Preparación para la Certificación Microsoft SC-900
Protección de Redes, Aplicaciones y Secretos en Azure
Virtual Network, subredes, NSGs, Azure Firewall, Cortafuegos de Aplicaciones Web, Protección contra DDoS de Azure, Azure Bastion, Key Vault y defensa en profundidad
Tiempo de estudio sugerido: 36 minutos • Nivel principiante • Alineado con el plan de estudios SC-900 y la documentación oficial de Microsoft Learn
Por João Ricardo Dutra••Material completo
1. Introducción: del perímetro físico a la infraestructura definida por software
La seguridad de redes nació en entornos en los cuales servidores, usuarios y equipos estaban concentrados dentro de edificios y centros de datos. Enrutadores, listas de control de acceso y cortafuegos formaban un perímetro relativamente estable entre la red interna y la internet. Con la virtualización, las aplicaciones web, los dispositivos móviles y la computación en la nube, ese perímetro se volvió distribuido. Redes, reglas de tráfico, balanceadores y almacenes de secretos pasaron a ser configurados por software y consumidos como servicios.
Esta transformación contribuye directamente a las organizaciones y a la sociedad porque los servicios esenciales - bancos, hospitales, escuelas, gobiernos y plataformas de comunicación - dependen de disponibilidad, confidencialidad e integridad. Una arquitectura bien protegida reduce interrupciones, filtraciones y fraudes, además de permitir la innovación con riesgos controlados. El desafío es comprender que “estar en la nube” no hace que un sistema sea automáticamente seguro: Microsoft protege la plataforma, mientras que el cliente debe configurar adecuadamente redes, identidades, aplicaciones y datos.
A lo largo de este capítulo, piensa en una aplicación de tres capas: una interfaz web expuesta al público, una interna y una base de datos. Cada servicio estudiado responde a una pregunta diferente. Un ataque volumétrico requiere mitigación DDoS; una explotación requiere ; el tráfico entre subredes requiere y, en escenarios centralizados, ; la administración de VMs requiere Bastion; contraseñas, claves y certificados requieren . Entender estos límites es más importante que memorizar nombres.
Pregunta-guía
Si una aplicación utiliza , ¿aún necesita ,, Protecci?n contra DDoS de y ? Sí. Cada control actúa en una superficie, capa u objetivo distinto.
1.1 Seguridad como arquitectura, no como producto aislado
La defensa en profundidad significa combinar controles preventivos, detectivos y de respuesta. Un control puede fallar, ser eludido o no detectar cierto tipo de tráfico. La segmentación limita el ; un firewall central controla rutas y destinos; el entiende protocolos web; el reduce la exposición de credenciales. El resultado es una secuencia de barreras complementarias, y no una promesa de invulnerabilidad.
Figura 1 - Servicios complementarios de seguridad de infraestructura en .
2. Fundamentos técnicos: capas, flujos y estado
2.1 Capas de red y aplicación
Para el SC-900, no es necesario memorizar todo el modelo OSI, pero es esencial diferenciar los controles de red y de aplicación. Las capas 3 y 4 se ocupan principalmente de direcciones , protocolos de transporte y puertos, como 443 o 53. La capa 7 interpreta el protocolo de la aplicación, por ejemplo métodos, encabezados, rutas y contenido . La Protección DDoS actúa principalmente contra ataques de red L3/L4; los filtran flujos por , puerto y protocolo; el analiza / en L7. combina inspección , y reglas orientadas a aplicaciones y destinos.
2.2 Tráfico y
El tráfico entra o sale del entorno, como usuarios accediendo a un sitio web o servidores consultando internet. El tráfico circula entre componentes internos, como una accediendo a una base de datos o dos redes virtuales intercambiando información. Una arquitectura segura controla ambos: el borde no debe ser la única barrera, ya que un atacante que comprometa un componente puede intentar moverse internamente.
2.3 Filtrado y
Un control rastrea el estado de una conexión. Cuando un flujo de salida permitido inicia una sesión, el tráfico de respuesta correspondiente puede ser reconocido sin una regla reflejada manualmente. y son . Esto no significa que “todo retorno está permitido”; significa que el servicio relaciona los paquetes con la conexión autorizada. Los controles evalúan paquetes de forma independiente y normalmente requieren reglas explícitas para cada dirección.
2.4 Cinco elementos de un flujo
Elemento
Pregunta
Origen
¿De qué dirección, subred, servicio o grupo parte el tráfico?
Puerta de origen
¿Qué puerto efímero o definido inicia la comunicación?
Destino
¿Qué dirección, subred, servicio o grupo recibirá el tráfico?
Puerta de destino
¿Qué servicio se está solicitando, como 443, 22 o 3389?
Protocolo
¿,, ICMP u otro protocolo permitido?
Concepto clave para examen
El puerto 443 no significa automáticamente “tráfico seguro”. protege la comunicación, pero una solicitud todavía puede contener un intento de inyección SQL. Por eso el sigue siendo relevante.
