Categoría: Datacenter

Durante años, la conversación sobre seguridad en el datacenter giró alrededor del perímetro: el firewall de borde, la VPN, el acceso desde Internet. Ese trabajo sigue siendo necesario, pero ya no alcanza. Hoy la pregunta que más pesa no es si un atacante puede entrar, sino qué tan lejos puede llegar una vez que entró. Y para responderla, en una nube privada con VMware Cloud Foundation, tenemos que hablar de vDefend.

En resumen

• Con la IA, los atacantes encuentran y explotan vulnerabilidades a velocidad de máquina. El tiempo para reaccionar se achicó a horas.
• La mayor parte del daño de un ataque ocurre adentro: el atacante entra por un punto débil y se mueve de un servidor a otro hasta llegar a lo valioso.
• vDefend pone un firewall e IDS/IPS en cada carga de trabajo de VCF. La versión anunciada en agosto de 2026 lo hace más rápido de desplegar, más simple de operar y compatible con entornos aislados.

El problema no es solo que entren: es cuánto se mueven adentro

Casi ningún ataque serio termina en el primer equipo comprometido. Un servidor web vulnerable, una credencial robada o un agente de IA mal configurado son apenas la puerta. Lo que sigue es el movimiento lateral: el atacante explora la red interna, salta a los servidores de aplicaciones, llega al Active Directory y, desde ahí, a las bases de datos y al backup. Es el patrón típico del ransomware.

El firewall perimetral no ve ese recorrido, porque controla el tráfico que entra y sale (norte-sur), no el que circula entre servidores dentro del datacenter (este-oeste). Como dice Broadcom en su anuncio: la infiltración ocurre cuando el tráfico no se inspecciona. Por eso propone aplicar IDS/IPS a todas las cargas, no solo a las críticas.

A esto se suma la velocidad. Broadcom describe un escenario en el que los atacantes usan modelos de IA de frontera para explotar vulnerabilidades a velocidad de máquina, mientras la adopción de IA agéntica agranda la superficie de ataque. La ventana entre que se publica una vulnerabilidad y aparece el exploit ya no se mide en semanas.

Qué es vDefend, en dos líneas

VMware vDefend es la seguridad lateral de VMware Cloud Foundation. Incluye un firewall distribuido que corre en cada host ESX y protege cada VM y cada contenedor de vSphere Kubernetes Service, más protección avanzada: IDS/IPS distribuido con virtual patching, análisis de tráfico de red (NTA), detección y respuesta de red (NDR) y prevención de malware. Todo se gestiona desde la misma plataforma que ya usás para tu nube privada, sin instalar agentes en las VMs.

Lo nuevo de vDefend: más protección, más simple y más rápido

El 6 de agosto de 2026, Broadcom anunció una nueva versión, organizada en tres pilares.

Más protección

• vDefend 1-2-3 para ATP. Un flujo guiado en tres etapas para desplegar IDS/IPS, NTA y NDR. Según Broadcom, lleva la protección avanzada a producción en pocas semanas en lugar de muchos meses.
• Prevención de malware on-premise. El análisis de archivos sospechosos (sandboxing) ahora corre dentro de tu datacenter: no hace falta subir archivos a una nube pública.
• Soporte completo para entornos aislados (air-gapped). Todas las capacidades funcionan sin conexión a Internet, con actualizaciones de firmas que se cargan de forma manual.

Operación más simple

• AI Assistant para vDefend. Ayuda a diagnosticar problemas, da recomendaciones de diseño según la versión y analiza las reglas para encontrar duplicadas o redundantes y limpiar la política.
• Migración automatizada. La herramienta vACT convierte las reglas de firewalls tradicionales basados en agentes a políticas nativas del firewall distribuido, con menos trabajo manual y menos errores.

Más rendimiento con el mismo hardware

Componente	Mejora	Escala
Firewall distribuido	22 Gbps por servidor con placas de 25G (+129 %) y 75 Gbps con placas de 100G	Hasta 75 Tbps por instancia de VCF
IDS/IPS distribuido	17 Gbps por servidor (+89 %)	Hasta 17 Tbps por instancia de VCF
Security Services Platform	Nuevo modelo desde 32 núcleos de CPU	Hasta 33 % menos servidores físicos

Las mejoras de rendimiento llegan con una actualización de software, sin cambiar servidores. Están disponibles en vDefend Security Services Platform 5.2, vDefend 9.1.1 y vACT 3.0, todas compatibles con VCF 9.1.

