Protocolos de red y defensa de la red privada

Protocolos de red: las tres categorías

Intuición

Un protocolo de red es un conjunto de reglas que dos o más dispositivos usan para describir el orden de entrega y la estructura de los datos. La imagen más útil es esta: los protocolos son las instrucciones que acompañan a la información del paquete e indican al dispositivo receptor qué debe hacer con ella. Hay docenas, pero no hace falta memorizarlos todos: basta saber clasificarlos en tres familias según lo que persiguen — que los datos lleguen, que la red se pueda administrar, o que nadie los lea por el camino.

Protocolos de comunicación

Rigen el intercambio de información en la transmisión por red: dictan cómo se transmiten los datos entre dispositivos y el momento de la comunicación, e incluyen métodos para recuperar los datos perdidos en tránsito.

El protocolo de enlace de tres vías de TCP

TCP establece la conexión en tres pasos. Primero el dispositivo envía una solicitud de sincronización (SYN) al servidor. Después el servidor responde con un paquete SYN/ACK para acusar recibo de la solicitud. Por último, cuando el servidor recibe el paquete ACK final del dispositivo, la conexión TCP queda establecida. Merece la pena fijar esta secuencia: buena parte de los ataques de denegación de servicio consiste precisamente en abusar de ella dejando conexiones a medio abrir.

Protocolos de gestión

Se usan para supervisar y gestionar la actividad en una red, e incluyen la notificación de errores y la optimización del rendimiento.

Protocolos de seguridad

Garantizan que los datos se envíen y reciban de forma segura, usando algoritmos de encriptación para protegerlos en tránsito.

Ejemplo resuelto: qué protocolos intervienen al abrir una página segura

Los protocolos no actúan de uno en uno: una sola acción cotidiana los encadena. Esto es lo que ocurre, en orden, cuando alguien escribe una dirección en el navegador y pulsa Intro.

Dos observaciones que conviene sacar del ejemplo. La primera: el DNS viaja por UDP y sin cifrar, y ese es el punto por el que un atacante puede desviar el tráfico de un sitio legítimo hacia uno malicioso — el cifrado del paso 6 llega demasiado tarde para protegerlo. La segunda: aunque los pasos 6 y 7 cifren todo el contenido, un observador del tráfico sigue viendo las direcciones IP de origen y destino, es decir, quién visita qué servidor.

Vídeos de este módulo

• Common network protocolsGoogle Cybersecurity Certificate · Google Career Certificates4 min
• The TCP three-way handshakeGoogle Cybersecurity Certificate · Google Career Certificates3 min

Protocolos adicionales, direcciones y puertos

Intuición

Este módulo reúne los protocolos que aparecen a diario en el trabajo de un analista y que no encajaban en el recorrido anterior: el que permite que toda una red privada salga a Internet con una sola dirección pública, el que reparte direcciones automáticamente, el que traduce direcciones IP en direcciones MAC y los tres del correo electrónico. La Autoridad de Números Asignados en Internet (IANA) asigna números de puerto a muchos de ellos, y esos números conviene memorizarlos: se usan para valorar conocimientos técnicos en las entrevistas.

Traducción de direcciones de red (NAT)

Cada dispositivo de una red local tiene una dirección IP privada con la que se comunica directamente con los demás. Pero para hablar con la Internet pública hace falta una única dirección IP pública que represente ante el exterior a todos los dispositivos de la LAN. Para los mensajes salientes, el router sustituye la dirección IP de origen privada por su dirección IP pública, y realiza la operación inversa con las respuestas. Ese proceso es la traducción de direcciones de red (NAT), y exige que un router o un firewall estén configurados específicamente para realizarla. NAT abarca la capa de Internet y la de transporte del modelo TCP/IP.

DHCP y ARP

El protocolo de configuración dinámica de host (DHCP) pertenece a la familia de gestión y sirve para configurar dispositivos: trabaja con el router para asignar a cada uno una dirección IP única y proporcionarle las direcciones del servidor DNS y de la puerta de enlace predeterminada. Los servidores DHCP operan en el puerto UDP 67 y los clientes en el UDP 68.

