Arquitectura de referencia

¿Dónde va cada sonda?

Dos modelos de referencia para ubicar las fuentes de telemetría: defensa en profundidad para el entorno IT/nube, y el modelo Purdue para entornos industriales (OT/ICS). Cada sonda aparece coloreada por su categoría.

Identidad y accesoEndpointRedNube y contenedoresAplicación y datosCorreoRegistro y correlaciónOT / ICSDevSecOps / cadena de suministroEngaño y físico

Consultar siglas y nombres de las sondas

Busca aquí el nombre completo de las etiquetas de ambos diagramas. La categoría también se indica por escrito.

IDP: IdP / SSO (Entra ID, Okta)Identidad y acceso
PAM: Acceso privilegiado (PAM)Identidad y acceso
AD: Directorio / Active DirectoryIdentidad y acceso
JUMP: Servidor de salto (bastion)Identidad y acceso
EDR: EDR — Endpoint Detection & ResponseEndpoint
ANTIMW: Antimalware / AntivirusEndpoint
FIM: Integridad de archivos (FIM)Endpoint
OSQUERY: Consulta de endpoint (osquery)Endpoint
NGFW: Firewall de nueva generaciónRed
FW-OT: Firewall industrial (OT)Red
IDS: IDS — Detección de intrusosRed
IPS: IPS — Prevención de intrusosRed
NETFLOW: NetFlow / NDR (flujos de red)Red
WAF: Firewall de aplicación web (WAF)Red
PROXY: Proxy web / SWGRed
DNS: Registros DNSRed
CLOUD: Auditoría de nube (CloudTrail/Activity)Nube y contenedores
CSPM: Postura de nube (CSPM)Nube y contenedores
CASB: CASB — seguridad SaaSNube y contenedores
K8S: Contenedores / KubernetesNube y contenedores
APPLOG: Logs de aplicaciónAplicación y datos
DAM: Monitoreo de base de datos (DAM)Aplicación y datos
DLP: Prevención de fuga de datos (DLP)Aplicación y datos
LLM: Gateway de IA / LLMAplicación y datos
EMAIL: Seguridad de correo (Email Gateway)Correo
SIEM: SIEM / correlaciónRegistro y correlación
LOGMGR: Gestor de logsRegistro y correlación
SYSLOG: SyslogRegistro y correlación
OT-IDS: IDS industrial (Modbus/DNP3/OPC)OT / ICS
HIST: Historiador SCADAOT / ICS
SIS: Sistema instrumentado de seguridadOT / ICS
SCA: Análisis de composición / SBOMDevSecOps / cadena de suministro
CICD: Auditoría CI/CDDevSecOps / cadena de suministro
SCM: Auditoría de repositorios (SCM)DevSecOps / cadena de suministro
SECRETS: Escaneo de secretosDevSecOps / cadena de suministro
HONEYPOT: Honeypot / señueloEngaño y físico
PHYS: Control de acceso físicoEngaño y físico

Ver descripciones y fuentes de evidencia

Modelo 1 · Entorno IT y nube

Defensa en profundidad

Capas concéntricas de control alrededor del activo a proteger (los datos). La identidad y el monitoreo son transversales: atraviesan todas las capas.

Físico y personas instalaciones · engaño · concienciación

HONEYPOTPHYS

Perímetro y nube borde de Internet · SaaS

NGFWPROXYCLOUDCSPMCASBEMAIL

Red interna segmentación · tráfico este-oeste

IDSIPSNETFLOWDNS

Host / Endpoint servidores y estaciones

EDRANTIMWOSQUERY

Aplicación software · APIs · código

WAFK8SAPPLOGLLMSCACICDSCMSECRETS

Datosel activo a proteger

FIMDAMDLP

Identidad y acceso

Transversal a todas las capas

IDPPAMADJUMP

Monitoreo y correlación

Visibilidad transversal (SIEM)

SIEMLOGMGRSYSLOG

Modelo 2 · Entorno industrial OT / ICS

Modelo Purdue (ISA-95 / IEC 62443)

Segmentación por niveles, del proceso físico (Nivel 0) a la zona empresarial (Nivel 4–5). La IDMZ (Nivel 3.5) es la frontera crítica entre IT y OT: todo cruce pasa y se vigila ahí.

Nivel 4–5Zona empresarial (IT)

ERP, correo, nube, ofimática

IDPADEDRANTIMWFIMOSQUERYNGFWIDSIPSNETFLOWWAFPROXYDNSCLOUDCSPMCASBK8SAPPLOGDAMDLPLLMEMAILSIEMLOGMGRSYSLOGSCACICDSCMSECRETSHONEYPOT

Nivel 3.5IDMZ · Zona desmilitarizada industrial

Frontera IT/OT: jump server, firewall, réplica de datos ▲ Frontera IT / OT — punto de inspección obligatorio

PAMJUMPFW-OT

Nivel 3Operaciones del sitio

MES, historiador, gestión de producción

HIST

Nivel 2Supervisión de área

SCADA, HMI, ingeniería (EWS)

OT-IDS

Nivel 1Control básico

PLC, RTU, DCS, sistemas de seguridad (SIS)

SIS

Nivel 0Proceso físico

Sensores, actuadores, instrumentación

PHYS

La mayoría de las sondas de seguridad IT viven en la zona empresarial (Nivel 4–5) y observan hacia abajo a través de la IDMZ. Las sondas específicas de OT (IDS industrial, historiador, sistema de seguridad) se ubican dentro de la red de control, donde no puede entrar el tooling IT tradicional.

Cómo usarlo

Usa estos modelos para planificar la cobertura: cada punto ciego del mapa de telemetría corresponde a una capa o nivel sin sonda. La arquitectura te dice dónde desplegar la fuente que falta.