Firewall de nueva generación: qué hace y por qué el firewall tradicional ya no basta

Un firewall de nueva generación (NGFW) decide qué tráfico entra y sale de tu red según la aplicación, el usuario y el contenido, no solo según la dirección IP y el puerto. Además inspecciona el tráfico cifrado, bloquea intentos de explotar vulnerabilidades con un sistema de prevención de intrusiones (IPS) y filtra malware y sitios peligrosos. El firewall tradicional ya no basta porque hoy casi toda la navegación viaja cifrada por los mismos puertos web, y un ataque se ve igual que el tráfico legítimo si solo miras la IP y el puerto.

Qué hace un firewall tradicional

El NIST define los firewalls como dispositivos o programas que controlan el flujo de tráfico entre redes o equipos con distintos niveles de seguridad. El firewall tradicional lo hace con reglas basadas en direcciones IP, puertos y protocolos: permite la navegación web hacia internet, bloquea el resto y abre un puerto específico cuando alguien necesita llegar a un servidor.

Ese modelo funcionó cuando cada aplicación usaba su propio puerto y casi todo viajaba sin cifrar. Fortinet lo resume en su comparación entre ambos tipos: el firewall tradicional clasifica el tráfico solo por puertos y protocolos, bloquea únicamente amenazas conocidas de la capa de red y toma decisiones de permitir o bloquear sin contexto.

En muchas empresas ese firewall sigue en el rack, con reglas que se fueron sumando durante años. Funciona, en el sentido de que la red tiene internet. El problema es lo que deja pasar sin verlo.

Por qué el puerto ya no dice nada

Hoy casi todo pasa por los puertos web y viaja cifrado. Google informa que el uso de HTTPS en Chrome llegó a entre el 95% y el 99% de la navegación alrededor de 2020, y que desde entonces se ha mantenido en ese rango. Microsoft 365, el ERP en la nube, un servicio de almacenamiento personal y un malware que se comunica con su servidor de control pueden usar exactamente el mismo puerto.

Los atacantes lo aprovechan. En su informe de ataques cifrados de 2024, Zscaler encontró que el 87.2% de las amenazas que bloqueó entre octubre de 2023 y septiembre de 2024 llegaron por canales cifrados. Para un firewall que solo mira la IP y el puerto, todo eso es tráfico web normal, y lo deja pasar.

Qué agrega un firewall de nueva generación

Palo Alto Networks define el NGFW como un equipo de seguridad de red que identifica y controla aplicaciones, usuarios y contenido. Fortinet lo describe como una solución que amplía las funciones del firewall tradicional con reconocimiento de aplicaciones, prevención de intrusiones e inspección profunda de paquetes. En la práctica, eso se traduce en estas capacidades:

• Control de aplicaciones. Reconoce la aplicación real sin importar el puerto, para permitir Microsoft Teams y bloquear, por ejemplo, un servicio de transferencia de archivos no autorizado.
• Políticas por usuario. Las reglas se escriben por persona o grupo, no por dirección IP: contabilidad llega al ERP y los invitados solo a internet.
• Prevención de intrusiones (IPS). Detecta y bloquea intentos de explotar vulnerabilidades conocidas en tus servidores y equipos.
• Inspección del tráfico cifrado. Descifra e inspecciona el tráfico HTTPS según las políticas que definas, con excepciones como la banca en línea.
• Antimalware y sandbox. Revisa los archivos y analiza los sospechosos en un entorno aislado antes de dejarlos pasar.
• Filtrado web y DNS. Bloquea sitios maliciosos, de phishing o de categorías que la empresa no permite.
• Inteligencia de amenazas. Recibe del fabricante actualizaciones constantes con nuevas firmas e indicadores de ataque.

El firewall también es un blanco

Para una empresa, la diferencia práctica es pasar de «el puerto web está abierto» a «estas personas usan estas aplicaciones y todo lo que pasa se inspecciona». Pero el firewall no solo protege: también está en el borde de tu red, expuesto a internet, y por eso los atacantes lo buscan.

El Data Breach Investigations Report 2026 de Verizon encontró que la explotación de vulnerabilidades ya es la vía de acceso inicial más común en las filtraciones: subió al 31% a nivel global y llegó al 44% en América Latina y el Caribe. El mismo informe señala que solo el 26% de las vulnerabilidades críticas del catálogo KEV de CISA se corrigió por completo en 2025, y que la mediana para hacerlo subió a 43 días.

En Panamá, FortiGuard Labs contó 3,000 millones de escaneos activos durante 2025, según su reporte de amenazas de 2026: tráfico que recorre internet buscando equipos expuestos y versiones vulnerables. Un firewall sin actualizar, o con su panel de administración abierto a internet, es justo lo que ese tráfico busca.

