--- id: CP-228 slug: segmentacion-red-vlan-microsegmentacion lang: es title: Segmentación de red y VLAN contra el ransomware description: Dividir la red en zonas (VLAN, cortafuegos internos, microsegmentación) limita un ransomware. Qué hace el empleado para que funcione. canonical_url: https://startbrain.io/cyberpedia/es/articles/segmentacion-red-vlan-microsegmentacion/ markdown_url: https://startbrain.io/cyberpedia/es/articles/segmentacion-red-vlan-microsegmentacion.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Segmentación de red y VLAN contra el ransomware», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/segmentacion-red-vlan-microsegmentacion/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-079 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/segmentacion-red-vlan-microsegmentacion/ fr: https://startbrain.io/cyberpedia/fr/articles/segmentation-reseau-vlan-micro-segmentation/ en: https://startbrain.io/cyberpedia/en/articles/network-segmentation-vlan-micro-segmentation/ de: https://startbrain.io/cyberpedia/de/articles/netzwerksegmentierung-vlan-mikrosegmentierung/ it: https://startbrain.io/cyberpedia/it/articles/segmentazione-rete-vlan-microsegmentazione/ sources: - "n": 1 title: Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1486/ accessed: "2026-11-03" - "n": 2 title: "#StopRansomware Guide | CISA" publisher: CISA url: https://www.cisa.gov/stopransomware/ransomware-guide accessed: "2026-11-03" - "n": 3 title: Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1030/ accessed: "2026-11-03" - "n": 4 title: Zero trust architecture design principles publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles accessed: "2026-11-03" - "n": 5 title: SP 800-207, Zero Trust Architecture | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/207/final accessed: "2026-11-03" - "n": 6 title: Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1021/ accessed: "2026-11-03" - "n": 7 title: "Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1021/002/ accessed: "2026-11-03" - "n": 8 title: Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1210/ accessed: "2026-11-03" - "n": 9 title: Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1570/ accessed: "2026-11-03" --- # Segmentación de red y VLAN contra el ransomware Un ransomware rara vez se detiene en el primer ordenador afectado. Según MITRE ATT&CK, un software de cifrado puede propagarse por una red, a la manera de un gusano, para cifrar los datos de un gran número de equipos y maximizar el daño [1]. Dividir la red en zonas estancas es una de las respuestas a este riesgo. Esta ficha explica qué significan los términos VLAN, cortafuegos interno y microsegmentación, qué puede hacer el empleado para que esa división funcione y cuáles son los errores que la vuelven ineficaz. ## En 30 segundos - Dónde ocurre: en la red interna de la empresa, una vez que un equipo o una cuenta está comprometido. - Qué quiere el atacante: pasar de una máquina a otras para cifrar la mayor cantidad posible de datos [1]. - Si ya ha ocurrido: avise de inmediato a TI o a seguridad, que aislarán el equipo; si se lo piden, desconecte el cable o apague el wifi [2]. - El reflejo: no conecte ningún dispositivo ni soporte no autorizado, permanezca en la red prevista para su uso y avise pronto de un equipo que se comporte de forma extraña para que se le aísle. ## Preguntas directas ### ¿Qué es la segmentación de red? Es la división de una red en segmentos más pequeños y aislados, para controlar el tráfico entre dispositivos, sistemas y aplicaciones. MITRE ATT&CK indica que así se reduce la superficie de ataque, se frenan los desplazamientos del atacante y se protegen los activos críticos [3]. ### ¿Qué son una VLAN y un cortafuegos interno? MITRE ATT&CK describe una separación hecha de fronteras físicas, de separación lógica mediante VLAN y de reglas de acceso aplicadas por equipos como los cortafuegos y los enrutadores [3]. Una VLAN es, pues, una separación lógica, y el cortafuegos interno controla lo que pasa de un segmento a otro. ### ¿Y la microsegmentación? Es el mismo principio a escala de cada carga de trabajo. MITRE ATT&CK recomienda herramientas de red definida por software para segmentar a ese nivel e impedir el movimiento lateral [3]. ### ¿Por qué le afecta a un empleado? Porque la segmentación puede eludirse por un error del usuario. CISA precisa que puede dejar de ser eficaz si no se respetan las reglas de la organización, por ejemplo al conectar un soporte extraíble u otros dispositivos a varios segmentos [2]. ## Cómo funciona El principio consiste en agrupar los sistemas según su función, su sensibilidad y su riesgo. MITRE ATT&CK cita como ejemplos los sistemas de pago, las bases de datos de RR. HH., los sistemas de producción y los servidores expuestos a Internet [3]. Los servidores web, DNS y de correo accesibles desde el exterior se sitúan en una zona desmilitarizada (DMZ), con reglas estrictas de filtrado hacia la red interna [3]. Las reglas siguen una lógica de denegación por defecto: listas de control de acceso en los equipos de red y cortafuegos que limitan tanto el tráfico entre el exterior y el