En las arquitecturas modernas nativas de la nube, las aplicaciones empresariales están cada vez más distribuidas y son más modulares y dinámicas. A medida que las cargas de trabajo migran a Google Cloud, depender únicamente de la seguridad perimetral o de diseños de seguridad centralizados tradicionales, en los que todo el tráfico de las aplicaciones se redirige a través de pasarelas de seguridad remotas, genera cuellos de botella de latencia, complejidad operativa y carencias de visibilidad.
Para abordar estos retos, los arquitectos de la nube y los equipos de SecOps están adoptando una estrategia de defensa en profundidad que incorpora modelos de seguridad adyacentes a las aplicaciones. Al combinar la protección perimetral con una inspección exhaustiva mediante un firewall de aplicaciones web (WAF) integrado directamente en la capa de entrega de aplicaciones, como a través de F5 Application Delivery Service for Google Cloud (anteriormente F5 NGINXaaS for Google Cloud), un componente de la plataforma más amplia F5 Application Delivery and Security Platform (ADSP), las organizaciones aplican una defensa granular y contextual justo en el límite de la carga de trabajo.
“Confiar únicamente en la seguridad perimetral deja importantes brechas. Al combinar la protección global con un WAF próximo a la aplicación, se aplica una defensa granular y adaptada al contexto justo en el límite de la carga de trabajo, lo que permite lograr una mayor precisión y eliminar los cuellos de botella de latencia.”
Replantear la ubicación del WAF: el poder de la defensa por capas en la nube
Los servicios de seguridad perimetral, como las CDN y los centros globales de mitigación de DDoS, desempeñan un papel inicial fundamental en una estrategia de seguridad en la nube, ya que detienen los ataques volumétricos, las redes de bots y el tráfico malicioso generalizado lejos de su entorno en la nube. Sin embargo, una única capa de seguridad en el perímetro rara vez es suficiente para arquitecturas complejas de aplicaciones distribuidas basadas en API.
Un modelo de defensa multicapa aborda carencias clave que la seguridad perimetral por sí sola no puede resolver:
- Mitigación complementaria de amenazas: Mientras que los servicios perimetrales globales mitigan los ataques DDoS volumétricos y de alta velocidad, el WAF próximo a la aplicación proporciona una inspección profunda de la capa 7, específica para la carga de trabajo y adaptada directamente a la lógica de la aplicación.
- Conservación de un contexto enriquecido: A medida que el tráfico llega a los servicios de backend, el WAF próximo a la aplicación aprovecha los metadatos de enrutamiento locales, las particularidades del protocolo y las estructuras precisas de los URI para tomar decisiones de seguridad acertadas sin falsos positivos.
- Aplicación de límites internos: En entornos de nube multiinquilino o configuraciones híbridas, la seguridad perimetral no puede inspeccionar el tráfico que se origina dentro de la red en la nube ni el que circula entre endpoints internos. La seguridad adyacente a las aplicaciones establece microlímites de confianza cero alrededor de cada destino de backend.
- Latencia y redireccionamiento innecesario minimizados: Al situar la inspección específica de la aplicación directamente en la capa local de entrega de aplicaciones de Google Cloud, el tráfico evita recorridos adicionales de ida y vuelta a través de pasarelas de seguridad centralizadas, lo que optimiza el rendimiento de los servicios sensibles a la latencia.
Patrones arquitectónicos para una protección por capas junto a las aplicaciones
La integración nativa de las capacidades de WAF en la capa de proxy SaaS de F5 Application Delivery Service permite implementar potentes patrones arquitectónicos diseñados para entornos de nube distribuida.
Al integrar la inspección en línea en el punto de entrada de la aplicación, puede analizar el tráfico de capa 7 directamente en la puerta de enlace de aplicaciones de Google Cloud. Este mecanismo filtra de inmediato amenazas críticas, como las vulnerabilidades del OWASP Top 10, el abuso de la lógica de negocio y las anomalías de protocolo, antes de que puedan llegar a los backends de API ascendentes y a las cargas de trabajo en contenedores.
Al desacoplar el control, los equipos de SecOps e ingeniería de seguridad pueden definir políticas de seguridad de referencia globales, mientras que los equipos de DevOps e ingeniería de plataformas gestionan el enrutamiento localizado y la lógica de las aplicaciones. La seguridad se convierte en un control intrínseco y continuo, cuya coherencia se garantiza en todo el proceso de entrega de aplicaciones.
La proximidad a la aplicación permite implementar políticas de seguridad adaptadas a la carga de trabajo; las reglas del WAF pueden ajustarse con precisión al objetivo específico que se desea proteger. Ya se trate de una carga de trabajo empresarial, un endpoint de API en contenedores, una inferencia de IA u otro servicio, este enfoque granular garantiza una protección sólida sin riesgo de interrumpir los servicios adyacentes.