3. , subredes y segmentación
, o VNet, es la base de la red privada en . Proporciona un espacio lógico e aislado en el cual los recursos pueden comunicarse usando direcciones privadas. Una VNet existe en una región, puede abarcar zonas de disponibilidad de esa región y puede conectarse a otras redes mediante emparejamiento, o ExpressRoute. El aislamiento entre VNets es una propiedad importante: redes diferentes no se comunican automáticamente, a menos que se cree una conexión.
3.1 Espacio de direccionamiento y
Al crear una VNet, se define uno o más bloques de direcciones, normalmente privadas según 1918, como 10.20.0.0/16. La notación indica cuántos bits identifican la red. Un bloque /16 contiene más direcciones que un /24. La planificación evita la superposición con redes locales y con otras VNets, ya que los intervalos superpuestos dificultan el peering, y el enrutamiento.
3.2 Subredes como límites funcionales y de seguridad
Una subred divide el espacio de la VNet. En lugar de colocar todos los recursos en el mismo segmento, la organización separa componentes por función, sensibilidad o necesidad de comunicación. Una capa web puede aceptar tráfico del balanceador; la capa de aplicación acepta solo llamadas de la web; la capa de datos acepta solo el puerto de la base de datos proveniente de la aplicación. Esta organización reduce la superficie de ataque y facilita la aplicación de y rutas.
Figura 2 - Ejemplo de segmentación en subredes por función y nivel de exposición.
3.3 Conectividad no equivale a autorización
VNet y peering crean caminos de red; no reemplazan la autenticación, autorización o controles de la aplicación. Del mismo modo, bloquear un puerto no reemplaza el principio de menor privilegio en identidades. La seguridad de red limita “quién puede alcanzar el servicio”; la identidad y la autorización definen “quién puede usar el servicio y qué puede hacer”.
3.4 Capacidades de conectividad de una
Los recursos pueden iniciar comunicación saliente con internet; la publicación entrante requiere un mecanismo explícito, como una dirección pública o un equilibrador de carga.
Los recursos de la misma se comunican de forma privada, y el emparejamiento conecta redes separadas —incluso entre regiones— mediante la red troncal de Microsoft, sin pasar por internet pública.
Las de sitio a sitio, las de punto a sitio y extienden la conectividad privada a los entornos locales.
Los y filtran el tráfico, mientras que las rutas del sistema y las rutas personalizadas determinan el camino de cada flujo.
4. ()
Un filtra el tráfico de entrada y salida asociado a subredes o interfaces de red. Contiene reglas que permiten o deniegan flujos en función de la prioridad, dirección, protocolo, origen, destino y puertos. Los son controles distribuidos y : se encuentran cerca de los recursos y son adecuados para restringir la comunicación entre capas.
4.1 Componentes de una regla
Propiedad
Función
Prioridad
Número que determina el orden de evaluación. Las prioridades menores se evalúan primero.
Dirección
Entrada o salida.
Acción
Permitir o negar.
Protocolo
,, ICMP, ESP, AH o cualquiera, según soporte.
Origen y destino
Dirección, rango , etiqueta de servicio o Application Security Group.
Puertas
Una puerta, intervalo o conjunto de puertas.
4.2 Reglas estándar
Un puede asociarse con una subred y con una interfaz de red en cada punto de vinculación, mientras que el mismo puede reutilizarse en muchas subredes e interfaces. Las reglas se procesan desde el número de prioridad más bajo al más alto, y la evaluación termina con la primera coincidencia. Las seis reglas predeterminadas no se pueden eliminar, pero una regla personalizada con un número de prioridad inferior puede reemplazar su resultado.
Permite destinos de la y de internet y después deniega cualquier otro flujo saliente.
4.3 Etiquetas de servicio y Application Security Groups
Las etiquetas de servicio representan conjuntos de prefijos mantenidos por , como Internet, VirtualNetwork o servicios específicos. Los Application Security Groups permiten agrupar interfaces de máquinas virtuales por función lógica, como WebServers o DatabaseServers, reduciendo la dependencia de direcciones individuales. Estos recursos hacen que las reglas sean más legibles y adaptables.
Ejemplo
La subred de aplicación puede aceptar 443 solo del grupo WebServers y negar otras fuentes. La subred de base de datos puede aceptar 1433 solo del grupo AppServers. Así, incluso si un host web se ve comprometido, el camino hacia otros recursos permanece limitado.
4.4 Lo que un no hace
No analiza inyección SQL, ni semántica .
No es un de aplicación ni un servicio de publicación web.
No reemplaza una solución central de firewall cuando se requieren control de salida, , inspección avanzada o políticas entre muchas redes.
No almacena secretos y no autentica a usuarios finales.
5.
es un firewall como servicio, nativo de la nube, totalmente y con alta disponibilidad integrada. Puede inspeccionar el tráfico y , funcionando como punto central de control en arquitecturas hub-and-spoke. En lugar de administrar appliances virtuales individualmente, la organización usa un servicio gestionado que escala con la plataforma.
5.1 Tipos de reglas
Regla
Finalidad
Ejemplo
Filtrar tráfico por , puerto y protocolo.