Lo que un CISO tiene que saber

• El riesgo se mide adentro. La pregunta para el directorio ya no es “¿estamos protegidos?”, sino “si entran, ¿hasta dónde llegan?”. La microsegmentación es la forma de acotar esa respuesta a una sola carga.
• El virtual patching compra tiempo. El IDS/IPS distribuido bloquea la explotación de vulnerabilidades conocidas mientras el parche se prueba y se aplica. Con ataques que aparecen en horas, ese margen es crítico.
• Los servicios compartidos son el objetivo. Active Directory, DNS y NTP sostienen a todo lo demás. Protegerlos primero, como propone vDefend 1-2-3, es la decisión de mayor impacto por peso invertido.
• La soberanía de datos ya no es una excusa. Con el sandboxing on-premise y el soporte air-gapped, los sectores regulados pueden tener protección avanzada sin enviar archivos ni metadatos fuera del datacenter.
• La IA agéntica necesita seguridad lateral desde el día uno. Los agentes conversan con sistemas internos usando protocolos como MCP. Broadcom participó en la propuesta para robustecer MCP que incorporó la especificación publicada en julio de 2026.
• Ya no es un proyecto eterno. Con los flujos guiados, la microsegmentación y la protección avanzada se despliegan en semanas, y la migración desde firewalls con agentes se automatiza.

Por qué vDefend tiene que dejar de ser opcional

Muchas empresas compraron VMware Cloud Foundation y dejaron la seguridad lateral “para la próxima etapa”. Esa decisión tenía sentido cuando desplegar microsegmentación llevaba un año y el atacante necesitaba semanas para moverse. Hoy ninguna de las dos cosas es cierta.

• Ya tenés la plataforma. vDefend se suma a VCF: no requiere appliances nuevos en el camino del tráfico ni agentes en las VMs.
• El costo de no tenerlo es asimétrico. Un incidente de ransomware que llega al Active Directory y al backup cuesta mucho más que la protección que lo hubiera contenido.
• El tiempo juega en contra. Cada mes sin inspección este-oeste es un mes en el que un atacante podría moverse sin que nadie lo vea.

Nuestra recomendación para los clientes con VCF es clara: la seguridad lateral tiene que estar en el plan de este año, empezando por los servicios compartidos y las aplicaciones críticas.

Cómo lo implementamos en Wetcom

1. Diagnóstico. Activamos la Security Services Platform para ver los flujos reales entre tus cargas, medir la postura de seguridad y priorizar riesgos. Sin bloquear nada todavía.
2. Segmentación. Aplicamos la microsegmentación por etapas, siguiendo el método vDefend 1-2-3-4 para el firewall distribuido: primero zonas, después aplicaciones y, por último, cada carga.
3. Protección avanzada. Desplegamos IDS/IPS, NTA y NDR con vDefend 1-2-3: servicios compartidos primero, después DMZ, desarrollo y producción. Si venís de un firewall con agentes, migramos las reglas con vACT.
4. Operación. Con nuestro servicio de Networking & Security monitoreamos 7×24, ajustamos políticas y atendemos alertas. Ante un incidente crítico, Insane Support escala directo con Broadcom.

vDefend es una capa de una defensa en profundidad que completamos con Avi WAAP para las aplicaciones y APIs expuestas, VMware HyperArmor para el propio hipervisor y nuestro servicio de Ransomware Incident Response. Como Partner Pinnacle de Broadcom, también te ayudamos a dimensionar y contratar las licencias que necesitás.

¿Hasta dónde llegaría hoy un atacante dentro de tu nube privada? Agendá un diagnóstico de seguridad lateral con nuestros especialistas.

Preguntas frecuentes

¿vDefend reemplaza al firewall perimetral?

No. El firewall perimetral sigue controlando lo que entra y sale del datacenter. vDefend protege el tráfico interno, entre servidores, que el perímetro no ve. Se complementan.

¿Hay que instalar agentes en las VMs?

No. El firewall distribuido y el IDS/IPS de vDefend corren en el hipervisor ESX de VMware Cloud Foundation, sin agentes en los sistemas operativos.

¿Protege también contenedores?

Sí. Desde VCF 9.1, vDefend ofrece protección lateral unificada para VMs y para cargas de vSphere Kubernetes Service.

¿Cuánto lleva implementarlo?

