Direcciones IP

Una dirección IP es el identificador que se asigna a un dispositivo conectado a una red, y es lo que hace posible enrutar datos hacia él y desde él.

Las direcciones son la unidad en la que se expresa casi todo en seguridad de redes: reglas de cortafuegos, listas de control de acceso, listas de bloqueo, entradas de registro y la mayoría de las fuentes de inteligencia de amenazas.

Entender qué garantizan y qué no garantizan es lo que evita que un conjunto de reglas esté equivocado con total confianza.

Qué las caracteriza

Identificar dispositivos. A cada dispositivo de una red, sea un portátil, un teléfono o un servidor, se le asigna una dirección para que se pueda llegar a él y para que él pueda llegar a los demás.

IPv4 e IPv6. Hay dos versiones en uso. IPv4 usa direcciones de 32 bits y sigue siendo la mayoría de lo desplegado, pero el espacio de direcciones se agotó, y por eso IPv6, con direcciones de 128 bits, lleva años desplegándose.

Enrutamiento. Las direcciones son lo que permite que los paquetes viajen del origen al destino a través de redes que no tienen ningún otro conocimiento unas de otras.

Lo que no garantizan

No son prueba del origen. La dirección de origen de un paquete la escribe quien lo envía. Nada en el protocolo la verifica, que es lo que hace posible el spoofing y lo que hace que funcionen los ataques de reflexión y amplificación, sobre todo sobre UDP.

No son una identidad. Las direcciones se comparten, se traducen, se reasignan y se reutilizan. Detrás de una dirección pública puede haber una oficina entera; detrás de una oficina puede haber muchas direcciones públicas a lo largo de un mismo día. Tratar una dirección como si fuera una persona es un error que aparece tanto en las investigaciones de incidentes como en las evaluaciones de privacidad.

Son visibles. La información asociada a una dirección, incluida la ubicación aproximada, plantea cuestiones de privacidad, y en la Unión Europea una dirección puede ser un dato personal según con qué otras cosas se pueda combinar.

Son lo primero que se enumera. Los rangos de direcciones son lo que escanea un atacante, que es el principio del reconocimiento, y conocer tus propios rangos mejor que alguien de fuera es la contrapartida a eso.

Un ejemplo práctico

Un servidor web tiene la dirección 192.168.1.100 en una red interna.

Cuando alguien abre el sitio en un navegador, se enruta una petición hacia esa dirección, y las respuestas vuelven por el mismo camino.

La dirección es la etiqueta que hace posible el intercambio. Dice dónde, y no dice absolutamente nada sobre quién.

Por qué las reglas escritas solo con direcciones envejecen mal

De ahí se siguen dos consecuencias prácticas, y las dos son corrientes y no exóticas.

La primera es que un filtro de paquetes escrito solo con direcciones y puertos no ve nada de lo que llegue por un puerto que ya está permitido, que hoy es casi todo.

La segunda es que en un entorno cloud o de contenedores las direcciones son efímeras. Una regla que confía en una dirección confía en la carga de trabajo que la tenga en ese momento, y esa es una carga de trabajo distinta de aquella para la que se escribió. Ese es el argumento práctico a favor de los controles basados en identidad frente a los basados en la ubicación en la red, y es la premisa entera del zero trust.

Dónde leer más

ARIN, direccionamiento IP y subredes para usuarios nuevos: una guía sencilla sobre cómo se asignan y se usan las direcciones.

RIPE NCC, fundamentos de IPv6: las diferencias clave con IPv4 y por qué importa la transición.