Cyberpediapor Brain
ESDEENFR

Segmentación de red y VLAN contra el ransomware

Dividir la red en zonas (VLAN, cortafuegos internos, microsegmentación) limita un ransomware. Qué hace el empleado para que funcione.

En 30 segundos

Dónde ocurre
En la red interna de la empresa, una vez que un equipo o una cuenta está comprometido.
Qué quiere el atacante
Pasar de una máquina a otras para cifrar la mayor cantidad posible de datos1.
Si ya ha ocurrido
Avise de inmediato a TI o a seguridad, que aislarán el equipo; si se lo piden, desconecte el cable o apague el wifi2.
El reflejo
No conecte ningún dispositivo ni soporte no autorizado, permanezca en la red prevista para su uso y avise pronto de un equipo que se comporte de forma extraña para que se le aísle.

De qué se trata

Un ransomware rara vez se detiene en el primer ordenador afectado. Según MITRE ATT&CK, un software de cifrado puede propagarse por una red, a la manera de un gusano, para cifrar los datos de un gran número de equipos y maximizar el daño1. Dividir la red en zonas estancas es una de las respuestas a este riesgo.

Esta ficha explica qué significan los términos VLAN, cortafuegos interno y microsegmentación, qué puede hacer el empleado para que esa división funcione y cuáles son los errores que la vuelven ineficaz.

Preguntas directas

¿Qué es la segmentación de red?

Es la división de una red en segmentos más pequeños y aislados, para controlar el tráfico entre dispositivos, sistemas y aplicaciones. MITRE ATT&CK indica que así se reduce la superficie de ataque, se frenan los desplazamientos del atacante y se protegen los activos críticos3.

¿Qué son una VLAN y un cortafuegos interno?

MITRE ATT&CK describe una separación hecha de fronteras físicas, de separación lógica mediante VLAN y de reglas de acceso aplicadas por equipos como los cortafuegos y los enrutadores3. Una VLAN es, pues, una separación lógica, y el cortafuegos interno controla lo que pasa de un segmento a otro.

¿Y la microsegmentación?

Es el mismo principio a escala de cada carga de trabajo. MITRE ATT&CK recomienda herramientas de red definida por software para segmentar a ese nivel e impedir el movimiento lateral3.

¿Por qué le afecta a un empleado?

Porque la segmentación puede eludirse por un error del usuario. CISA precisa que puede dejar de ser eficaz si no se respetan las reglas de la organización, por ejemplo al conectar un soporte extraíble u otros dispositivos a varios segmentos2.

1Cómo funciona2 min

El principio consiste en agrupar los sistemas según su función, su sensibilidad y su riesgo. MITRE ATT&CK cita como ejemplos los sistemas de pago, las bases de datos de RR. HH., los sistemas de producción y los servidores expuestos a Internet3. Los servidores web, DNS y de correo accesibles desde el exterior se sitúan en una zona desmilitarizada (DMZ), con reglas estrictas de filtrado hacia la red interna3.

Las reglas siguen una lógica de denegación por defecto: listas de control de acceso en los equipos de red y cortafuegos que limitan tanto el tráfico entre el exterior y el interior como el tráfico entre máquinas internas3. MITRE ATT&CK recomienda además separar las redes wifi y cableadas, sobre todo cuando la red cableada da acceso a recursos sensibles3.

CISA recomienda separar los servicios o departamentos de la organización y mantener una separación entre la informática convencional y los sistemas industriales. Su guía presenta un esquema de red «plana» (sin segmentar) y un esquema de red segmentada2.

El NCSC británico va más allá con el «zero trust»: se retira la confianza inherente a la red, esta se considera hostil y cada solicitud se verifica según una política de acceso4. Para el NIST, este enfoque traslada la defensa de los perímetros estáticos a los usuarios, los activos y los recursos5. El NIST afirma que el zero trust protege recursos, no segmentos de red5.