Depende del tamaño y la complejidad del entorno. Con los flujos guiados de Broadcom, la microsegmentación y la protección avanzada se despliegan en semanas, por etapas y sin cortar el servicio.

¿Cómo se contrata?

vDefend se contrata como complemento de VMware Cloud Foundation. Consultanos y te armamos la propuesta según tus cargas y prioridades.

Fuentes

• Prashant Gandhi, Broadcom. VMware vDefend Advances Multi-Layer Lateral Security, Deployment Automation and Performance for the Frontier AI Era, 6 de agosto de 2026.
• Broadcom. VMware vDefend for VCF 9.1: Zero Trust Lateral Security for the AI Era, mayo de 2026.
• Broadcom. vDefend DFW 1-2-3-4: Deploy Zero Trust Microsegmentation in a Few Weeks, noviembre de 2025.
• Broadcom. Virtual Patching: Guarding Against a Tsunami of AI-discovered Exploits with vDefend and Avi, abril de 2026.
• Dark Reading. Why Virtual Patching and Multi-Layer Defense are Critical in the Age of Frontier AI.
• Ars Technica. With a stateless makeover, new MCP spec targets enterprise scale, julio de 2026.

Lecturas relacionadas

• Avi WAAP: cómo proteger tus APIs y aplicaciones web en VMware Cloud Foundation
• VMware HyperArmor: protección activa para el hipervisor ESX
• Por qué IDS/IPS es crítico para tu ciberseguridad

Qué protege cada uno y cómo usarlo en los ESX, Windows Server y Linux

Hoy hablaremos de una tecnología fundamental para optimizar y asegurar los centros de datos modernos: el Virtual TPM (vTPM) en VMware vSphere.

La ciberseguridad ya no es un adicional, es el núcleo de la operación. Para entender el impacto del vTPM, primero debemos comprender cómo funciona la seguridad por hardware tradicional y por qué escalarla en entornos virtualizados era un desafío.

Dos cosas con el mismo nombre

Un TPM (Trusted Platform Module) es un chip que genera y guarda claves criptográficas de modo que no se pueden extraer de él. Cada chip trae una Endorsement Key (EK) provisionada de fábrica, única y no migrable, que sirve para identificarlo y demostrar que es genuino. Sobre esa base se arma la jerarquía de almacenamiento, cuya clave raíz es la Storage Root Key (SRK): las demás claves se guardan cifradas bajo ella y solo se pueden abrir dentro del chip. Si se limpia el TPM se genera una SRK nueva, y lo que estaba protegido con la anterior deja de poder abrirse.

En un entorno VCF 9 hay que distinguir dos TPM:

• El TPM físico es un chip del servidor y lo usa solamente el hipervisor. Las máquinas virtuales no pueden acceder a él.
• El vTPM es un dispositivo virtual que se agrega a cada VM. El sistema operativo invitado, Windows Server o Linux, lo ve como un TPM 2.0 común.

El chip físico queda del lado del host. Las claves que protegen el vTPM de cada VM salen del key provider que administra vCenter.

Qué hace el TPM físico en el host

En ESX, el nombre que tiene el hipervisor desde VCF 9 (antes ESXi), el chip cumple dos funciones. La primera es la verificación de integridad del arranque: Secure Boot hace que el host solo cargue software firmado, y el TPM registra las mediciones de ese arranque para que vCenter pueda comprobar, y mostrar, si el host arrancó en un estado confiable. La segunda es sellar la configuración: cuando el servidor tiene TPM, la clave que cifra la configuración de ESX queda guardada en el chip y atada a ese equipo.

Esto ayuda frente a un ransomware que apunta al hipervisor, pero no conviene sobreestimarlo. El TPM no frena un ataque por sí solo: permite detectar que el host fue modificado y protege su configuración y sus claves. Funciona como una capa dentro de un esquema que también incluye Secure Boot, lockdown mode, control de accesos y backups inmutables.

Broadcom recomienda TPM 2.0 en los hosts de VCF 9. Hay un cambio que importa si venís de 9.0: en esa versión los hosts con TPM no podían usar live patch, y desde 9.1 ESX live patch soporta servidores con TPM habilitado, así que ya no hay que elegir entre una cosa y la otra. Una advertencia sobre hardware: lo que estaba soportado para ESXi 8 no queda soportado automáticamente en ESX 9, así que hay que validar cada servidor contra la Broadcom Compatibility Guide.