El protocolo de resolución de direcciones (ARP) resuelve un problema distinto. Cada dispositivo tiene dirección IP pública, dirección IP privada y dirección MAC; la IP puede cambiar con el tiempo, pero la MAC es permanente porque es única para la tarjeta de interfaz de red. Dentro de la misma red la comunicación usa la dirección MAC, y a veces esa dirección se desconoce: ARP traduce las direcciones IP de los paquetes a la dirección MAC del dispositivo de hardware. Cada dispositivo de la red ejecuta ARP y guarda los pares IP–MAC en una caché ARP. ARP no tiene número de puerto, porque los números de puerto se asocian a la capa de aplicación y ARP es un protocolo de capa inferior.

Acceso remoto y correo electrónico

La tabla de puertos que hay que memorizar

Estos números no son un adorno: los firewalls filtran el tráfico no deseado basándose en ellos. Una organización puede configurar un firewall para que solo las direcciones IP que le pertenecen puedan alcanzar el puerto TCP 995 y recoger correo cifrado, por ejemplo.

Ejemplo resuelto: leer los puertos como pares inseguro → seguro

Memorizar diez números sueltos es difícil; memorizar cinco parejas es mucho más fácil, porque cada protocolo inseguro tiene su equivalente cifrado y ese es además el patrón con el que se corrigen los hallazgos de una auditoría.

Los tres protocolos que no tienen pareja se recuerdan aparte y por su rareza: DNS 53, que usa UDP salvo cuando la respuesta es grande; DHCP 67/68, el único con dos puertos, uno para servidores y otro para clientes; y ARP, el único sin puerto, porque los números de puerto se asocian a la capa de aplicación y ARP trabaja por debajo.

Vídeos de este módulo

• Additional network protocolsGoogle Cybersecurity Certificate · Google Career Certificates5 min
• Protocols and port numbersGoogle Cybersecurity Certificate · Google Career Certificates4 min

La evolución de la seguridad inalámbrica

Intuición

Hasta mediados de los años ochenta toda la comunicación en Internet viajaba por cables físicos; fue la liberación de un espectro de frecuencias de radio sin licencia lo que abrió la puerta a lo demás. A finales de los noventa aparecieron las tecnologías para enviar y recibir datos por radio, y hoy portátiles, teléfonos, tabletas y hasta termostatos, cerraduras y cámaras se comunican sin cable. Cada uno de los cuatro protocolos que siguen nació para corregir la vulnerabilidad del anterior: la historia es el temario.

Wi-Fi es un conjunto de estándares que definen la comunicación para las LAN inalámbricas. El nombre es un término de marketing encargado por la Alianza para la Compatibilidad de Ethernet Inalámbrica (WECA), hoy Wi-Fi Alliance; los estándares en sí pertenecen a la familia 802.11 del Instituto de Ingenieros Eléctricos y Electrónicos (IEEE), por lo que en documentación técnica el Wi-Fi aparece como IEEE 802.11.

WEP: privacidad equivalente por cable

Desarrollado en 1999, es el más antiguo de los estándares de seguridad inalámbrica, y su nombre declara su ambición: dar a las conexiones inalámbricas el mismo nivel de privacidad que tenían las conexiones por cable. Hoy está en gran medida fuera de uso, pero un analista debe reconocerlo porque sigue apareciendo — un router pudo traerlo como protocolo por defecto y nadie lo cambió, o los dispositivos de la red son demasiado antiguos para admitir protocolos más recientes. Un actor malicioso puede romper su encriptación, así que se considera un protocolo de alto riesgo.

WPA: acceso Wi-Fi protegido

Desarrollado en 2003 para mejorar WEP y sustituirlo, siempre se concibió como una medida transitoria que permitiera mantener la retrocompatibilidad con el hardware antiguo. Los fallos de WEP estaban en el propio protocolo y en cómo usaba la encriptación, y WPA los abordó con el protocolo de integridad de clave temporal (TKIP), cuyo algoritmo usa claves secretas más grandes que las de WEP, lo que dificulta adivinarlas por ensayo y error. WPA añadió además una comprobación de integridad del mensaje que incluye una etiqueta de autenticación en cada transmisión: si un atacante altera la transmisión o la reenvía en otro momento, la comprobación identifica el ataque y rechaza la transmisión.

