Defensa en capas: diseño de sistemas de borde
Diseñar la defensa es decidir, capa por capa, quién inspecciona qué, cuánta latencia cuesta y si el sistema abre o cierra cuando cae un control.
Qué es
Una solicitud atraviesa varias capas antes de llegar a los datos: el borde (CDN y ), un gateway de API, la aplicación y la base de datos. La defensa en capas es diseñar el conjunto para que la falla o la evasión de una no tumbe al resto, poniendo cada control donde es más barato y más preciso.
El camino de la solicitud y el papel de cada capa
El borde es excelente para lo que no depende del contexto de negocio (volumen, firmas, bots). Pero no sabe si un usuario puede ver ese pedido: eso es autorización, y solo la aplicación la conoce. Cada capa cubre el punto ciego de la anterior.
cliente
-> borde (CDN + WAF + bot + rate limit) barato, a escala: bloquear lo obvio y lo volumétrico
-> gateway de API identidad, esquema, cuotas por cliente
-> aplicación autorización por objeto, reglas de negocio
-> datos mínimo privilegio, cifrado, auditoríaCerrar el origen
De nada sirve un WAF excelente si el atacante habla directo con el origen. El origen debe aceptar tráfico solo del borde: lista de IPs del proveedor, autenticación mutua entre el borde y el origen, o túneles privados. Sin eso, cualquiera que descubra la dirección real elude toda la protección.
Fail-open o fail-closed
Toda capa de seguridad puede fallar (error de configuración, indisponibilidad, regla defectuosa). La pregunta de diseño es qué ocurre: fail-closed bloquea todo (seguro, pero es una indisponibilidad), fail-open deja pasar (disponible, pero desprotegido). No existe una respuesta universal: un endpoint de pago tiende a cerrar, una página pública tiende a abrir, y la decisión debe ser consciente, documentada y probada.
Latencia y radio de impacto
- Presupuesto de latencia: cada capa suma milisegundos; la inspección profunda del cuerpo cabe solo donde importa.
- : una regla nueva afecta a todo el tráfico; por eso la regla entra primero en observación y en un subconjunto.
- Cambio como código: reglas en repositorio (Terraform, por ejemplo), con revisión y rollback, en lugar de clics en el panel.
- Observabilidad en todas las capas, para saber en cuál se frenó una solicitud.
conexiones en el mapa
- Defensa en capas: diseño de sistemas de bordedefine dónde viveRate limiting adaptativo
- Defensa en capas: diseño de sistemas de bordeposicionaWAF - observación, shadow y enforcement
actualizado el 14/10/2026 · fuentes para profundizar · reportar un error
en otros dominios
- Network - segmentación y zero-trustcloudsecsegmentación y borde diseñados juntos
Estudia antes
pon a prueba lo que entendiste
Cargando preguntas…