Qué es el vTPM y dónde guarda sus datos

El vTPM implementa la especificación TPM 2.0 como un dispositivo virtual de la VM; en VCF 9 se actualizó a la revisión 1.59. Cada máquina tiene el suyo, con su propia EK y su propio estado, y el sistema operativo lo usa igual que a un chip físico. No usa el TPM del servidor ni ningún otro hardware.

El estado del vTPM se guarda en el archivo .nvram de la VM, y ese archivo se cifra con VM Encryption. De ahí salen dos consecuencias prácticas. Para agregar un vTPM hay que tener un key provider configurado en vCenter. Y al agregarlo se cifran los archivos de la carpeta de la VM, como el .nvram y el swap, pero no los discos virtuales: cifrar los VMDK es una decisión aparte.

Un detalle para quienes necesitan verificar la identidad de una VM: la EK de un vTPM no la provee un fabricante de chips, la emite VMware Certificate Authority (VMCA) o una CA de terceros. La confianza que se obtiene es la de esa CA.

Qué hay que tener para activarlo

Partimos de VCF 9.1.1 o superior. Los requisitos son pocos, pero hay que leerlos con cuidado:

• vCenter administrando los hosts ESX y VM Encryption disponible, porque el vTPM depende de él.
• Un key provider configurado en vCenter, que puede ser el Native Key Provider (NKP) o un KMS externo. VCF 9 agrega una opción al key provider estándar: una wrapping key que protege a la clave que protege los datos, de modo que en el KMS queda una sola clave por administrar y puede rotar sola con la frecuencia que definas.
• VMs con firmware EFI y compatibilidad de hardware virtual actual. Para Linux, la documentación de VMware pide como mínimo la compatibilidad de 7.0 Update 2.
• VM apagada al momento de agregar el dispositivo.
• Licencias: según VMware, vTPM y NKP están licenciados en todas las versiones de vSphere. Cifrar los discos de las VMs es otra cosa y conviene confirmarlo contra tu suscripción.

Si el vTPM no aparece al intentar agregarlo, las causas habituales son una compatibilidad de VM baja, firmware BIOS en lugar de EFI, un key provider ausente o no confiable, o la VM encendida.

Hay dos decisiones del key provider que conviene tomar desde el principio. Si usás Native Key Provider, hacé el backup de la clave apenas lo creás: sin ella no se pueden abrir las VMs cifradas si hay que reconstruir vCenter. Y evaluá activar la opción que limita el uso del NKP a hosts con TPM protegido. Es la recomendada, pero exige que todos los hosts del cluster tengan el chip. Es el punto donde el TPM físico y el vTPM se tocan.

La documentación de vSphere indica además dos limitaciones del NKP: solo funciona con hosts dentro de un cluster, y si movés un host a otro cluster que no tiene el mismo NKP, las VMs cifradas quedan bloqueadas.

Cómo se usa en Windows Server y en Linux

VMware soporta el vTPM con guests Windows Server y Linux. Lo que cambia es qué se hace con él.

Windows Server

• BitLocker. El vTPM lo soporta, y el volumen queda sellado al TPM virtual de cada VM. En Windows Server hay que instalar la característica BitLocker.
• Credential Guard y Device Guard. Usan seguridad basada en virtualización (VBS), que requiere configuración adicional en la VM y en el sistema operativo invitado. VBS no exige TPM, pero Windows lo aprovecha si está presente. En controladores de dominio, revisá primero las recomendaciones de Microsoft.

Linux

• Cifrado de disco sellado al TPM. Con LUKS2 y herramientas como systemd-cryptenroll o Clevis, el volumen se abre solo si el arranque no fue alterado, usando el vTPM de la VM.
• Requisitos del lado del sistema operativo. Un kernel con soporte de TPM 2.0, que traen las distribuciones actuales, y firmware EFI con Secure Boot si querés que el arranque quede medido.
• Antes de estandarizar una distribución, probá el sellado con la versión de kernel y de systemd que vayas a usar. El soporte del lado del sistema operativo depende de cada distribución, no de VMware.

Rendimiento

El vTPM mueve muy poco I/O. Los sistemas operativos guardan kilobytes en un TPM y lo consultan poco, así que el impacto es mínimo. Hay dos cosas para tener en cuenta.

Puede notarse una pequeña diferencia en el tiempo de arranque de la VM. Y como los archivos de la VM se cifran, el swap también queda cifrado. Si el host está paginando memoria de las VMs a disco por sobreasignación, ese cifrado consume CPU adicional. En un cluster bien dimensionado, que no pagina, no debería notarse.