La agencia de ciberseguridad de Estados Unidos (CISA) lo dejó por escrito en su directiva BOD 23-02: los atacantes han usado ciertos tipos de equipos de red, entre ellos firewalls, routers y concentradores VPN, para obtener acceso sin restricciones. Por eso ordenó a las agencias federales retirar de internet las interfaces de administración de esos equipos o protegerlas con controles de acceso Zero Trust. Es una buena regla para cualquier empresa: aplica las actualizaciones de seguridad del fabricante en cuanto salen, administra el firewall solo desde la red interna o con acceso Zero Trust y usa MFA en las cuentas de administración.

Las funciones de nueva generación dependen de suscripciones

Un detalle que muchas empresas descubren tarde: el hardware es solo una parte. La documentación de Fortinet indica que se necesita una licencia vigente de FortiGuard para recibir las actualizaciones de los motores y firmas de antivirus e IPS. Sus paquetes de servicios agrupan IPS, antivirus, sandbox y control de aplicaciones, y el paquete Unified Threat Protection suma filtrado de URL y DNS y protección contra botnets.

Palo Alto Networks trabaja igual: sus suscripciones, como Advanced Threat Prevention, Advanced URL Filtering, Advanced WildFire o DNS Security, habilitan funciones del firewall o su conexión con los servicios de análisis en la nube del fabricante. Si las suscripciones vencen, el equipo puede seguir filtrando con reglas básicas, pero pierde las actualizaciones y las funciones que lo hacen de nueva generación.

Por eso, cuando compares opciones, mira el costo del equipo junto con sus suscripciones durante varios años, no solo el del hardware.

Cómo dimensionarlo: el número que importa

Las hojas de datos muestran varias cifras de rendimiento, y la más grande casi nunca es la que vas a usar. Un ejemplo con un equipo pensado para sucursales, el FortiGate 90G: su hoja de datos indica hasta 28 Gbps de throughput de firewall, pero 2.2 Gbps de throughput con protección contra amenazas, que es la medición con firewall, IPS, control de aplicaciones y protección antimalware activos, y 2.6 Gbps de inspección SSL.

La regla es simple: dimensiona con la cifra de protección contra amenazas y la de inspección SSL, compárala con tu enlace a internet y con el tráfico entre tus redes internas, y deja margen para crecer. Un firewall que se queda corto obliga a desactivar funciones de seguridad para que la red no se ponga lenta, y entonces vuelves a tener un firewall tradicional con otro nombre.

¿Fortinet o Palo Alto Networks?

Los dos fabricantes ofrecen firewalls de nueva generación completos, con modelos para distintos tamaños de empresa. La decisión depende más de tu entorno que de una lista de funciones: qué usas hoy, quién lo va a administrar, cómo prefieres licenciarlo y qué otras piezas de seguridad necesitas integrar.

En Techno Sistemas somos partner de Fortinet y de Palo Alto Networks, así que te recomendamos el que encaja con tu caso. Puedes conocer cada portafolio en nuestras páginas de Fortinet en Panamá y de Palo Alto Networks en Panamá.

Señales de que tu firewall ya no alcanza

Revisa tu firewall actual con estas preguntas. Si varias respuestas son sí, conviene evaluarlo antes de que un incidente lo haga por ti:

• Las reglas están escritas por IP y puerto, y nadie sabe ya para qué sirve cada una.
• No inspecciona el tráfico HTTPS.
• Las suscripciones de seguridad vencieron, o nadie sabe cuándo vencen.
• El firmware lleva meses sin actualizarse, o el modelo ya no recibe soporte del fabricante.
• La administración está abierta a internet o se hace con una sola cuenta compartida.
• La red se pone lenta cuando activas IPS o inspección SSL.
• Nadie revisa los logs ni recibe alertas.

Cómo te ayudamos en Techno Sistemas

Empezamos con una revisión de tu firewall actual: reglas, configuración, accesos de administración, exposición a internet y estado de las suscripciones. Es parte de nuestra consultoría de TI e infraestructura, y termina con una lista de cambios por prioridad, aunque tu firewall actual todavía sirva.

Si toca renovar, dimensionamos, vendemos e implementamos firewalls Fortinet y Palo Alto Networks, y en Fortinet puedes elegir entre la renovación anual de licencias o FortiFlex. Y si quieres que alguien se ocupe del día a día, nuestros planes de soporte técnico mensual incluyen la red y los firewalls.