2Lo que usted hace1 min
  • No conecte dispositivos no autorizados, ni a una toma de red ni a un equipo. CISA cita la conexión de soportes extraíbles o de dispositivos a varios segmentos como causa del fallo de la segmentación2.
  • Utilice la red prevista para su uso. MITRE ATT&CK recomienda separar los entornos wifi y cableado cuando este último da acceso a recursos sensibles3.
  • Avise pronto de un equipo sospechoso a TI o a seguridad, que aíslan los sistemas afectados de forma coordinada. Si se lo piden, desconecte el cable de red o apague el wifi: CISA presenta la desconexión de los dispositivos como una alternativa cuando no es posible ponerlos fuera de la red de inmediato2.
  • No apague el equipo por su cuenta sin instrucciones. CISA indica que cortar la alimentación hace perder rastros en la memoria y que solo se hace si no hay otra forma de desconectar2.
3Los errores frecuentes2 min

La red plana. Cuando todo se comunica con todo, un solo equipo comprometido abre el acceso al resto. MITRE ATT&CK señala que, con credenciales de dominio válidas, un atacante puede conectarse a muchas máquinas mediante protocolos de acceso remoto como SSH o RDP6.

Una VLAN sin filtrado. Separar no basta si nada controla el paso. MITRE ATT&CK pide reglas de cortafuegos que bloqueen el tráfico RDP entre zonas de seguridad y la denegación por defecto en las listas de control de acceso3. También recomienda revisar las reglas con regularidad, vigilar los flujos y probar la segmentación con pruebas de intrusión periódicas3.

Reglas demasiado amplias. MITRE ATT&CK recomienda permitir solo los puertos y el tráfico necesarios3. Una regla que lo deja pasar todo anula el sentido de la zona.

Una administración sin compartimentar. Los recursos compartidos de administración ocultos de Windows (C$, ADMIN$, IPC$) permiten copiar archivos a distancia y otras funciones de administración, y un atacante puede usarlos con una cuenta de administrador válida7. Para WinRM, MITRE ATT&CK aconseja aislar los enclaves críticos con una infraestructura separada y restringir el acceso a dispositivos concretos3.

Servidores vulnerables accesibles desde cualquier lugar. Existen fallos conocidos en servicios habituales como SMB y RDP, y también en aplicaciones internas como MySQL8. MITRE ATT&CK recomienda segmentar para reducir el acceso a los sistemas críticos a métodos controlados3.

Copias de herramientas de una máquina a otra. Un atacante puede copiar archivos entre sistemas internos con protocolos de uso compartido como SMB o mediante una conexión RDP autenticada9.

4Casos reales1 min

2016: ataque contra la red eléctrica ucraniana

Según MITRE ATT&CK, durante el ataque de 2016 contra la red eléctrica ucraniana, el grupo Sandworm Team usó el comando net use para conectarse a recursos compartidos de red7. Las fuentes citadas aquí no detallan más este episodio.

Campaña APT28 «Nearest Neighbor»

MITRE ATT&CK indica que, durante la campaña «Nearest Neighbor», APT28 usó SMB para transferir archivos y desplazarse lateralmente7. Las fuentes citadas aquí no dan fecha para esta campaña.

Ficha

Identificador
CP-228
Ala
3. Protocolos y defensa
Competencia Brain
Navegar con seguridad (browse_safely)
Reflejo Brain
cr-079
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr
Fuentes
9 fuentes verificadas el 3 de noviembre de 2026
Fuentes9 fuentes
  1. MITRE ATT&CK, «Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1486/ (consultado el 3 de noviembre de 2026)
  2. CISA, «#StopRansomware Guide | CISA». https://www.cisa.gov/stopransomware/ransomware-guide (consultado el 3 de noviembre de 2026)
  3. MITRE ATT&CK, «Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1030/ (consultado el 3 de noviembre de 2026)
  4. NCSC (Royaume-Uni), «Zero trust architecture design principles». https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (consultado el 3 de noviembre de 2026)
  5. NIST, «SP 800-207, Zero Trust Architecture | CSRC». https://csrc.nist.gov/pubs/sp/800/207/final (consultado el 3 de noviembre de 2026)
  6. MITRE ATT&CK, «Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1021/ (consultado el 3 de noviembre de 2026)
  7. MITRE ATT&CK, «Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1021/002/ (consultado el 3 de noviembre de 2026)
  8. MITRE ATT&CK, «Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1210/ (consultado el 3 de noviembre de 2026)
  9. MITRE ATT&CK, «Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1570/ (consultado el 3 de noviembre de 2026)

Citar este artículo

Brain, «Segmentación de red y VLAN contra el ransomware», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/segmentacion-red-vlan-microsegmentacion/

BibTeX 
@misc{brain_cp228_es_2026,
  author = {Brain},
  title = {Segmentación de red y VLAN contra el ransomware},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/es/articles/segmentacion-red-vlan-microsegmentacion/},
  note = {CC BY 4.0}
}
Licencia CC BY 4.0