Como los discos no se cifran por defecto, el storage sigue deduplicando y comprimiendo los VMDK igual que antes.

Operación diaria: vMotion, clonado y backup

• vMotion y Storage vMotion. Funcionan con VMs que tienen vTPM. El vMotion de una VM cifrada va cifrado, y los hosts de destino necesitan acceso al mismo key provider. VCF 9.1 puede delegar ese cifrado a Intel QAT en los servidores que lo tengan, y Broadcom documenta ahorros de hasta 67% de CPU en el origen y 22% en el destino.
• Clonado. Desde vSphere 8.0, al clonar una VM con vTPM se elige entre copiar el vTPM o reemplazarlo. Con Reemplazar, la VM nueva arranca con un vTPM vacío, con su propia identidad y sus propios secretos. Para templates y clones recomendamos Reemplazar: copiar el vTPM deja dos VMs con la misma identidad y los mismos secretos.
• Volúmenes sellados. En VMs con BitLocker o LUKS sellados al vTPM, reemplazarlo invalida el sellado. Hay que tener a mano la clave de recuperación y volver a sellar el volumen contra el vTPM nuevo.
• Despliegues automatizados. vSphere 8 también permite definir una política de aprovisionamiento de TPM para que el reemplazo se haga solo al clonar o desplegar.
• Backup y restore. Como los archivos de la VM están cifrados, las claves tienen que estar disponibles al momento de restaurar. Antes de ir a producción probá un restore completo de una VM con vTPM, tanto Windows Server como Linux, incluyendo el caso en que el vCenter original ya no existe.

Cómo lo encaramos en Wetcom

En nuestros proyectos tratamos el TPM y vTPM con la seriedad que requiere a la hora del diseño y no como una casilla en la configuración de la VM y listo.
Antes de activarlo en VCF 9.1.1 o superior definimos qué key provider se usa, dónde queda el backup de sus claves, si los hosts tienen TPM físico, cómo se clonan los templates, qué se sella en cada VM (BitLocker en Windows Server, LUKS en Linux) y cómo se prueba el restore. Con eso resuelto, agregar el vTPM a una VM es una operación simple.

El 6 de agosto, Broadcom anunció que VMware Avi Load Balancer pasa de ser un WAF a una plataforma WAAP (Web Application and API Protection): suma protección de APIs, incorpora un asistente con IA generativa para la operación y mejora su rendimiento. Para un CIO o un CISO, la novedad abre una pregunta más importante que cualquier detalle técnico: ¿sabemos qué APIs tenemos expuestas y quién las está protegiendo?

En resumen

• Avi WAAP une en una sola capa el WAF, la protección de APIs, la gestión de bots, el rate limiting y la defensa contra DDoS, dentro del mismo balanceador que ya reparte el tráfico.
• Descubre las APIs a partir del tráfico real y las clasifica en Shadow, Orphan, Zombie y Active, para que sepas qué está expuesto sin depender de un inventario manual.
• El AI Assistant para Avi responde preguntas en lenguaje natural sobre la plataforma y ayuda a encontrar la causa de un problema más rápido.

Por qué las APIs son hoy el frente más expuesto

Cada aplicación moderna es, en realidad, un conjunto de APIs: la app móvil, el portal de clientes, las integraciones con socios y, cada vez más, los agentes de IA que consultan sistemas internos. Kubernetes y los microservicios multiplican esas APIs, y muchas se publican sin pasar por el equipo de seguridad.

Los números que cita Broadcom muestran el impacto: según el estudio de Akamai sobre seguridad de APIs 2026, cerca del 87 % de las organizaciones sufrió un incidente de seguridad de APIs en el último año. Y según el informe ThreatStats 2026 de Wallarm, el 43 % de las vulnerabilidades que CISA sumó a su catálogo de vulnerabilidades explotadas activamente (KEV) están relacionadas con APIs.

Un WAF tradicional sigue siendo necesario: frena los ataques web más conocidos del OWASP Top 10, como la inyección SQL o el cross-site scripting. Pero no conoce el contrato de cada API, no sabe cuáles existen ni distingue una llamada legítima de un abuso que respeta el formato. Ahí está el hueco que viene a cubrir un WAAP.

