lateralmente. Cada frontera entre segmentos es una oportunidad de inspeccionar y filtrar tráfico.
Red virtual (VNet)
Bloque básico de la red privada en Azure, como una red de datacenter con la escala y el aislamiento de Azure. Se pueden crear varias por región y suscripción. Por defecto no se permite tráfico entre VNets ni entrante: hay que habilitarlo explícitamente.
Subredes
Segmentos dentro de una VNet con requisitos y controles propios, por ejemplo servidores web en una y bases de datos en otra.
Emparejamiento (peering)
Conecta dos VNets como si fueran una, incluso entre regiones (peering global). El tráfico va por la red troncal de Azure, no por internet.
Capacidades de una VNet:
- Salida a internet por defecto; la entrada se controla con IPs públicas o balanceadores
- Comunicación privada entre recursos de la misma VNet
- Conexión a redes locales con VPN de sitio a sitio, punto a sitio o ExpressRoute
- Filtrado con NSG y Azure Firewall entre subredes
- Enrutamiento automático y rutas personalizadas
Grupos de seguridad de red (NSG)
Filtran tráfico desde y hacia recursos de una VNet, como una VM, con reglas de entrada y salida. Cada subred e interfaz de red admite un solo NSG, pero un mismo NSG puede asociarse a muchas.
Propiedades de una regla
- Nombre único
- Prioridad: número menor = se procesa antes; al coincidir, se deja de evaluar
- Origen y destino: IP, rango, etiqueta de servicio o ASG
- Protocolo: TCP, UDP, ICMP o Any
- Dirección: entrada o salida
- Rango de puertos
- Acción: permitir o denegar
Reglas predeterminadas
Tres de entrada y tres de salida, que no se pueden borrar pero sí anular con reglas de mayor prioridad.
Entrada: AllowVNetInBound · AllowAzureLoadBalancerInBound · DenyAllInBound
Salida: AllowVNetOutBound · AllowInternetOutBound · DenyAllOutBound
Resultado práctico: con las reglas por defecto, solo entra tráfico desde la propia VNet o un balanceador de Azure; todo lo demás se deniega. Las reglas se evalúan con cinco datos: origen, puerto de origen, destino, puerto de destino y protocolo.
Grupos de seguridad de aplicaciones (ASG)
Agrupan VMs según la estructura de la app (WebServers, AppServers, DbServers) para usarlas como origen o destino en las reglas en vez de IPs. Al añadir una VM al ASG, las reglas existentes se le aplican solas.
NSG frente a Azure Firewall
El NSG filtra de forma distribuida en la capa de red dentro de las VNets de cada suscripción. Azure Firewall es un firewall con estado y centralizado que protege red y aplicación entre suscripciones y VNets. Se complementan para lograr defensa en profundidad.
Qué protege cada servicio
| Servicio | Capa | Alcance |
|---|---|---|
| DDoS Protection | 3 y 4 | Endpoints públicos de una VNet o IPs concretas |
| WAF | 7 | Aplicaciones web detrás de Gateway, Front Door o CDN |
| Azure Firewall | 3 a 7 (según nivel) | Central, entre VNets y suscripciones |
| NSG | Red (IP, puerto, protocolo) | Subred o interfaz de red |
Escenarios de examen
| Situación | Servicio | Por qué |
|---|---|---|
| Una inundación de tráfico satura el ancho de banda de una app pública | Azure DDoS Protection | Ataque volumétrico de capas 3 y 4. |
| Un ataque HTTP flood contra una web | WAF | DDoS de capa 7, que DDoS Protection solo no cubre. |
| Inyección SQL en el formulario de una app web | WAF | Regla del conjunto básico de OWASP. |
| Controlar de forma central el tráfico de todas las VNets de varias suscripciones | Azure Firewall en una red central | Firewall con estado y centralizado. |
| Detección de intrusiones basada en firmas para un entorno regulado | Azure Firewall Premium | Incluye IDPS. |
| Restringir el tráfico entre la subred web y la de bases de datos | NSG | Filtrado distribuido dentro de la VNet. |
| Conectar dos VNets de regiones distintas sin pasar por internet | Emparejamiento global | Usa la red troncal de Azure. |
| Aplicar las mismas reglas a todos los firewalls de la organización | Azure Firewall Manager | Políticas centralizadas entre suscripciones. |
Trampas frecuentes del examen
❓ ¿Azure DDoS Protection detiene una inundación HTTP contra una app web?
No por sí solo. Protege las capas 3 y 4. Las inundaciones HTTP son de capa 7 y las frena el WAF.
❓ Se quiere el equipo de respuesta rápida DDoS durante un ataque. ¿Qué nivel?
DDoS Network Protection. IP Protection no incluye DRR, protección de costos ni descuento en WAF.
❓ Una regla NSG con prioridad 200 permite el puerto 22 y otra con prioridad 100 lo deniega. ¿Qué pasa?
Se deniega. Gana el número menor (100) y la evaluación se detiene en la primera coincidencia.
❓ ¿Qué nivel de Azure Firewall incluye IDPS basado en firmas?
Premium. Basic usa inteligencia de amenazas solo en modo alerta y Standard filtra de capa 3 a 7.
❓ ¿Se pueden borrar las reglas predeterminadas de un NSG?
No. Se anulan creando reglas con mayor prioridad (número menor).
❓ ¿Dos VNets se comunican entre sí por defecto?
No. Hay que habilitarlo explícitamente, por ejemplo con emparejamiento.
❓ ¿Una subred puede tener dos NSG asociados?
No. Cada subred e interfaz admite un solo NSG, aunque un NSG puede asociarse a muchas.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una tienda online recibe un ataque de inyección SQL y, a la vez, una inundación volumétrica de tráfico en su IP pública. ¿Qué combinación la protege?
¿Listo para poner a prueba "Seguridad de red en Azure"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro