El air gap, reinventado: del aislamiento permanente a la desconexión basada en tiempo

01Conclusiones clave

1. 01

   El air gap nunca fue una preferencia estética. Era una forma de hacer que la accesibilidad fuera físicamente imposible para sistemas cuyo compromiso sería inaceptable.

2. 02

   El aislamiento permanente funciona para un conjunto reducido de entornos, pero la mayoría de las organizaciones necesitan ahora ventanas cortas y controladas para copias de seguridad, mantenimiento, actualizaciones y recopilación de pruebas.

3. 03

   Un air gap controlado convierte la conectividad de una condición permanente en un evento explícito: abierto con un propósito, cerrado por defecto y registrado como prueba operativa.

4. 04

   La decisión de diseño clave no es más filtrado. Es trasladar la decisión final a una interrupción de hardware controlada fuera de banda, de modo que la ruta protegida no pueda reabrirse por sí sola desde la red de datos.

02El viejo air gap resolvía un problema real

Durante décadas, la expresión air gap significó una sola cosa: ninguna ruta de red. En los sistemas militares, la investigación clasificada, el control industrial y los entornos SCADA más sensibles, esa regla tenía sentido. Si no se podía alcanzar un sistema desde una red hostil, la explotación remota no tenía ninguna vía hacia él.

Esa idea sigue siendo sólida. La dificultad es que las operaciones modernas ya no se construyen en torno a la separación permanente. Las copias de seguridad tienen que ejecutarse. Los proveedores necesitan acceso planificado. El firmware debe actualizarse. Los equipos de monitorización necesitan pruebas. La cuestión no es si el aislamiento importa. La cuestión es cómo hacer que el aislamiento sea utilizable sin convertirlo en una exposición permanente.

El air gap moderno no abandona el aislamiento. Hace que el aislamiento sea operativo.

03Por qué el aislamiento permanente dejó de escalar

Un air gap controlado mantiene el principio clásico: cuando el activo protegido no necesita estar en línea, no debería existir ninguna ruta alcanzable hacia él. Lo que cambia es el modelo operativo. En lugar de suponer que el activo está desconectado para siempre, la organización define cuándo puede existir la ruta y quién está autorizado a abrirla.

Eso hace que el air gap moderno sea diferente de tres controles conocidos:

Regla de firewall

una decisión de software sobre una ruta enrutada que sigue existiendo. Útil, pero dependiente de la configuración y de la integridad del plano de gestión.

Acceso VPN

un túnel autenticado para un usuario o proveedor. Necesario en algunos flujos de trabajo, pero sigue siendo una superficie de acceso remoto activa.

Segmentación

una forma de acotar las rutas dentro de la red. Valiosa, pero no es lo mismo que eliminar la ruta física cuando el activo está inactivo.

Un air gap controlado es más estricto. Sostiene que la ruta más segura es la que no está presente salvo durante una ventana de funcionamiento definida.

04El tiempo es la superficie de control que falta

El cambio se hace evidente cuando se observa el riesgo cibernético a través del tiempo:

Los air gaps clásicos intentaban llevar el tiempo de exposición a cero. La arquitectura siempre activa lo lleva a 168 horas por semana. Un air gap basado en tiempo se sitúa entre esos extremos. Acepta que algunos flujos de trabajo necesitan conectividad y, a continuación, convierte la duración de esa conectividad en la variable controlada.

Esa distinción importa porque la mayoría de las rutas de compromiso no son cinematográficas. Son oportunistas, automatizadas y pacientes. Un objetivo de copia de seguridad, un segmento de cámaras o una interfaz de gestión que sea alcanzable las 24 horas del día está disponible siempre que lo alcance una infraestructura de escaneo, unas credenciales robadas o un movimiento lateral.

Si el mismo activo solo es alcanzable durante una ventana de mantenimiento o de copia de seguridad de cuatro horas, el atacante tiene que coincidir con esa ventana. El control no promete invulnerabilidad. Elimina la ruta siempre disponible de la que dependen muchos ataques.