Qué es WAAP y qué cambia con Avi

Un WAAP reúne en una sola capa todo lo que protege a una aplicación expuesta: WAF, protección de APIs, gestión de bots, limitación de tráfico y defensa contra DDoS. La diferencia de Avi es dónde lo hace: dentro del mismo camino del tráfico que ya usa el balanceador. No hay que desviar las conexiones a otro equipo para inspeccionarlas, y la protección escala, se recupera sola y crece junto con las aplicaciones, ya sea que corran en VMs, en contenedores de vSphere Kubernetes Service o como cargas de IA.

Descubrimiento y clasificación de APIs

Como está en el camino del tráfico, Avi descubre con IA y aprendizaje automático todas las APIs que reciben llamadas, sin que los desarrolladores tengan que declararlas. Después las compara con la especificación y clasifica cada endpoint en cuatro grupos, lo que Broadcom llama SOZA:

Para un CISO, esto es lo más valioso del anuncio: pasar de suponer qué está expuesto a verlo con datos del tráfico real, y achicar la superficie de ataque retirando lo que nadie usa antes de que alguien lo explote.

Políticas por API y contrato OpenAPI

En lugar de una política general para toda la aplicación, Avi permite aplicar autenticación, rate limiting, reglas de seguridad HTTP y reglas de WAF a cada endpoint por separado. Además, se puede importar la especificación OpenAPI (Swagger) de cada servicio: Avi solo deja pasar las llamadas que respetan las rutas, los métodos y los formatos de datos definidos, y rechaza todo lo demás.

Protección ante amenazas nuevas

Avi aprende cuál es el comportamiento normal de cada aplicación y valida el tráfico contra ese modelo en tiempo real. Cuando aparece una amenaza nueva, la plataforma puede responder y escalar sin esperar una firma específica, algo clave cuando los ataques automatizados con IA aparecen en horas.

AI Assistant para Avi

Es un asistente conversacional que combina la documentación, las guías y la base de conocimiento de Avi con la analítica en tiempo real de la plataforma. El equipo puede preguntar, por ejemplo, “¿por qué el servicio de e-commerce tiene latencia alta?” y recibir un diagnóstico, en lugar de cruzar logs a mano durante horas. El objetivo es bajar el tiempo de resolución (MTTR) y que el conocimiento no dependa de una o dos personas.

Más rendimiento con la misma plataforma

Broadcom informa que el throughput escalable llega a 12,25 Tbps por instancia de controlador, un 88 % más que antes, y que la mejora llega con una actualización de software, sin cambiar hardware.

Qué significa para el CIO y para el CISO

Tema	Para el CIO	Para el CISO
Riesgo	Menos exposición del negocio por APIs que nadie controla.	Inventario real de APIs y una superficie de ataque medible.
Costos	Una sola plataforma en lugar de appliances separados de balanceo y WAF.	Menos herramientas que integrar, mantener y auditar.
Cumplimiento	Evidencia para auditorías y menos hallazgos repetidos.	PCI DSS exige proteger las aplicaciones web expuestas con una solución automatizada como un WAF.
Operación	Menos tiempo de diagnóstico y menos dependencia de especialistas.	Políticas consistentes en VMs, contenedores y cargas de IA.
Velocidad	Los equipos publican APIs nuevas sin frenar el negocio.	Cada API nueva hereda controles desde el primer día.

Cómo se complementa con los servicios de Wetcom

Avi es la herramienta. El resultado depende de implementarla bien y de operarla todos los días: ajustar reglas, atender falsos positivos y revisar qué APIs aparecen. Así lo trabajamos con nuestros clientes:

1. Descubrir. Activamos Avi en modo evaluación para relevar las aplicaciones y APIs que reciben tráfico, sin bloquear nada todavía, y te entregamos el mapa SOZA de tu entorno.
2. Ordenar. Junto con tus equipos de desarrollo, documentamos las APIs shadow, planificamos el retiro de las zombie y las orphan, e importamos los contratos OpenAPI.
3. Proteger. Pasamos a modo de bloqueo de forma gradual, con políticas por endpoint, gestión de bots y rate limiting, sobre VMware Cloud Foundation y vSphere Kubernetes Service.
4. Operar. Con nuestro servicio de Networking & Security monitoreamos 7×24, ajustamos reglas, atendemos alertas y te enviamos reportes de salud y amenazas. Ante un incidente crítico, Insane Support escala directo con Broadcom.