Permitir o conexión entre redes específicas.
Controlar destinos por nombres de dominio y protocolos soportados.
Permitir que los servidores accedan a repositorios aprobados.
Traducir dirección y puerto para publicar o redirigir flujos.
de una pública a un servicio interno.
Alertar o negar tráfico para dominios e IPs maliciosos conocidos.
Bloquear la comunicación con la infraestructura de comando y control.
5.2 versus
es un filtro distribuido aplicado a subredes e interfaces. es un servicio centralizado por el cual el tráfico puede ser enrutado. En entornos pequeños, los pueden satisfacer varios requisitos básicos. En arquitecturas corporativas, el firewall centraliza egress, inspección, , registros y políticas entre múltiples redes. Frecuentemente se usan ambos: el firewall controla caminos centrales y los imponen microsegmentación local.
5.3 SKUs y profundidad
dispone de los niveles Basic, Standard y Premium. Basic se dirige a entornos pequeños, usa capacidad fija con dos instancias de back-end, ofrece inteligencia sobre amenazas solo en modo de alerta y se recomienda alrededor de 250 Mbps. Standard agrega filtrado de las capas 3 a 7 y alertas o bloqueos en tiempo real basados en la . Premium incorpora inspección y un sistema de detección y prevención de intrusiones (IDPS) basado en decenas de miles de firmas que se actualizan continuamente para cargas reguladas o muy sensibles.
Trampa de prueba
y no son sinónimos. El Firewall protege los flujos de red y los destinos de forma amplia; el está especializado en ataques contra aplicaciones web e interpreta /.
5.4 Rutas definidas por el usuario
Para garantizar que el tráfico pase por el , las subredes pueden utilizar tablas de rutas y rutas definidas por el usuario, conocidas como UDRs. Este patrón se llama forced tunneling cuando la organización fuerza determinado tráfico por un punto de inspección. Sin planificación de rutas, crear un firewall no garantiza que todos los flujos lo atraviesen.
5.5 Administración central, telemetría y
Un diseño habitual ubica en una central para que las redes de y locales, incluso en distintas suscripciones, encaminen el tráfico por un único punto de control. El servicio administrado escala con la demanda, incluye alta disponibilidad y puede abarcar zonas de disponibilidad. Manager aplica directivas compartidas a firewalls de Virtual Networks y centros virtuales protegidos de . Los registros pueden enviarse a , Analytics o ; también hay integración con y .
Las organizaciones incorporadas a pueden investigar mediante lenguaje natural el tráfico malintencionado interceptado por la inteligencia sobre amenazas y el IDPS. Es necesario activar el complemento de , conceder permisos de y los roles adecuados de , y enviar los registros estructurados específicos del recurso a un área de trabajo de Analytics. Hay indicaciones integradas y también se pueden redactar solicitudes compatibles con la integración.
6. ()
El proporciona protección centralizada frente a vulnerabilidades y ataques comunes. Opera en la capa de aplicación y comprende solicitudes y . Puede implementarse con para una entrada regional, para contenedores para cargas en contenedores, para la entrada global en el borde y la Red de Entrega de Contenidos (). El evita repetir la misma protección en cada aplicación, aunque no elimina la necesidad de corregir el código.
6.1 Ataques y anomalías observadas
Inyección SQL: intento de manipular consultas a la base de datos mediante entradas maliciosas.
Cross-site scripting (): inserción de scripts en páginas consumidas por otros usuarios.
Inclusión de archivos, inyección de comandos y violaciones del protocolo .
Bots, escáneres, patrones de reputación de y volumen excesivo, según recursos y reglas disponibles.
Encabezados, rutas, métodos y parámetros incompatibles con políticas definidas.
6.2 Reglas administradas y reglas personalizadas
Se mantienen conjuntos de reglas gestionadas para detectar clases conocidas de ataques, frecuentemente alineadas con las categorías . Las reglas personalizadas permiten bloquear o permitir en función de la dirección, país/región, encabezado, ruta, tamaño, tasa y otras condiciones. En modo de detección, el registra coincidencias; en modo de prevención, puede bloquear solicitudes. La implementación debe comenzar con observación y ajuste para reducir falsos positivos.
6.3 no reemplaza el desarrollo seguro
Un es una capa compensatoria. Puede bloquear una carga conocida, pero no corrige fallas de autorización, lógica de negocio, exposición indebida de o secretos en el código. Las aplicaciones siguen necesitando validación de entrada, autenticación, autorización, corrección de dependencias y pruebas de seguridad.
6.4 Disponibilidad de capa 7 y
El conjunto de reglas principales de proporciona una base frente a la inyección de SQL, los scripts entre sitios, la inclusión remota de archivos y otros ataques comunes. También complementa la al detectar patrones de denegación de servicio en la capa de aplicación, como inundaciones , que la mitigación de red y transporte no cubre por sí sola.
Con el complemento de activado y configurado en , los analistas pueden investigar eventos y registros con lenguaje natural, identificar las reglas que más se activan y las direcciones más problemáticas, y comprender los vectores de ataque relacionados. La experiencia independiente ofrece indicaciones integradas y admite solicitudes personalizadas compatibles.
Cortafuegos de red
Interpreta / y el contenido de las solicitudes.
Controla protocolos, puertos, direcciones, rutas y destinos.
Protege aplicaciones contra ataques web.
Protege redes y cargas de trabajo contra tráfico no autorizado.
Normalmente posicionado delante de aplicaciones web.
Normalmente centralizado entre redes, subredes e internet.
Ejemplos: inyección SQL, y bots.
Ejemplos: egress, segmentación, e .
7.
Un ataque distribuido de denegación de servicio, o DDoS, intenta agotar el ancho de banda, conexiones, CPU, memoria u otros recursos para hacer que un servicio sea inaccesible. Se llama distribuido porque utiliza muchas fuentes, frecuentemente dispositivos comprometidos. Cualquier accesible públicamente puede ser objetivo.
Los ataques volumétricos saturan el ancho de banda disponible con tráfico aparentemente legítimo.
Los ataques de protocolo agotan servidores o dispositivos de red al aprovechar el comportamiento de las capas 3 o 4.
Los ataques a la capa de recursos o aplicaciones afectan al procesamiento de solicitudes web y al intercambio de datos de la aplicación.
7.1 Protección de infraestructura y protección mejorada
La plataforma posee protección de infraestructura contra ataques comunes. agrega recursos mejorados y adaptados a los recursos protegidos. La documentación actual diferencia DDoS Network Protection, asociado a redes virtuales mediante un plan, y DDoS Protection, habilitado por pública. Ambos comparten recursos centrales de ingeniería, pero difieren en modelo comercial y servicios adicionales.
7.2 Cómo actúa el servicio
La supervisión permanente analiza el tráfico y, cuando detecta un ataque, desvía el flujo a controles de mitigación, descarta lo malintencionado y reenvía el tráfico legítimo.
El ajuste adaptativo en tiempo real aprende el perfil esperado y recalibra los umbrales conforme cambia la aplicación.
expone métricas y alertas en pocos minutos; los registros pueden integrarse con , Registros de y .
Protección contra vectores de capa 3 y 4, como inundaciones , y .
7.3 Niveles, análisis y respuesta rápida
DDoS Network Protection se habilita en una y ajusta automáticamente la mitigación a sus recursos protegidos. DDoS Protection usa un modelo de pago por pública protegida y conserva la misma ingeniería principal, pero excluye servicios adicionales como DDoS Rapid , protección de costos y descuentos de . La protección predeterminada de la plataforma usa umbrales más amplios y no ofrece telemetría ni alertas al cliente, por lo que no equivale a un nivel dedicado.
Durante un ataque, los informes analíticos se actualizan cada cinco minutos y después se genera un informe completo. proporciona métricas resumidas y alertas de inicio, progreso y finalización; los registros del flujo de mitigación pueden enviarse a u otro SIEM. Los clientes de DDoS Network Protection pueden recurrir al equipo DDoS Rapid durante el incidente y recibir investigación y análisis posterior.
7.4 La protección DDoS y son complementarias
La Protección DDoS está especializada en disponibilidad y ataques volumétricos de red. El protege la lógica /S y puede aplicar limitación de velocidad o reglas contra bots y explotaciones. Una aplicación web crítica frecuentemente usa ambos: DDoS para L3/L4 y para L7. también ofrece protección de borde e integración con , pero el concepto examinable permanece en el uso de capas complementarias.
No confundas
DDoS no significa invasión exitosa ni robo de datos. El objetivo principal es la indisponibilidad. Sin embargo, los ataques pueden combinarse con otras técnicas o usarse como distracción, por lo que el monitoreo y la respuesta siguen siendo necesarios.
7.5 La resiliencia es parte de la defensa
La mitigación no sustituye la arquitectura resiliente. La distribución regional, las zonas de disponibilidad, el balanceo, el , el y los planes de respuesta reducen el impacto. La seguridad de disponibilidad depende del servicio de protección y del diseño capaz de continuar operando durante fallos o picos.
8. Comparando ,, y
Figura 3 - Preguntas distintas respondidas por los principales controles de infraestructura.
Servicio
Capa/enfoque
Decisión principal
Caso típico
L3/L4 y disponibilidad
Mitigar el tráfico volumétrico malicioso contra IPs públicos.
Mantener un servicio público disponible durante las inundaciones.
L3/L4 y segmentación
Permitir o negar el flujo por origen, destino, puerto, protocolo y dirección.
Restringir web -> app -> datos dentro de una VNet.
Firewall central
Controlar el tráfico entre redes e internet, /aplicación y .
Centralizar el egreso y la inspección en hub-and-spoke.
L7 /
Detectar o bloquear ataques y anomalías de la aplicación web.
Proteger sitio web o contra SQL injection y .
Administración segura
Proporcionar un camino gestionado para / usando privado.
Administrar VM sin pública y sin abrir puertos directamente.