Preguntas frecuentes

¿Cuál es la diferencia entre un firewall tradicional y uno de nueva generación?

El tradicional decide por dirección IP, puerto y protocolo. El de nueva generación identifica la aplicación, el usuario y el contenido, inspecciona el tráfico cifrado, bloquea intentos de explotación con IPS y filtra malware y sitios peligrosos.

¿Un firewall de nueva generación reemplaza al antivirus de las computadoras?

No. El firewall protege el tráfico que pasa por la red de la oficina, pero una laptop que trabaja desde la casa o un archivo que llega por USB no pasan por él. Necesitas protección en cada equipo y el firewall en la red, funcionando juntos.

¿Es necesario inspeccionar el tráfico HTTPS?

Si quieres que el firewall vea amenazas dentro del tráfico cifrado, sí. Requiere instalar un certificado de la empresa en los equipos y definir excepciones por privacidad, como la banca en línea. Lo recomendable es activarlo por etapas para no afectar aplicaciones.

¿Qué pasa si no renuevo las suscripciones de mi firewall?

El equipo puede seguir filtrando con reglas básicas, pero deja de recibir las actualizaciones de firmas de IPS y antivirus y pierde las funciones que dependen de la suscripción. En la práctica, vuelve a comportarse como un firewall tradicional.

¿Cada cuánto debo actualizar el firmware del firewall?

Cada vez que el fabricante publique una corrección de seguridad que aplique a tu versión, después de probarla. Según Verizon, la mediana para corregir por completo vulnerabilidades críticas fue de 43 días en 2025; para un equipo expuesto a internet, es demasiado tiempo.

Si quieres saber si tu firewall protege lo que crees, revisamos sus reglas, su configuración y su exposición, y te decimos qué cambiar. Conoce nuestras soluciones de ciberseguridad

Fuentes

1. NIST – SP 800-41 Rev. 1, Guidelines on Firewalls and Firewall Policy (2009): Definición de firewall como dispositivo o programa que controla el flujo de tráfico entre redes o equipos con distintos niveles de seguridad.
2. Fortinet – Why NGFWs Are Crucial for Enterprise Security, Visibility, and Compliance: Comparación entre el firewall tradicional (puertos y protocolos, decisiones sin contexto) y el NGFW (aplicaciones, usuarios y contenido, IPS, inspección SSL/TLS y sandbox).
3. Palo Alto Networks – What Is a Next-Generation Firewall (NGFW)? A Complete Guide: El NGFW identifica y controla aplicaciones, usuarios y contenido; incluye prevención de intrusiones, filtrado de URL, descifrado SSL y sandbox en la nube.
4. Google – HTTPS by default (2025): El uso de HTTPS en Chrome llegó a entre el 95% y el 99% alrededor de 2020 y desde entonces se ha mantenido.
5. Zscaler – ThreatLabz 2024 Encrypted Attacks Report (2024): El 87.2% de las amenazas bloqueadas entre octubre de 2023 y septiembre de 2024 llegó por canales cifrados.
6. Verizon – 2026 Data Breach Investigations Report, Executive Summary (2026): La explotación de vulnerabilidades es la vía de acceso inicial más común (31% global, 44% en América Latina y el Caribe); solo el 26% de las vulnerabilidades del catálogo KEV se corrigió por completo y la mediana fue de 43 días.
7. DPL News – Panamá registró 4.8 mil millones de intentos de ciberataques impulsados por IA (2026): Reporte de FortiGuard Labs: 3,000 millones de escaneos activos en Panamá durante 2025.
8. CISA – BOD 23-02: Mitigating the Risk from Internet-Exposed Management Interfaces (2023): Los atacantes han usado equipos de red como firewalls, routers y concentradores VPN para obtener acceso; las interfaces de administración deben salir de internet o protegerse con Zero Trust.
9. Fortinet Document Library – Services and licensing, FortiOS 7.4.4 NGFW ATP deployment guide: Se necesita una licencia vigente de FortiGuard AV + IPS para recibir actualizaciones de motores y firmas.
10. Fortinet – FortiGuard AI-powered Security Bundles for FortiGate: El paquete ATP incluye IPS, antivirus, sandbox y control de aplicaciones; UTP suma filtrado de URL y DNS y protección contra botnets.
11. Palo Alto Networks Docs – Subscriptions You Can Use With the Firewall: Las suscripciones habilitan funciones del firewall o la conexión con los servicios en la nube del fabricante.
12. Fortinet – FortiGate 90G Series Data Sheet: Hasta 28 Gbps de throughput de firewall frente a 2.2 Gbps con protección contra amenazas y 2.6 Gbps de inspección SSL.