Avi WAAP es una capa más de una estrategia de defensa en profundidad. La completamos con vDefend para frenar el movimiento lateral dentro del datacenter, con VMware HyperArmor para proteger el propio hipervisor y con nuestro servicio de Ransomware Incident Response por si algo igual sale mal. Como Partner Pinnacle de Broadcom, también te ayudamos a dimensionar y contratar las licencias que realmente necesitás.

¿Sabés cuántas APIs tenés expuestas hoy? Pedí un relevamiento con nuestros especialistas y te mostramos el mapa real de tus aplicaciones.

Preguntas frecuentes

¿WAAP reemplaza al WAF?

No: lo incluye y lo amplía. El WAF sigue protegiendo contra los ataques web del OWASP Top 10, y WAAP suma descubrimiento y protección de APIs, gestión de bots, rate limiting y defensa contra DDoS en la misma plataforma.

¿Sirve si mis aplicaciones corren en Kubernetes?

Sí. Según Broadcom, Avi WAAP protege aplicaciones en VMs, en vSphere Kubernetes Service y cargas de IA, y desde VCF 9.1 Avi se integra con las VPC de autoservicio y se automatiza con VKS.

¿Tengo que cambiar mi arquitectura de red?

Si ya usás Avi como balanceador, la protección se suma en el mismo camino del tráfico. Si usás otro balanceador o un WAF en appliance, planificamos la migración por etapas para no afectar el servicio.

¿Cómo se contrata?

Avi Load Balancer se contrata como complemento de VMware Cloud Foundation. Broadcom no detalló en el anuncio las condiciones comerciales de las nuevas funciones, así que conviene validarlas para tu caso: consultanos y te armamos la propuesta.

Fuentes

• Prashant Gandhi, Broadcom. Avi Strengthens Web Application Security, Boosts Performance and Improves Operational Efficiency, 6 de agosto de 2026.
• Broadcom. Avi Innovations for VCF 9.1: Powering Kubernetes, Agentic AI and VPC Workloads, 5 de mayo de 2026.
• Broadcom. VMware vDefend Advances Multi-Layer Lateral Security, agosto de 2026.
• Akamai, 2026 API Security Impact Study, y Wallarm, API ThreatStats Report 2026, citados por Broadcom.

Lecturas relacionadas

• VMware HyperArmor: protección activa para el hipervisor ESX
• Por qué IDS/IPS es crítico para tu ciberseguridad
• Introducción a VMware NSX+

El 13 de octubre, Broadcom anunció VMware HyperArmor, una nueva capa de seguridad que trabaja dentro del propio hipervisor ESX de VMware Cloud Foundation (VCF) y de VMware vSphere Foundation (VVF). Viene a cubrir dos huecos que el parcheo y el hardening no alcanzan a cerrar: el tiempo que pasa entre que se publica una vulnerabilidad y se aplica el parche, y el acceso a los hosts con credenciales robadas. Según Broadcom, va a estar disponible próximamente.

En resumen

• HyperArmor protege el host ESX, no las VMs: no instala agentes dentro de los sistemas operativos invitados.
• Hace tres cosas: virtual patching en el hipervisor, bloqueo de cualquier proceso que no sea conocido y MFA para el acceso por SSH.
• Complementa a vDefend en la red y a VMware Live Recovery en la recuperación. No reemplaza el parcheo.

Por qué el hipervisor está en la mira

Atacar un hipervisor rinde más que atacar una VM: quien toma el control de un host ESX controla todas las máquinas virtuales que corren encima. Por eso varios grupos de ransomware tienen versiones pensadas para cifrar datastores de ESXi, y campañas como ESXiArgs, en 2023, llegaron a miles de servidores expuestos.

A eso se suma la velocidad. Broadcom cita datos de la Cloud Security Alliance: en 2022 pasaban en promedio 32 días entre la publicación de una vulnerabilidad y su explotación; en 2023, 5 días. Con herramientas de IA que encuentran fallas y arman exploits de forma automatizada, hoy ese plazo se mide en horas.

Los dos huecos que quedan abiertos

VCF ya trae mucho resuelto: configuración endurecida, cifrado, identidad centralizada y live patching, que permite aplicar parches en ESX sin mover las VMs ni poner el host en mantenimiento. Aun así, quedan dos frentes:

1. El tiempo entre el aviso y el parche. Para aplicar un parche, primero tiene que existir, y después hay que probarlo y desplegarlo en producción. Si el exploit aparece en horas, ese intervalo deja al host expuesto.
2. Las credenciales robadas. Con una contraseña de administrador válida, un atacante entra por SSH y ejecuta comandos sin explotar ninguna falla. Ningún parche resuelve eso: es un problema de identidad.