Aun así, WPA conserva una vulnerabilidad grave: el ataque de reinstalación de claves o ataque KRACK. El atacante se introduce en el proceso de protocolo de enlace de autenticación e inserta una nueva clave de encriptación en lugar de la dinámica asignada por WPA; si fija la nueva clave en todos ceros, el resultado es como si la transmisión no estuviera encriptada en absoluto. Esa debilidad motivó el salto a WPA2.

WPA2 y sus dos modos

Lanzado en 2004, mejora WPA usando el estándar de encriptación avanzada (AES) y perfeccionando el uso de TKIP mediante el protocolo de código de autenticación de mensajes con cadena de bloques de cifrado en modo contador (CCMP), que proporciona encapsulación y garantiza la autenticación e integridad de los mensajes. Por su solidez se considera hoy el estándar de seguridad para las transmisiones Wi-Fi — aunque, igual que su predecesor, sigue siendo vulnerable a los ataques KRACK, y de ahí nació WPA3 en 2018.

WPA3

Es el protocolo Wi-Fi seguro actual y su uso crece a medida que llegan al mercado más dispositivos compatibles. Tres diferencias lo separan de WPA2: aborda la vulnerabilidad del protocolo de enlace de autenticación a los ataques KRACK; utiliza la autenticación simultánea de iguales (SAE), un acuerdo de autenticación de contraseñas y uso compartido de claves de cifrado que impide a los atacantes descargar datos de las conexiones inalámbricas para intentar descodificarlos después; y aumenta la encriptación a 128 bits, con 192 bits opcionales en el modo WPA3-Enterprise.

El ataque KRACK, paso a paso

Merece la pena ver el ataque dibujado, porque explica de un vistazo por qué WPA y WPA2 comparten el mismo punto débil y qué corrige exactamente WPA3.

Ejemplo resuelto: auditoría de cuatro puntos de acceso

Así se traduce toda la teoría anterior en decisiones. Cada hallazgo tiene una única respuesta correcta y un motivo que se puede escribir en una línea:

Del cuadro se extrae la regla práctica: el protocolo correcto es siempre el más reciente que admita el hardware, y cuando el hardware no da más de sí, el hallazgo deja de ser de configuración y pasa a ser de inventario.

Vídeos de este módulo

• The evolution of wireless security protocolsGoogle Cybersecurity Certificate · Google Career Certificates5 min
• WPA2 and WPA3: personal and enterprise modesGoogle Cybersecurity Certificate · Google Career Certificates4 min

Firewalls y servidores proxy

Intuición

Un firewall es un dispositivo de seguridad de red — de hardware o virtual (NVA) — que inspecciona y puede filtrar el tráfico antes de permitirle entrar en la red privada. Los firewalls tradicionales se configuran con reglas que indican qué paquetes están permitidos en función del número de puerto y de la dirección IP. El proxy juega otro papel: no filtra en la frontera, sino que habla en nombre de otro, de modo que quien está al otro lado nunca ve directamente a quien representa.

Sin estado, con estado y de nueva generación

Por dónde se alojan, los firewalls también pueden ser basados en la nube: firewalls de software alojados por el proveedor de servicios en la nube. Y una función transversal a todas las clases es el filtrado de puertos, que bloquea o permite determinados números de puerto para limitar la comunicación no deseada.

Servidores proxy

Un servidor proxy satisface las peticiones de sus clientes reenviándolas a otros servidores, y usa la traducción de direcciones de red (NAT) para servir de barrera entre los clientes de la red y las amenazas externas. El proxy de reenvío gestiona las consultas de los clientes internos cuando acceden a recursos externos a la red, regulando y restringiendo el acceso de las personas de la organización a Internet. El proxy inverso funciona al revés: gestiona las peticiones de sistemas externos a servicios de la red interna, regulando y restringiendo el acceso de Internet a un servidor interno. Algunos proxies pueden configurarse con reglas como un firewall — por ejemplo, filtros que bloqueen los sitios web identificados por contener software malicioso.