ADCaaS y WAF unificados: sinergia operativa y económica
La combinación del controlador de entrega de aplicaciones como servicio (ADCaaS) con la inspección avanzada de WAF en un único punto de control integrado, como parte de F5 ADSP, aporta importantes ventajas operativas y financieras dentro de una arquitectura de defensa por capas:
- Menor complejidad operativa: La consolidación del enrutamiento de aplicaciones, el equilibrio de carga y la inspección del WAF en un servicio unificado elimina la proliferación de soluciones aisladas. Los equipos de operaciones gestionan una única interfaz de control con configuraciones declarativas estandarizadas, lo que reduce la carga de gestión y los errores humanos.
- Automatización y CI/CD optimizados: La integración nativa permite aprovisionar conjuntamente la entrega de aplicaciones y los conjuntos de reglas del WAF mediante herramientas de infraestructura como código (IaC), como Terraform. Las actualizaciones de seguridad se implementan sin contratiempos junto con las nuevas versiones de las aplicaciones, sin necesidad de sincronizar las políticas por canales externos.
- Ventajas económicas y menor coste total de propiedad (TCO): La consolidación en la nube de la entrega de aplicaciones y los controles de seguridad reduce considerablemente los costes de licencias y evita gastos innecesarios por la salida de datos de la nube y la transferencia de datos entre zonas. Las organizaciones consiguen reducir el coste total de propiedad (TCO), al tiempo que simplifican el consumo de servicios en la nube y la elaboración de presupuestos en Google Cloud.
Creación de una postura intrínseca y multicapa
A medida que los vectores de amenazas en la nube se vuelven más sofisticados, una defensa eficaz requiere un enfoque multicapa que combine una sólida protección perimetral con una seguridad granular y próxima a las cargas de trabajo. Al integrar las capacidades de ADCaaS y WAF cerca de las cargas de trabajo de las aplicaciones en Google Cloud, los equipos de arquitectura y plataformas empresariales ofrecen una entrega de aplicaciones rápida y resiliente, respaldada por una defensa integral y multicapa.
¿Todo listo para empezar? Visítenos en Google Cloud Marketplace. La funcionalidad WAF está disponible actualmente en versión preliminar como complemento de F5 Application Delivery Service for Google Cloud. Las funcionalidades de la versión preliminar incluyen la posibilidad de seleccionar una política predeterminada para obtener protección inmediata frente a las amenazas del OWASP Top 10.
Sobre los autores
Artículos relacionados del blog
El imperativo empresarial de la IA en un mundo de nube híbrida y multinube
Cómo la IA redefine los patrones de tráfico, el riesgo de las API y el cumplimiento normativo, y por qué el paquete Distributed Cloud Services Enterprise ofrece la profundidad necesaria en entornos híbridos multicloud.
STIG de F5 NGINX: un plan de seguridad para el sector público y los entornos regulados
Descubra cómo las STIG de F5 NGINX proporcionan un modelo de seguridad para el Departamento de Defensa de EE. UU. y los entornos regulados, ayudándole a cumplir la normativa mientras crea una infraestructura sólida de confianza cero con mayor visibilidad y resiliencia.
Cómo el marco AEGIS de Forrester valida un enfoque centrado en la inferencia
El auge de la IA agéntica está transformando el panorama de la seguridad empresarial. Estos agentes de IA autodirigidos funcionan de forma autónoma, toman decisiones en tiempo real y pueden interactuar entre distintos sistemas de maneras para las que las arquitecturas tradicionales de ciberseguridad no fueron diseñadas. Aunque esto abre nuevas posibilidades, también introduce riesgos sistémicos: fallos en cascada, secuestro de objetivos y superficies de ataque hasta ahora invisibles. El reciente […] de Forrester
La nueva superficie de riesgo de la IA: invisible, autónoma y ya está dentro
James White, vicepresidente de Ingeniería de F5 A mediados de 2025, es un buen momento para hacer balance de la adopción de la IA en las empresas y del estado de la seguridad de la IA. El uso de la IA generativa ya es habitual en las empresas En general, las empresas cuentan al menos con unos conocimientos básicos sobre la IA generativa. Entienden qué es y dónde puede […]
Protegiendo el futuro: cómo CalypsoAI se alinea con el Top 10 de OWASP para los LLM
Cuando OWASP publicó su Top 10 de 2025 para grandes modelos de lenguaje (LLM), proporcionó al sector un referente de seguridad muy necesario. Pero los referentes no sirven de nada si no se actúa. CalypsoAI aborda el 80 % del Top 10 de OWASP, dando prioridad a los riesgos reales más urgentes. La plataforma combina protección en tiempo real durante la ejecución y pruebas adversariales exhaustivas, ofreciendo una cobertura inigualable frente a las […]
Implementación de LLM en la empresa: mediante una API local
Por sí solos, sin medidas de protección ni protocolos adicionales de seguridad para la IA, el despliegue de modelos de IA generativa —en particular, modelos de lenguaje de gran tamaño (LLM)— en toda la empresa supone una oportunidad de alto riesgo y grandes beneficios para cualquier organización. Sin embargo, determinar exactamente cómo debe dar su organización este gran paso hacia el ámbito de la IA generativa requiere una planificación minuciosa. Quizá […]