interior como el tráfico entre máquinas internas [3]. MITRE ATT&CK recomienda además separar las redes wifi y cableadas, sobre todo cuando la red cableada da acceso a recursos sensibles [3]. CISA recomienda separar los servicios o departamentos de la organización y mantener una separación entre la informática convencional y los sistemas industriales. Su guía presenta un esquema de red «plana» (sin segmentar) y un esquema de red segmentada [2]. El NCSC británico va más allá con el «zero trust»: se retira la confianza inherente a la red, esta se considera hostil y cada solicitud se verifica según una política de acceso [4]. Para el NIST, este enfoque traslada la defensa de los perímetros estáticos a los usuarios, los activos y los recursos [5]. El NIST afirma que el zero trust protege recursos, no segmentos de red [5]. ## Lo que usted hace - No conecte dispositivos no autorizados, ni a una toma de red ni a un equipo. CISA cita la conexión de soportes extraíbles o de dispositivos a varios segmentos como causa del fallo de la segmentación [2]. - Utilice la red prevista para su uso. MITRE ATT&CK recomienda separar los entornos wifi y cableado cuando este último da acceso a recursos sensibles [3]. - Avise pronto de un equipo sospechoso a TI o a seguridad, que aíslan los sistemas afectados de forma coordinada. Si se lo piden, desconecte el cable de red o apague el wifi: CISA presenta la desconexión de los dispositivos como una alternativa cuando no es posible ponerlos fuera de la red de inmediato [2]. - No apague el equipo por su cuenta sin instrucciones. CISA indica que cortar la alimentación hace perder rastros en la memoria y que solo se hace si no hay otra forma de desconectar [2]. ## Los errores frecuentes La red plana. Cuando todo se comunica con todo, un solo equipo comprometido abre el acceso al resto. MITRE ATT&CK señala que, con credenciales de dominio válidas, un atacante puede conectarse a muchas máquinas mediante protocolos de acceso remoto como SSH o RDP [6]. Una VLAN sin filtrado. Separar no basta si nada controla el paso. MITRE ATT&CK pide reglas de cortafuegos que bloqueen el tráfico RDP entre zonas de seguridad y la denegación por defecto en las listas de control de acceso [3]. También recomienda revisar las reglas con regularidad, vigilar los flujos y probar la segmentación con pruebas de intrusión periódicas [3]. Reglas demasiado amplias. MITRE ATT&CK recomienda permitir solo los puertos y el tráfico necesarios [3]. Una regla que lo deja pasar todo anula el sentido de la zona. Una administración sin compartimentar. Los recursos compartidos de administración ocultos de Windows (C$, ADMIN$, IPC$) permiten copiar archivos a distancia y otras funciones de administración, y un atacante puede usarlos con una cuenta de administrador válida [7]. Para WinRM, MITRE ATT&CK aconseja aislar los enclaves críticos con una infraestructura separada y restringir el acceso a dispositivos concretos [3]. Servidores vulnerables accesibles desde cualquier lugar. Existen fallos conocidos en servicios habituales como SMB y RDP, y también en aplicaciones internas como MySQL [8]. MITRE ATT&CK recomienda segmentar para reducir el acceso a los sistemas críticos a métodos controlados [3]. Copias de herramientas de una máquina a otra. Un atacante puede copiar archivos entre sistemas internos con protocolos de uso compartido como SMB o mediante una conexión RDP autenticada [9]. ## Casos reales ### 2016: ataque contra la red eléctrica ucraniana Según MITRE ATT&CK, durante el ataque de 2016 contra la red eléctrica ucraniana, el grupo Sandworm Team usó el comando net use para conectarse a recursos compartidos de red [7]. Las fuentes citadas aquí no detallan más este episodio. ### Campaña APT28 «Nearest Neighbor» MITRE ATT&CK indica que, durante la campaña «Nearest Neighbor», APT28 usó SMB para transferir archivos y desplazarse lateralmente [7]. Las fuentes citadas aquí no dan fecha para esta campaña. ## Fuentes 1. MITRE ATT&CK, «Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1486/ (consultado el 3 de noviembre de 2026) 2. CISA, «#StopRansomware Guide | CISA». https://www.cisa.gov/stopransomware/ransomware-guide (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1030/ (consultado el 3 de noviembre de 2026) 4. NCSC (Royaume-Uni), «Zero trust architecture design principles». https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (consultado el 3 de noviembre de 2026) 5. NIST, «SP 800-207, Zero Trust Architecture | CSRC». https://csrc.nist.gov/pubs/sp/800/207/final (consultado el 3 de noviembre de 2026) 6. MITRE ATT&CK, «Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1021/ (consultado el 3 de noviembre de 2026) 7. MITRE ATT&CK, «Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1021/002/ (consultado el 3 de noviembre de 2026) 8. MITRE ATT&CK, «Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1210/ (consultado el 3 de noviembre de 2026) 9. MITRE ATT&CK, «Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1570/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/segmentacion-red-vlan-microsegmentacion/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.