Mapa de dependencias de aplicaciones: cómo saber qué habla con qué
Aperio Security · Actualizada el
Un mapa de dependencias de aplicaciones es una vista de qué equipos, aplicaciones y procesos de tu red se comunican entre sí, por qué puertos y con qué frecuencia. Se construye observando el tráfico real durante algunos días, de preferencia con el proceso que origina cada conexión, y es el paso previo indispensable para segmentar sin romper nada.
Por qué empezar por el mapa
Casi ninguna empresa tiene documentado cómo se comunican sus sistemas. La documentación, cuando existe, describe cómo se diseñó la red hace años, no cómo funciona hoy. Escribir reglas sin mapa lleva a uno de dos extremos: reglas tan abiertas que no protegen nada o reglas que rompen una integración que nadie recordaba.
Cómo se construye
- Por agente en cada equipo: registra cada conexión con el proceso que la abrió, el usuario y el destino. Es la fuente más rica, porque distingue, por ejemplo, el cliente del ERP de un script desconocido usando el mismo puerto.
- Por flujos de red: NetFlow, IPFIX o registros del firewall. Dan quién habla con quién, pero no qué proceso lo hace.
- Por inventario: nube, directorio activo o CMDB para nombrar y etiquetar lo que aparece.
Conviene observar al menos una semana completa, y si es posible un cierre de mes, para capturar procesos que no corren todos los días, como respaldos, nóminas o reportes.
Lo que suele aparecer
- Equipos que nadie tenía inventariados: servidores olvidados, máquinas virtuales de pruebas o equipos personales.
- Accesos administrativos desde donde no deberían: RDP o SMB desde estaciones de trabajo a servidores críticos.
- Servidores aislados: equipos sin conexiones internas, que suelen ser candidatos fáciles a un círculo cerrado.
- Salidas a Internet inesperadas: servidores internos que hablan con destinos externos sin una razón conocida.
- Grupos naturales: conjuntos de equipos que solo hablan entre sí. Son el borrador de tus futuros segmentos.
Del mapa a la política
- Agrupa los equipos por aplicación y entorno a partir de los grupos naturales del mapa.
- Para cada grupo, convierte las conexiones observadas y justificadas en reglas de permitir.
- Marca para revisión las conexiones que nadie sabe explicar.
- Simula la política y revisa qué se habría bloqueado antes de aplicarla. Ver cómo implementar microsegmentación.
Cómo lo hace Aperio
El mapa de Aperio Security se construye solo con el tráfico real en cuanto instalas los agentes, por niveles: la malla, la LAN de cada sede e Internet, con el movimiento lateral resaltado. Cada flujo se correlaciona con el proceso que lo originó. La IA etiqueta los equipos por rol y aplicación y propone círculos y reglas que puedes simular antes de aplicar.
Preguntas frecuentes
¿Cuánto tiempo hay que observar el tráfico?
Una semana da una buena primera imagen. Para aplicaciones con procesos mensuales, como nóminas o cierres contables, conviene incluir un cierre de mes antes de bloquear.
¿Por qué importa ver el proceso y no solo el puerto?
Porque muchos programas distintos usan los mismos puertos. Saber que la conexión al 443 la abre el cliente del ERP y no un binario desconocido permite reglas más precisas y alertas con menos falsos positivos.
¿El mapa sirve para auditorías?
Sí. Es evidencia de quién habla con quién y qué se permite, algo que piden marcos como PCI DSS para demostrar el alcance de la segmentación.