Qué hace VMware HyperArmor

1. Virtual patching en el hipervisor

HyperArmor intercepta en tiempo real las acciones maliciosas durante la ejecución de procesos en el host y bloquea la explotación de vulnerabilidades críticas antes de que exista el parche oficial. No hace falta reiniciar el host ni frenar las cargas. El parche se sigue aplicando, pero con tiempo para probarlo.

2. Solo corre lo que tiene que correr

Un host ESX ejecuta un conjunto chico y predecible de procesos. HyperArmor parte de esa base conocida, lo que Broadcom llama seguridad positiva, y bloquea cualquier ejecutable, script o escritura de archivos que no esté autorizado. Como trabaja en la capa de infraestructura, no necesita agentes dentro de las VMs y, según el fabricante, el impacto en el rendimiento es mínimo.

3. MFA para el acceso por SSH

El acceso por SSH a ESX pasa a pedir dos pasos: las credenciales habituales y un código temporal (TOTP) asociado a una identidad definida aparte. Aunque alguien consiga la contraseña de un host por phishing o por una filtración, no llega a la línea de comandos sin ese segundo factor.

Dónde encaja en la seguridad de VCF

Capa	Solución	Qué cubre
Plataforma	Hardening de VCF	Identidad centralizada, cifrado en reposo y en tránsito, live patching.
Hipervisor	VMware HyperArmor	Explotación de vulnerabilidades en ESX, procesos no autorizados y acceso con credenciales robadas.
Red	VMware vDefend	Microsegmentación, firewall distribuido, IDS/IPS y virtual patching a nivel de red.
Recuperación	VMware Live Recovery	Recuperación ante ciberataques en un entorno aislado, con validación de los puntos de restauración.

La idea es que un atacante encuentre una barrera en cada capa. Si ya trabajás la microsegmentación con vDefend, HyperArmor cubre lo que vDefend no ve: lo que pasa dentro del propio hipervisor.

Qué podés hacer hoy

HyperArmor todavía no está disponible de forma general y Broadcom aún no publicó los detalles de licenciamiento. Mientras tanto, hay trabajo que podés adelantar en tus hosts ESX:

• Revisar quién tiene acceso SSH a los hosts y mantenerlo deshabilitado cuando no se usa.
• Medir cuánto tardás hoy en aplicar un parche crítico de ESX, desde el aviso hasta producción.
• Confirmar que la red de gestión de los hosts esté separada de las redes de usuarios y no sea accesible desde Internet.
• Validar que tus backups sean inmutables y que la recuperación esté probada.

Cómo te ayudamos en Wetcom

Como Pinnacle Partner de Broadcom, te ayudamos a evaluar la exposición de tus hosts ESX, aplicar el hardening de VCF y planificar la adopción de HyperArmor cuando esté disponible, junto con la microsegmentación de vDefend. Si preferís delegar la operación, nuestro servicio de Networking & Security se ocupa 7×24.

¿Querés saber qué tan expuestos están tus hosts ESX? Pedí una revisión con nuestros especialistas.

Preguntas frecuentes

¿HyperArmor reemplaza el parcheo de ESX?

No. Bloquea la explotación mientras el parche no está aplicado, pero el parche se sigue instalando. Lo que cambia es la urgencia: podés probarlo y desplegarlo en una ventana planificada.

¿Hay que instalar agentes en las VMs?

No. HyperArmor protege el host ESX desde la capa de infraestructura y no requiere agentes en los sistemas operativos invitados.

¿Con qué productos funciona?

Broadcom lo presenta para VMware Cloud Foundation y VMware vSphere Foundation.

¿Cuándo va a estar disponible?

Broadcom lo anunció el 13 de octubre de 2026 como disponible próximamente. Apenas haya fecha y condiciones comerciales, lo vas a ver en este blog.

Fuentes

• Broadcom. VMware HyperArmor, página del producto.
• Prashanth Shenoy, Broadcom. Proactive Defense: Enhancing Hypervisor Security in the AI Era, 13 de octubre de 2026.

Lecturas relacionadas

• Vulnerabilidades críticas en vCenter
• Las mejores prácticas de Veeam contra el ransomware
• VMware: cómo pasar de licencias perpetuas a suscripción