8.1 Cómo resolver cuestiones por eliminación
1. Identifique el activo: pública, subred, flujo entre redes, aplicación o máquina virtual. 2. Identifique la amenaza: inundación, puerto indebido, destino no autorizado, explotación web o exposición administrativa. 3. Observe la capa: L3/L4 favorece DDoS, o Firewall; L7 favorece . 4. Busque palabras clave: “sin pública para /” apunta a Bastion; “secretos, claves y certificados” apunta a .
Regla mental
Disponibilidad volumétrica = DDoS. Filtrado distribuido = . Control central de red = . Ataque = . Administración privada = Bastión. Material secreto = .
9.
es un servicio administrado para conexiones y a máquinas virtuales mediante por el puerto 443. Se implementa por —no por suscripción ni por VM— y alcanza máquinas de esa red y de redes emparejadas mediante direcciones privadas. Su beneficio principal es evitar públicas, agentes, software cliente especial y la exposición directa de los puertos administrativos 3389 y 22 en las VM.
Figura 4 - Administración de máquina virtual mediante .
9.1 Por qué abrir / a Internet es arriesgado
Los servicios administrativos expuestos reciben escaneos, intentos de contraseña, explotación de vulnerabilidades y ataques automatizados. Incluso con restringido a determinadas direcciones, cambios de origen y errores de regla pueden ampliar la exposición. Bastion crea un punto de entrada gestionado, mientras que las VMs permanecen privadas.
9.2 Lo que ofrece Bastion
Sesiones o protegidas por .
Sesiones de navegador con un clic desde Portal y, según el nivel, clientes nativos o vínculos que se pueden compartir.
Ausencia de agente especial dentro de la VM para el escenario principal.
Reducción de IPs públicas y de puertos administrativos expuestos.
Protección contra el examen de puertos en internet y refuerzo central de la plataforma frente a vulnerabilidades de día cero.
La ruta administrada del servicio no requiere que el cliente mantenga un en la subred de .
9.3 Niveles y métodos de conexión
Niveles de
Nivel
Uso adecuado y capacidades destacadas
Developer
Infraestructura compartida sin costo para desarrollo y pruebas en regiones seleccionadas; una conexión de VM a la vez.
Basic
Implementación dedicada de capacidad fija con / mediante navegador para producción con demanda moderada.
Standard
Agrega escalado de hosts, conexiones por y puerto personalizado, vínculos compartibles, clientes nativos y transferencia de archivos.
Premium
Agrega grabación de sesiones e implementación solo privada para requisitos más estrictos de cumplimiento y aislamiento.
Las conexiones HTML5 mediante navegador están disponibles en los niveles. Los clientes / nativos y los vínculos compartibles están disponibles en Standard y Premium. Todos los métodos transportan la sesión por en el puerto 443, atraviesan firewalls que permiten estándar y evitan abrir puertos de administración en cada VM.
9.4 Lo que Bastion no resuelve solo
Bastion no sustituye la autenticación fuerte, , actualización del sistema operativo, protección del , registros y principio del menor privilegio. Un administrador excesivamente privilegiado sigue siendo un riesgo. El servicio protege el camino de red; la identidad y el sistema operativo todavía necesitan sus propios controles.
Detalle de arquitectura
Implementaciones dedicadas utilizan una subred reservada llamada AzureBastionSubnet. Esta subred debe planificarse según los requisitos actuales del servicio y no debe alojar cargas de trabajo comunes.
10. : secretos, claves y certificados
es un servicio en la nube para almacenar y acceder a material sensible con control riguroso. Reduce la práctica insegura de insertar contraseñas, o claves en el código fuente, variables compartidas, archivos de configuración, o imágenes de contenedor. El servicio separa la aplicación del ciclo de vida de las credenciales y proporciona autorización, auditoría e integración con identidades de .
10.1 Tres tipos principales de objetos
Objeto
Qué representa
Ejemplos
Secreto
Valor protegido que la aplicación necesita recuperar.
Contraseña, cadena de conexión, , clave de o SAS.
Clave criptográfica
Material usado en operaciones como encriptar, desencriptar, firmar o verificar.
, EC y llaves protegidas por software o .
Certificado
Objeto con política y ciclo de vida, apoyado por clave y secreto relacionados.
Certificado para aplicación o autenticación mutua.
10.2 Vault y Managed
Los almacenes de guardan secretos, claves y certificados. El nivel Standard protege claves mediante software, mientras que Premium ofrece claves protegidas por para requisitos de cumplimiento más estrictos; ambos conservan las mismas capacidades principales de secretos, claves y certificados. Managed es un servicio dedicado independiente para claves protegidas por hardware y un control criptográfico más riguroso.
10.3 Plan de control y plan de datos
El plano de control administra el recurso : crear el cofre, configurar la red, diagnósticos y políticas. El plano de datos accede a los objetos: leer un secreto, firmar con una clave u obtener un certificado. Una identidad puede tener permiso para administrar el recurso sin tener permiso para leer los secretos, y viceversa. Esta separación aplica el principio de menor privilegio.
