¿Cómo proteges redes cloud?

Respuesta directa

Qué debe cubrir una buena respuesta

Cómo funciona

La seguridad de red en la nube empieza asumiendo que el perímetro se cruzará y limitando lo que eso consigue. Las redes se segmentan por nivel de confianza en VPCs o subredes separadas; la entrada se deniega por defecto y se abre por puerto y origen; la salida también se restringe, porque la exfiltración y el mando y control necesitan rutas salientes. Los servicios gestionados se alcanzan mediante endpoints privados para que el tráfico nunca toque Internet. Los security groups referencian otros grupos en lugar de rangos CIDR cuando es posible, se añade inspección centralizada donde el riesgo justifica su coste, el DNS se protege contra túneles, los flow logs alimentan la detección, y el acceso administrativo pasa por proxies conscientes de identidad en lugar de SSH o RDP abiertos.

Ejemplo

Un entorno de pagos vive en su propia VPC sin internet gateway; la API acepta tráfico solo de un balanceador privado, alcanza la base de datos mediante un security group que referencia al grupo de la API, y llega a S3 y KMS mediante endpoints de interfaz. La salida al procesador de tarjetas pasa por un NAT con un firewall que permite solo ese dominio. Los ingenieros acceden a los hosts mediante Session Manager con MFA y grabación de sesión; el puerto 22 está cerrado en todas partes.

Errores frecuentes

• Permitir 0.0.0.0/0 entrante en el puerto 22 o 3389 a toda una flota.
• Ignorar la salida, de modo que un host comprometido puede alcanzar cualquier cosa en Internet.
• Enrutar tráfico interno a servicios gestionados por la Internet pública.

Una estructura útil para responder

Responde desde tu propia experiencia.

No memorices un guion: usa solo ejemplos que puedas explicar con honestidad en preguntas posteriores.