Ejemplo resuelto: un conjunto de reglas de firewall

Un firewall no se configura regla a regla al azar: se escribe una lista ordenada que se evalúa de arriba abajo y termina en una negación por defecto. Este es el conjunto mínimo para una organización con servidores web en la DMZ y empleados que necesitan salir a Internet:

Tres lecciones salen de esta lista. La primera: el orden importa, porque la primera regla que encaja decide — si la regla 6 estuviera arriba, ninguna de las anteriores llegaría a aplicarse. La segunda: con un firewall con estado no hace falta escribir la regla de vuelta de cada permiso, porque su tabla de estado reconoce el tráfico de respuesta como parte de una sesión ya abierta; con uno sin estado habría que duplicar las reglas 1, 4 y 5 en sentido contrario. Y la tercera: la regla 5 es filtrado de puertos en su forma más pura — permitir un número de puerto concreto solo a un origen concreto.

Vídeos de este módulo

• Firewalls and network security measuresGoogle Cybersecurity Certificate · Google Career Certificates5 min
• Virtual networks and privacy: proxy serversGoogle Cybersecurity Certificate · Google Career Certificates4 min

Redes privadas virtuales: encapsulación y protocolos

Intuición

Una VPN es un servicio de seguridad de red que cambia la dirección IP pública y oculta la ubicación virtual del usuario, para mantener la privacidad de los datos cuando se usa una red pública como Internet. Proporciona un servidor que actúa como puerta de enlace entre la computadora e Internet, y ese servidor crea una ruta similar a un túnel virtual que oculta la dirección IP y encripta los datos en tránsito. Su objetivo principal es crear una conexión segura entre una computadora y una red — y, dicho de otro modo, permitir conexiones de confianza sobre redes que no lo son.

Encapsulación: cómo funciona el túnel

La encapsulación es el proceso por el que una VPN protege los datos envolviendo los datos sensibles dentro de otros paquetes de datos: los datos sin cifrar quedan contenidos en un paquete cifrado, lo que les permite atravesar la red pública permaneciendo en el anonimato. Empresas y organizaciones usan VPN para proteger las comunicaciones desde los dispositivos de los usuarios hasta los recursos corporativos — servidores o máquinas virtuales que alojan aplicaciones empresariales —, y los particulares las usan para aumentar su privacidad, ocultando su información personal, incluidas las direcciones IP, a los servidores externos. Una VPN de buena reputación minimiza además su propio acceso a la actividad del usuario mediante una encriptación fuerte.

Acceso remoto frente a sitio a sitio

Un protocolo VPN es, como un protocolo de red, un conjunto de reglas que determina cómo se mueven los datos entre los puntos finales — siendo un punto final cualquier dispositivo conectado a una red: computadoras, dispositivos móviles, servidores.

WireGuard frente a IPSec

La elección entre ambos depende de factores concretos: la velocidad de conexión necesaria, la compatibilidad con la infraestructura de red existente y las necesidades del negocio o del individuo. No hay una respuesta universalmente correcta, y esa es justamente la respuesta que se espera en un examen.

Cada vez más organizaciones combinan las VPN con SD-WAN. Una red de área extensa definida por software (SD-WAN) es un servicio WAN virtual que permite conectar de forma segura a los usuarios con aplicaciones en múltiples ubicaciones y a través de grandes distancias geográficas: es el enfoque basado en la nube de la seguridad de red, contratado como servicio.

Ejemplo resuelto: elegir el protocolo VPN según el escenario

La respuesta correcta a «¿WireGuard o IPSec?» nunca es uno de los dos en abstracto: es el que encaja con la velocidad de conexión necesaria, la compatibilidad con la infraestructura existente y las necesidades del negocio. Cuatro casos lo muestran:

Y un matiz que se pregunta: WireGuard sirve tanto para conexiones de sitio a sitio como cliente-servidor, así que no queda descartado en el tercer caso — simplemente IPSec es lo que se usa habitualmente ahí.

Vídeos de este módulo

• Virtual private networks (VPNs)Google Cybersecurity Certificate · Google Career Certificates4 min
• VPN protocols: WireGuard and IPSecGoogle Cybersecurity Certificate · Google Career Certificates4 min

Zonas de seguridad, segmentación y subredes

Intuición

Todas las defensas anteriores actúan en la frontera. La segmentación actúa dentro, y su lógica es distinta: asume que algún día algo entrará, y se organiza para que ese algo no llegue a todas partes. Una zona de seguridad es un segmento de la red de una empresa diseñado para proteger la red interna frente a las amenazas externas, y forma parte de la segmentación de red, la técnica que divide una red en varios segmentos, cada uno con sus propios permisos de acceso, reglas de seguridad y controles de tráfico.