Secreto versus llave
Una contraseña necesita ser revelada a la aplicación para su uso y normalmente se almacena como secreto. Una clave criptográfica puede permanecer dentro del servicio: la aplicación solicita una operación de firma o descifrado sin recibir el material privado.
10.4 Disponibilidad, segregación e integraciones de
replica el contenido dentro de la región y hacia una región secundaria, con alta disponibilidad y conmutación por error dirigida por la plataforma sin que el administrador inicie la replicación. Los equipos pueden crear un almacén por aplicación y otorgar a cada identidad solo las operaciones y los secretos necesarios. El servicio está diseñado para que Microsoft no vea ni extraiga secretos, claves o certificados del cliente.
Las integraciones habituales incluyen Disk Encryption para claves de discos de VM, y SQL Server para claves de base de datos, para recuperar cadenas de conexión y claves de en tiempo de ejecución, y autoridades de certificación para emitir y renovar automáticamente certificados / públicos o privados. Los registros de acceso pueden enviarse a supervisión o almacenamiento para retención, auditoría de cumplimiento e investigación de incidentes.
11. Acceso seguro y ciclo de vida en
11.1 Autenticación y autorización
autentica a usuarios, aplicaciones e identidades administradas. Luego, autoriza la operación mediante o, en entornos heredados, políticas de acceso. permite asignar funciones en ámbitos como suscripción, grupo de recursos o bóveda. La recomendación moderna es aplicar roles mínimos y separar administradores de infraestructura de consumidores de secretos.
Figura 5 - Aplicación accediendo al con .
11.2 Identidades administradas
Una elimina la necesidad de una credencial fija para que la aplicación se autentique en Entra. El recurso de recibe una identidad y obtiene automáticamente. La aplicación usa el para solicitar únicamente el objeto o la operación autorizada. Así, no es necesario guardar una “contraseña del ” en el propio código.
11.3 Protección de red
Además de la autorización, la bóveda puede restringir caminos de red. El firewall del , redes seleccionadas y el permiten acceso privado desde una VNet. Esta combinación reduce la exposición pública, pero no reemplaza el : estar en la red correcta no otorga el derecho de leer un secreto.
11.4 Versionado, rotación y recuperación
Los objetos poseen versiones, lo que permite actualizar sin reutilizar el mismo valor indefinidamente.
La rotación reduce el período en que una credencial comprometida permanece válida.
La expiración y las alertas ayudan a evitar certificados vencidos y secretos olvidados.
El borrado suave mantiene los objetos eliminados por un período de retención.
La protección de purga impide la eliminación definitiva durante el período configurado, protegiendo contra la destrucción maliciosa o accidental.
Registros y diagnósticos registran solicitudes para auditoría e investigación.
Buena práctica
Use cofres separados por aplicación, ambiente y región cuando eso reduzca el impacto y simplifique
12. Arquitectura integrada: cómo los servicios trabajan juntos
Figura 6 - Ejemplo integrado de protección de una aplicación en tres capas.
Considere una aplicación de comercio electrónico. Los usuarios llegan por internet. La capa de borde absorbe y distribuye tráfico; Protecci?n contra DDoS de ayuda contra ataques de red volumétricos; el bloquea solicitudes maliciosas. El front-end está en una subred propia, la en otra y la base de datos en una tercera. Los permiten solamente los flujos necesarios entre estas capas.
El en el hub controla salidas hacia internet, acceso a destinos aprobados y comunicación entre redes. Los administradores acceden a las máquinas virtuales a través de Bastion, sin pública en las VMs. La aplicación usa una para recuperar en el la cadena de conexión o para ejecutar una operación con la llave. Los registros de ,, Firewall, Bastion y se envían para monitoreo e investigación.
12.1 Flujo normal de una solicitud
5. El usuario envía al punto de entrada público. 6. La protección DDoS monitorea el volumen y mitiga patrones de ataque L3/L4. 7. El inspecciona la solicitud /S y aplica reglas gestionadas y personalizadas. 8. El front-end llama a la solo por el puerto autorizado en el . 9. La se autentica con y obtiene el secreto necesario en el . 10. La accede a la base de datos solo por el flujo permitido entre subredes.
12.2 Flujo durante un incidente
Si un origen intenta explotar SQL injection, el puede detectar y bloquear. Si el volumen crece de forma anormal, Protecci?n contra DDoS de actúa en la disponibilidad. Si un servidor comprometido intenta acceder a un destino malicioso, puede alertar o negar con . Si alguien intenta leer un secreto sin función adecuada, el niega y registra la solicitud. La arquitectura convierte un incidente amplio en eventos observables y límites de contención.
13. Decisiones de proyecto, monitoreo y errores comunes
13.1 Comenzar por los requisitos, no por los productos
La selección de controles debe partir de activos, amenazas, caminos de datos y requisitos regulatorios. Una aplicación interna sin pública puede no necesitar el mismo diseño de borde que un portal global. Un entorno con pocas redes puede comenzar con ; una organización con decenas de suscripciones puede necesitar hub-and-spoke, y políticas centralizadas. es útil siempre que haya secretos, pero la forma de aislamiento y depende del riesgo.