05Tres cambios detrás del air gap moderno

06Por qué los controles solo por software no son lo mismo

Los controles por software siguen siendo necesarios. Autentican usuarios, filtran el tráfico, inspeccionan sesiones y generan registros. Pero no crean el mismo modo de fallo que una interrupción física. Un control por software puede modificarse mediante software, administrarse mediante software y, a veces, eludirse mediante software.

Deriva de configuración

Las reglas se acumulan, las excepciones permanecen abiertas y el acceso temporal se convierte en acceso normal.

Destino compartido

Si el plano de control se encuentra en la misma red que el activo, un compromiso puede afectar tanto al objetivo como al mecanismo destinado a protegerlo.

Exposición de credenciales

Las VPN y los portales de administración trasladan el problema a la identidad. Eso ayuda, pero unas credenciales robadas aún pueden abrir una ruta activa.

Dependencia de la detección

La monitorización puede decirte que algo ocurrió. No garantiza que la ruta estuviera ausente antes de que ocurriera.

El objetivo no es reemplazar esos controles. El objetivo es darles una ventana de tiempo más pequeña que defender.

07Desconexión fuera de banda impuesta por hardware

Un air gap controlado moderno debería tener dos propiedades. Primera, la ruta Ethernet protegida se abre o se cierra físicamente mediante hardware. Segunda, la ruta de comandos que controla esa interrupción está fuera de banda, de modo que la red de datos protegida no puede ordenar al dispositivo que se reconecte por sí mismo.

Ahí es donde productos como AIRGAPNET reposicionan la idea del air gap. No exigen que cada organización opere con un modelo de red clasificada. Ponen una desconexión física a disposición de los activos ordinarios que solo necesitan una accesibilidad intermitente.

Programación

abre la ruta durante una ventana definida de copia de seguridad, actualización o inspección.

A demanda

reconecta cuando un operador autorizado aprueba una tarea.

Cierre vinculado al trabajo

vuelve a desconectar cuando el motivo operativo ha terminado.

Evidencia

registra el hecho de que la ventana se abrió y se cerró.

El resultado no es una zona de seguridad mística. Es una ventana de ataque más pequeña y más disciplinada, respaldada por un cambio de estado físico.

Si la red de datos puede reabrir su propio control de aislamiento, el aislamiento es solo una política. Si no puede, el control se convierte en una frontera.

08Dónde encajan los air gaps controlados

09Un patrón de implementación práctico

Un air gap controlado empieza con el calendario operativo, no con un dispositivo. Antes de colocar hardware en la ruta, define exactamente cuándo se necesita la ruta y qué evidencia demuestra que se ha vuelto a cerrar.

1. Elige el activo

   Empieza con un repositorio, una interfaz de gestión, un segmento de cámaras o un dispositivo mantenido por un proveedor cuyo compromiso resultaría costoso.

2. Define la ventana

   Anota la ventana de conexión razonable más pequeña para la copia de seguridad, el mantenimiento, la actualización o la inspección.

3. Designa al responsable

   Haz que un único equipo sea responsable de aprobar las reconexiones y de cerrar la ruta después de la tarea.

4. Coloca la interrupción

   Sitúa la desconexión física en el punto donde elimina la accesibilidad sin interrumpir el tráfico no relacionado.

5. Registra el cambio de estado

   Conserva evidencia de cada evento de apertura y cierre para que los equipos de seguridad y auditoría puedan verificar el flujo de trabajo.

Las implementaciones más sencillas suelen ser las más sólidas. Una clase de activo, una ventana, un responsable, una prueba de que la ruta está cerrada fuera de la ventana.

10Tres objeciones habituales

11Reflexión final

El air gap no quedó obsoleto porque el principio fallara. Se volvió difícil de usar porque las operaciones cambiaron más rápido que el modelo de control.

La reinvención es modesta y práctica: mantén la frontera física, hazla basada en tiempo, contrólala fuera de banda y trata cada reconexión como un evento que necesita un motivo. Eso da a los equipos modernos la parte del air gap que sigue siendo más importante: menos horas en las que el activo protegido puede ser alcanzado en absoluto.