Para qué sirven las zonas

Cinco funciones resumen su utilidad: proteger las redes internas, mantener la privacidad entre grupos o departamentos, evitar que un problema se propague a toda la red, controlar el acceso a cada segmento y aislar las zonas comprometidas en caso de ataque. Dos ejemplos lo hacen concreto:

Las cuatro zonas

Lo ideal es que la DMZ esté situada entre dos firewalls: el primero filtra el tráfico que viene de Internet hacia la DMZ y el segundo el que va de la DMZ hacia la red interna. Si existe zona restringida, puede protegerse con otro firewall adicional. Así se crean varias líneas de defensa que impiden que un ataque en la DMZ llegue a la red interna, que un ataque en la red interna alcance la zona restringida, y que usuarios no autorizados accedan a sistemas críticos.

El papel del analista

Regular las políticas de control de acceso en los firewalls es tarea habitual del analista de seguridad: definir qué direcciones IP pueden conectarse, controlar qué puertos están permitidos, bloquear tráfico sospechoso, revisar las reglas de acceso y asegurarse de que solo estén disponibles los servicios autorizados. Un ejemplo típico: configurar una regla para que solo el tráfico HTTPS pueda alcanzar los servidores web de la DMZ, permitiendo el tráfico seguro, bloqueando el innecesario o inseguro y reduciendo así la superficie de ataque.

División en subredes: de una red plana a varios barrios

La división en subredes es el proceso de tomar una red grande y dividirla en grupos lógicos más pequeños y organizados llamados subredes. Si la red de la empresa es una ciudad, cada subred es un barrio: tiene sus propias calles, se recorre por dentro sin salir a la autopista y se puede cerrar sin cerrar la ciudad entera. Cada subred queda definida por la combinación única de dirección IP y máscara de red asignada a cada dispositivo, creando en la práctica una «red dentro de una red».

El efecto es doble. Por eficiencia: cuando los dispositivos de una misma subred se comunican entre sí, el conmutador mantiene las transmisiones dentro de esa subred, lo que mejora la velocidad y evita que ese tráfico moleste al resto. Y por seguridad: cada subred puede recibir sus propias reglas, de modo que crear zonas de seguridad es — textualmente — un ejemplo de división en subredes.

Anatomía de una dirección CIDR

Classless Inter-Domain Routing (CIDR) es el método de asignación de máscaras de subred a direcciones IP para crear una subred. Sustituyó al direccionamiento por clases, usado en los años ochenta para agrupar direcciones IP en clases de la A a la E; cada clase incluía un número limitado de direcciones que se agotaron en los noventa, cuando los dispositivos conectados superaron ese rango. El direccionamiento sin clases amplió el número de direcciones IPv4 disponibles y permite segmentar en trozos más pequeños las redes con clase.

Las direcciones CIDR tienen el mismo formato que las IPv4 pero añaden una barra y un número final llamado prefijo de red IP. Ese número dice cuántos de los 32 bits de la dirección identifican a la red; los bits restantes quedan para numerar equipos dentro de ella. De ahí sale todo lo demás:

Con esa lectura, calcular una subred es siempre la misma operación en tres pasos: restar el prefijo de 32 para saber cuántos bits quedan para equipos, elevar dos a ese número para obtener el total de direcciones, y descontar dos — la primera, que nombra a la subred entera, y la última, reservada para la difusión a todos sus equipos.

La regla que conviene interiorizar: cuanto mayor es el prefijo, más pequeña es la subred. Un /26 parece «más grande» que un /24 porque el número es mayor, y es justo al revés — más bits fijados para la red significan menos bits libres para equipos.