13.2 Observabilidad
Controles sin registros limitan la detección y la investigación. Los diagnósticos pueden enviarse a Analytics, , y soluciones como , según el servicio. Las métricas DDoS muestran mitigación; los registros del registran reglas activadas; los registros de flujo de o recursos equivalentes ayudan a entender los flujos; el Firewall registra decisiones; registra operaciones; Bastion puede ofrecer auditoría de sesión en ofertas compatibles.
Error común
Corrección conceptual
“ protege cualquier tráfico.”
está especializado en / y la capa 7.
y son el mismo servicio.
es filtro distribuido; Firewall es control central gestionado.
“La protección DDoS impide la inyección SQL.”
DDoS se enfoca en la disponibilidad L3/L4; la inyección SQL es dominio de y código seguro.
“Bastion hace que la VM sea completamente segura.”
Bastion protege el camino administrativo; aún se necesitan identidad, parches y protección de .
“ cifra automáticamente todos los datos de la aplicación.”
gestiona material secreto y operaciones criptográficas; la aplicación y los servicios deben integrarse correctamente.
“ concede acceso al secreto.”
La red privada reduce la exposición, pero la autorización Entra/ sigue siendo obligatoria.
13.3 Principio del menor privilegio en todas las capas
El menor privilegio no se limita a funciones de identidad. En red, significa permitir solamente orígenes, destinos, puertos y protocolos necesarios. En , significa publicar solo rutas y métodos esperados. En administración, significa reducir personas y máquinas que pueden iniciar sesiones. En , significa conceder solo acciones específicas sobre objetos necesarios.
Estrategia de implementación
Planifique, implemente en modo de observación cuando sea aplicable, valide registros, ajuste falsos positivos, automatice mediante infraestructura como código y revise periódicamente reglas y permisos.
14. Escenario práctico integrado
Una empresa migra su portal de atención al . El portal es público, posee internas, base de datos y dos máquinas virtuales de soporte. La organización quiere reducir la indisponibilidad, impedir la exposición administrativa, limitar la comunicación entre capas y eliminar contraseñas del código.
14.1 Solución propuesta
Requisito
Servicio/Control
Justificación
Mitigar ataques volumétricos contra público
Protección adaptativa de disponibilidad en L3/L4.
Bloquear SQL injection y
Inspección de contenido /S en capa 7.
Separar web, y base de datos
VNet, subredes y
Segmentación y reglas de flujo mínimo.
Centralizar salida a Internet
Egreso controlado, reglas y registros centralizados.
Administrar VMs sin pública
/ por camino gestionado e privado.
Eliminar contraseñas y certificados del repositorio
+
Almacenamiento central y autenticación sin credencial fija.
14.2 Secuencia de implementación
11. Planificar bloques sin superposición y crear subredes por función. 12. Aplicar con reglas explícitas para web, aplicación, datos y administración. 13. Crear el punto de entrada con y validar las reglas en modo de detección antes de bloquear. 14. Habilitar protección DDoS adecuada para las IPs públicas críticas. 15. Implementar y rutas cuando haya requisito de inspección central y egress controlado. 16. Implementar Bastion y eliminar IPs públicas innecesarias de las VMs. 17. Crear , habilitar recuperación, configurar la red, asignar mínimo y usar . 18. Enviar a una plataforma de monitoreo y probar escenarios de falla y respuesta.
14.3 Resultado
El ambiente no se vuelve invulnerable, pero gana límites claros. Los ataques volumétricos encuentran mitigación; los ataques web encuentran inspección; las compromisiones internas encuentran segmentación; la administración no depende de puertos públicos; las credenciales dejan de circular en el código. Cada evento genera evidencias para operación y auditoría. Esta es la esencia de la defensa en profundidad aplicada a la infraestructura de .
Punto de prueba
La mejor respuesta suele ser el servicio más específico para el requisito presentado, no el producto “más avanzado”. Lea el verbo: mitigar DDoS, filtrar flujo, inspeccionar , administrar VM o almacenar secreto.
15. Revisión rápida para el examen SC-900
VNet es la red privada lógica en ; las subredes dividen su espacio de direcciones y organizan las cargas de trabajo.
es y filtra entrada/salida por prioridad, dirección, protocolo, origen, destino y puerto.
es un firewall como servicio central, , con , aplicación, y recursos de amenaza.
protege aplicaciones web contra ataques y anomalías / en la capa 7.
mitiga ataques distribuidos de denegación de servicio, principalmente en las capas 3 y 4.
Bastion permite / a VM por privado sin exposición directa de público en la máquina.
almacena secretos, claves y certificados e se integra con Entra, e identidades administradas.
El Privado restringe el camino de red, pero no reemplaza la autorización.
Los servicios son complementarios e implementan defensa en profundidad.
