El perímetro ya no es suficiente. La mayoría de los ataques modernos no vienen desde afuera del firewall — vienen desde adentro: un endpoint comprometido, un proveedor con acceso temporal, o un dispositivo BYOD mal configurado que ya está dentro de la red.
La primera línea de defensa real está en la capa 2: los puertos físicos de tu switch y los protocolos de ruteo que interconectan tus segmentos. Asegurarlos correctamente puede marcar la diferencia entre un incidente contenido y un movimiento lateral completo.
1. Port Security: Controlando quién se conecta físicamente
El Port Security de Cisco te permite especificar cuántas y cuáles direcciones MAC pueden comunicarse a través de un puerto de acceso. Si un dispositivo no autorizado se conecta, el switch puede alertar, restringir o apagar el puerto automáticamente.
Configuración básica recomendada:
2. BPDU Guard: Protegiendo Spanning Tree de manipulación
Los ataques de STP Manipulation permiten a un atacante conectar un switch no autorizado y forzar la re-elección del Root Bridge, redirigiendo todo el tráfico de la red a través de su equipo. El BPDU Guard apaga inmediatamente cualquier puerto de acceso que reciba una trama BPDU, impidiendo esto de raíz.
3. Autenticación MD5 en vecinos OSPF
OSPF, por defecto, acepta actualizaciones de ruteo de cualquier vecino en el mismo segmento. Un atacante con acceso físico o en la misma VLAN puede inyectar rutas falsas, redirigir tráfico o colapsar tablas de enrutamiento. La autenticación MD5 garantiza que solo routers con la clave correcta pueden intercambiar LSAs.