Ejemplo resuelto: dividir 192.168.10.0/24 en cuatro subredes

Una oficina tiene una sola red de 254 direcciones y cuatro grupos que conviene separar: administración, operaciones, la Wi-Fi de visitantes y los servidores. Ninguno pasa de cincuenta equipos, así que cuatro subredes de 62 hosts — es decir, cuatro /26 — reparten el espacio exactamente. Cada salto es de 64 direcciones:

Con el reparto hecho, las reglas de firewall se escriben sobre las subredes en lugar de sobre equipos sueltos, que es la ventaja práctica de todo esto: «la Wi-Fi de visitantes solo puede salir a Internet», «solo administración alcanza el servidor de nóminas», «solo HTTPS entra a la DMZ». Y si mañana se descubre un equipo comprometido entre los visitantes, se aísla el /26 entero sin tocar a nadie más — el mismo gesto que los administradores de la universidad hacían con la subred de estudiantes.

Una nota de alcance: para el examen basta entender CIDR como un método de direccionamiento flexible para el subnetting moderno, saber qué abarca un prefijo y por qué existe. La aritmética binaria detrás de las máscaras es una habilidad valiosa que se profundiza en formación de redes posterior, y la tabla anterior cubre de sobra los casos que aparecen en la práctica diaria.

Lo que gana la seguridad

La división en subredes permite crear una red dentro de la propia red sin pedir otra dirección de red al proveedor de servicios de Internet, usa el ancho de banda de forma más eficiente y mejora el rendimiento. Y es uno de los componentes para crear subredes aisladas, junto con el aislamiento físico, la configuración de enrutamiento y los cortafuegos: las tres piezas se combinan, ninguna basta por sí sola.

Vídeos de este módulo

• Security zones and network segmentationGoogle Cybersecurity Certificate · Google Career Certificates5 min
• Subnetting and CIDRGoogle Cybersecurity Certificate · Google Career Certificates4 min

Glosario de términos

Definiciones breves de los términos técnicos de esta guía, en el orden en que aparecen.

Protocolo de red

Conjunto de reglas usadas por dos o más dispositivos para describir el orden de entrega y la estructura de los datos.

Protocolos de comunicación

Rigen el intercambio de información en la transmisión: TCP, UDP, HTTP, DNS, SMTP.

Protocolos de gestión

Supervisan y gestionan la actividad de la red: SNMP, ICMP, DHCP.

Protocolos de seguridad

Encriptan los datos en tránsito: HTTPS, SFTP, SSH, IPSec, SSL/TLS.

TCP

Protocolo de control de transmisión: forma una conexión mediante un enlace de tres vías y transmite datos.

Protocolo de enlace de tres vías

SYN del dispositivo, SYN/ACK del servidor y ACK final que establece la conexión TCP.

UDP

Protocolo de datagramas de usuario: sin conexión previa, menos fiable pero más rápido.

HTTP

Protocolo de capa de aplicación entre clientes y servidores web; inseguro, puerto 80.

HTTPS

Versión segura de HTTP con encriptación SSL/TLS; puerto 443.

DNS

Traduce los nombres de dominio de Internet en direcciones IP; UDP 53, o TCP si la respuesta es grande.

SNMP

Supervisa y gestiona dispositivos: cambia configuraciones, restablece contraseñas, informa del ancho de banda.

ICMP

Los dispositivos se informan de errores de transmisión; sostiene el comando ping.

SFTP

Transferencia segura de archivos a través de SSH, con AES entre otros cifrados; TCP 22.

NAT

Traducción de direcciones de red: el router sustituye la IP privada de origen por su IP pública.

Dirección IP privada

Asignada por el router, única solo dentro de la red y sin coste; rangos 10.x, 172.16–31.x y 192.168.x.

Dirección IP pública

Asignada por el ISP y la IANA, única en Internet y con coste de arrendamiento.

DHCP

Asigna a cada dispositivo IP, servidor DNS y puerta de enlace; servidores UDP 67, clientes UDP 68.

ARP

Traduce direcciones IP a direcciones MAC; cada dispositivo guarda los pares en su caché ARP. Sin puerto.

Telnet

Conexión remota por línea de comandos que envía todo en texto claro; TCP 23.

SSH

Conexión segura con un sistema remoto, con autenticación y encriptación; TCP 22.

POP3

Recupera correo descargándolo localmente; no garantiza sincronizar varios dispositivos. 110 · 995 cifrado.

IMAP

Recibe correo dejando el contenido en el servidor, lo que permite sincronizar dispositivos. 143 · 993 cifrado.