16. Conclusión
Proteger la infraestructura en la nube exige comprender flujos, capas y responsabilidades. Las redes virtuales y subredes crean aislamiento; los restringen la comunicación local; centraliza políticas de red; interpreta el tráfico web; Protecci?n contra DDoS de preserva la disponibilidad; Bastion reduce la exposición administrativa; protege secretos y material criptográfico. La seguridad surge de la combinación coherente de estos servicios con identidades, monitoreo y procesos humanos.
En mi evaluación, el concepto más valioso de este capítulo es la especialización de los controles. Los proyectos inseguros frecuentemente intentan hacer que un producto resuelva todos los riesgos. Los proyectos maduros preguntan cuál activo está expuesto, qué capa está siendo atacada, qué flujo necesita existir y qué evidencia será generada. Esta forma de pensar prepara al alumno no solo para el SC-900, sino para decisiones reales de arquitectura.
17. Preguntas de repaso
1. Una empresa necesita bloquear intentos de inyección SQL en un portal . ¿Cuál servicio es el más directamente indicado?
A) B) C) D)
Respuesta comentada
Respuesta correcta: B. El interpreta / en la capa 7 y tiene reglas para ataques web, incluyendo inyección SQL.
2. ¿Qué servicio permite conectarse por o a una VM usando privada, sin exponer directamente una pública en la VM?
A) B) C) D)
Respuesta comentada
Respuesta correcta: A. proporciona un camino gestionado para / sobre a máquinas virtuales privadas.
3. ¿Qué afirmación describe mejor la diferencia entre y ?
A) protege solamente y Firewall solamente bancos. B) almacena secretos y Firewall emite certificados. C) es filtro distribuido en subnets/interfaces; es control central para tráfico entre redes e internet. D) No existe diferencia funcional.
Respuesta comentada
Respuesta correcta: C. Pueden usarse juntos: para segmentación local y para políticas e inspección centralizadas.
4. Una aplicación necesita acceder a una contraseña bancaria sin mantener credenciales fijas en el código. ¿Qué combinación es la más adecuada?
A) y B) e C) Bastion y D) e público
Respuesta comentada
Respuesta correcta: B. La autentica la aplicación, y el entrega solo el secreto autorizado.
5. Las reglas de entrada predeterminadas de un deniegan desde internet. ¿Cómo se permite desde un origen aprobado?
A) Eliminar DenyAllInBound B) Agregar una regla de permiso personalizada con un número de prioridad inferior al de la denegación predeterminada C) Desactivar el D) Usar una regla de salida
Respuesta explicada
Respuesta correcta: B. Las reglas predeterminadas no se pueden eliminar, pero una regla de entrada personalizada con mayor prioridad puede coincidir con el flujo aprobado antes de DenyAllInBound.
6. ¿Qué opción proporciona supervisión DDoS dedicada, métricas, alertas y telemetría de ataques para recursos de una ?
A) Protección predeterminada de la plataforma B) DDoS Network Protection C) D) Un Application Security Group
Respuesta explicada
Respuesta correcta: B. DDoS Network Protection ofrece mitigación y visibilidad específicas para los recursos; la capa predeterminada de la plataforma no expone telemetría ni alertas al cliente.
7. ¿Qué ámbito de implementación debe recordarse para ?
A) Una implementación por VM B) Una por suscripción C) Una por , con acceso a esa red y a redes emparejadas D) Una por usuario
Respuesta explicada
Respuesta correcta: C. se aprovisiona en una y atiende conexiones por privada a sus VM y a las de redes emparejadas.
18. Glosario esencial
Término
Definición
Notación para representar un bloque de direcciones y el tamaño de su red.
Control que acompaña el estado de las conexiones y reconoce el tráfico de respuesta.
Tráfico que entra o sale del ambiente.
Tráfico entre componentes y redes internas.
Cortafuegos especializado en aplicaciones web y /.
Grupo de reglas de seguridad para filtrar flujos en VNets.
Módulo de seguridad de hardware usado para proteger claves criptográficas.
Interfaz de red privada que conecta una VNet a un servicio mediante Private Link.
Protocolo de escritorio remoto, normalmente asociado al puerto 3389.
Protocolo de acceso seguro a sistemas, normalmente asociado al puerto 22.
19. Referencias oficiales para profundización
Microsoft Learn - Guía de estudio para el examen SC-900: Fundamentos de Seguridad, Cumplimiento e Identidad de Microsoft. Actualizado el 26 de junio de 2026.
Microsoft Learn - Descripción general de la protección DDoS de .
Microsoft Learn - ¿Qué es ?
Microsoft Learn - Introducción al .
Microsoft Learn - Descripción general de los grupos de seguridad de red de .
Microsoft Learn - Redes virtuales y subredes de .
Microsoft Learn - ¿Qué es ?
Microsoft Learn - Conceptos básicos de .
Microsoft Learn - Descripción general de claves, secretos y certificados de .
Microsoft Learn - Asegura tu .
Observación sobre actualización
Los servicios en la nube evolucionan continuamente. Para precios, SKUs, regiones, límites y recursos disponibles, consulte siempre la documentación oficial más reciente. El enfoque de este capítulo es el propósito y la diferenciación conceptual exigidos en el SC-900.
