SEGMENTACIÓN DE RED
Haz clic en un equipo para marcarlo como "paciente cero" (por dónde entra el ransomware).
🤔 Antes de simular: ¿crees que la infección llegará al Servidor de Backups?
📖 CHULETA RÁPIDA
Segmentación / VLANs
Trocear la red en zonas (oficinas, servidores, DMZ, backups) que solo se hablan entre sí por las rutas explícitamente necesarias — todo lo demás, denegado por defecto.
Movimiento lateral (este-oeste)
El tráfico "norte-sur" (internet ↔ tu red) suele estar vigilado por un firewall perimetral. El tráfico "este-oeste" (entre máquinas internas) casi nunca lo está en una red plana — y es justo el que usa un atacante para saltar de un puesto contagiado al resto.
Backups: solo tracción saliente
Un servidor de backups bien diseñado sale él a buscar los datos, en vez de aceptar conexiones entrantes desde el resto de la red. Así, aunque un atacante controle todos los servidores, no tiene ninguna ruta de red para llegar a las copias — es lo que se simula aquí con el aislamiento del nodo de Backups.
Principio de mínimo privilegio, también en la red
No es solo "oficinas puede hablar con servidores": es "las oficinas solo pueden hablar con el servidor de archivos y el de correo, nunca directamente con la base de datos ni con los backups". Cuanto más concreta la regla, menos superficie para el atacante.
Zero Trust / microsegmentación
La evolución moderna de esta idea (NIST SP 800-207): no confiar en nada solo por estar "dentro" de la red — cada conexión se autentica y autoriza explícitamente, incluso entre dos máquinas del mismo pasillo de oficina.
La segmentación no sustituye a las contramedidas
Contener el ransomware en un segmento no lo cura — sigue haciendo falta aislar la máquina, restaurar desde backup y verificar integridad (ver GHOSTTRIAD y GHOSTHASH). La segmentación decide cuánto tienes que arreglar, no si tienes que arreglar algo.