SMTP

Transmite y encamina el correo con ayuda del agente de transferencia de mensajes; 25 · 587 con TLS.

IEEE 802.11 (Wi-Fi)

Conjunto de estándares que definen la comunicación para las LAN inalámbricas.

WEP

Privacidad equivalente por cable (1999): el más antiguo, hoy considerado de alto riesgo.

WPA

Acceso Wi-Fi protegido (2003): introduce TKIP y la comprobación de integridad del mensaje.

TKIP

Protocolo de integridad de clave temporal: claves secretas más grandes, más difíciles de adivinar.

Ataque KRACK

Reinstalación de claves: inserta una clave propia en el enlace de autenticación y anula el cifrado.

WPA2

Versión de 2004 con AES y CCMP; estándar actual, aún vulnerable a KRACK.

Modo personal y modo empresa

Frase de contraseña global para redes domésticas · control individualizado y centralizado para organizaciones.

WPA3

Versión de 2018: corrige KRACK, usa SAE y encriptación de 128 bits (192 opcional en empresa).

SAE

Autenticación simultánea de iguales: acuerdo de autenticación y uso compartido de claves de cifrado.

Firewall

Dispositivo de seguridad que supervisa el tráfico hacia o desde la red y puede filtrarlo.

Firewall sin estado

Opera con reglas predefinidas, sin seguimiento de paquetes; exige reglas en dos direcciones.

Firewall con estado

Rastrea las conexiones en una tabla de estado y filtra proactivamente; le basta una regla.

NGFW

Firewall de nueva generación: inspección profunda de paquetes, prevención de intrusiones y reglas por aplicación.

Firewall basado en la nube

Firewall de software alojado por el proveedor de servicios en la nube.

Filtrado de puertos

Función de firewall que bloquea o permite determinados números de puerto.

Servidor proxy

Satisface las peticiones de sus clientes reenviándolas a otros servidores, apoyándose en NAT.

Proxy de reenvío

Regula y restringe el acceso de las personas de la organización a Internet.

Proxy inverso

Regula y restringe el acceso de Internet a un servidor interno.

VPN

Servicio que cambia la IP pública y enmascara la ubicación virtual para mantener la privacidad en redes públicas.

Encapsulación

Proceso por el que la VPN envuelve los datos sensibles dentro de otros paquetes de datos.

VPN de acceso remoto

Conecta un dispositivo personal con un servidor VPN a través de Internet.

VPN de sitio a sitio

Extiende la red de la empresa a otras redes y ubicaciones, habitualmente con IPSec.

Punto final

Cualquier dispositivo conectado a una red: computadora, dispositivo móvil o servidor.

WireGuard

Protocolo VPN reciente, rápido, de código abierto y sencillo de configurar.

IPSec

Protocolo VPN veterano, ampliamente adoptado y probado, habitual en conexiones de sitio a sitio.

SD-WAN

Red de área extensa definida por software: servicio WAN virtual que conecta usuarios y aplicaciones a distancia.

Zona de seguridad

Segmento de la red de una empresa que protege la red interna de Internet.

Segmentación de red

Técnica que divide la red en segmentos con sus propios permisos, reglas y controles de tráfico.

Zona no controlada

La parte de la red que queda fuera de la organización: Internet.

Zona controlada

Subred que protege la red interna de la zona no controlada.

DMZ

Zona desmilitarizada: capa exterior de la zona controlada, con los servicios accesibles desde Internet.

Zona restringida

La más protegida: datos financieros, estratégicos y sistemas críticos, solo para privilegios especiales.

División en subredes

Subdivisión de una red en grupos lógicos llamados subredes.

CIDR

Método de asignación de máscaras de subred a direcciones IP; sustituyó al direccionamiento por clases.

Prefijo de red IP

Número que sigue a la barra en una dirección CIDR, como el 24 de 198.51.100.0/24.

Síntesis y evaluación final

Diez preguntas de estilo examen que mezclan los seis módulos. Responde sin mirar arriba: la puntuación aparece al final.

Para profundizar con los vídeos y lecturas originales, el material corresponde al segundo módulo de Connect and Protect: Networks and Network Security, tercer curso del Google Cybersecurity Certificate (Google Career Certificates, Coursera).