Seguridad de redes: mercado

Vacante

un empleo abierto que superó el filtro de calidad y menciona al menos dos tecnologías

Candidato observado

un candidato cuyo stack contiene esta tecnología; es un agregado: ni un solo registro sale del perímetro

Candidato emparejable

aún no contabilizado

Ventana

empleos abiertos en el momento en que se generó el snapshot

Principales 5: cloud, aws, ansible, azure, python. Dominio de NGFW (Next-Generation Firewall): uno de Palo Alto Networks PAN-OS (líder de la industria, App-ID + User-ID + Content-ID + gestión central Panorama, conocimiento premium), Fortinet FortiGate (líder de cuota de mercado por unidades + FortiManager + Security Fabric), Check Point (Quantum + SmartConsole + Maestro), Cisco Secure Firewall (Firepower / FTD + FMC), Juniper SRX. Open-source: pfSense + OPNsense. NGFW rusos (tras la salida de los vendors occidentales): UserGate (líder de la FR) + Kontinent (Code of Security) + InfoWatch ARMA + Ideco UTM + Rostelecom-Solar NGFW. IDS / IPS: Suricata (multihilo moderno, estándar open-source 2026) + Snort 3 (Cisco, clásico) + Zeek (antes Bro, framework de análisis de red, obligatorio para NDR). Comercial: Palo Alto Threat Prevention + Cisco Firepower IPS. NDR (Network Detection & Response), en auge 2024+: Darktrace (basado en IA, líder) + Vectra AI + ExtraHop Reveal(x) + Corelight (comercial basado en Zeek) + Cisco Secure Network Analytics. Zero Trust Network Access (ZTNA): Zscaler Private Access (ZPA, líder) + Cloudflare Access + Palo Alto Prisma Access + Cisco Secure Access + Duo + Netskope + Twingate + Tailscale (moderno, basado en WireGuard). SASE (Secure Access Service Edge), convergencia de red + seguridad: Zscaler (líder) + Palo Alto Prisma SASE + Cloudflare One + Netskope + Cato Networks (pionero SASE-native) + Cisco. VPN: WireGuard (estándar moderno, rápido + mínimo) + OpenVPN + IPsec (IKEv2) + Cisco AnyConnect. Rusos: ViPNet (InfoTeCS) + Kontinent. Microsegmentación: VLANs + VXLAN + EVPN + Illumio (líder de microsegmentación) + Cisco ACI + Cisco Secure Workload (antes Tetration) + Akamai Guardicore + VMware NSX. Análisis de paquetes: Wireshark + tcpdump + Zeek + ntopng. Protección DDoS: Cloudflare + Akamai Prolexic + AWS Shield + Radware. Rusos: Qrator + Kaspersky DDoS Protection + StormWall. Seguridad DNS: Cisco Umbrella + DNSFilter + Infoblox + Cloudflare Gateway. Base de routing / switching: Cisco IOS / IOS-XE / NX-OS, Juniper Junos, Arista EOS, BGP / OSPF / EIGRP. Seguridad de red cloud: AWS Network Firewall + Security Groups + NACLs, Azure Firewall + NSG, GCP Cloud Armor + VPC Firewall. Automatización de red: módulos de red de Ansible + Python (Netmiko + NAPALM + Nornir + Scapy) + Terraform para la red cloud. Lenguajes: Python principal + bash.

Network Engineer: enfoque en la infraestructura de red (enrutamiento + switching + WAN + fabric de centro de datos). La seguridad no es lo principal. Ver Network Engineer. Network Security Engineer (esta página): enfoque en la seguridad de la capa de red: NGFW + IDS/IPS + NDR + Zero Trust + SASE + microsegmentación + VPN + DDoS. Puente entre redes y seguridad. Cloud Security Engineer: enfoque en la seguridad específica de la nube (CSPM / CIEM / CNAPP + servicios de seguridad cloud-native). La seguridad de red en la nube es un subconjunto. Ver Cloud Security. Security Engineer (general): cobertura amplia de todos los dominios de seguridad (SIEM + EDR + IAM + red + cumplimiento normativo). Ver Security Engineer (general). Realidad 2026 (mapa de solapamiento): Network Security ↔ Network Engineer: 50% (ambos profundos en redes, enfoque en seguridad frente a enfoque en infraestructura). Network Security ↔ Cloud Security: 40% (solapamiento en la seguridad de red en la nube: VPC / Security Groups / firewalls en la nube). Network Security ↔ Security Engineer general: 40%. Tendencia 2026: la seguridad de red perimetral tradicional se está transformando: la convergencia de Zero Trust + SASE difumina la frontera entre seguridad de red + endpoints + nube. Un Network Security Engineer moderno debe dominar ZTNA / SASE (no solo el NGFW tradicional). Cambios de carrera: Network Engineer Senior → Network Security: 4-8 meses (añadir certificaciones de seguridad + NGFW en profundidad + IDS/IPS + NDR). Network Security Senior → Cloud Security: 4-8 meses (añadir CSPM + cloud-native). Network Security Senior → Security Engineer general: 3-6 meses.

Arquitectura de referencia de seguridad de red 2026 (defensa en profundidad por capas): 1) NGFW perimetral: firewall de nueva generación en el borde de la red (Palo Alto / Fortinet / Check Point / Cisco). Filtrado consciente de la aplicación (App-ID), políticas por usuario (integración de User-ID con AD), prevención de amenazas (IPS + antimalware + filtrado de URL). Rusos: UserGate / Kontinent. 2) Firewalls de segmentación interna: control del tráfico este-oeste entre zonas de red (producción / desarrollo / DMZ / corporativa). Limitar el radio de impacto. 3) Microsegmentación: aislamiento granular a nivel de carga (Illumio / Cisco Secure Workload / Guardicore / VMware NSX). Principio Zero Trust: ninguna confianza implícita entre cargas. 4) IDS / IPS: detección / prevención de intrusiones. Suricata (código abierto moderno) o comercial (Palo Alto Threat Prevention / Cisco Firepower IPS). Detección por firmas + de anomalías. 5) NDR (Network Detection & Response): análisis de comportamiento del tráfico de red (Darktrace AI / Vectra / ExtraHop / Corelight / PT NAD, ruso). Detecta el movimiento lateral + el beaconing de C2 + la exfiltración de datos que el IPS basado en firmas no ve. 6) Zero Trust Network Access (ZTNA): sustituye a la VPN tradicional. Acceso por aplicación (frente al túnel VPN a toda la red). Zscaler Private Access / Cloudflare Access / Palo Alto Prisma Access / Twingate / Tailscale. «Nunca confíes, verifica siempre». 7) SASE (Secure Access Service Edge): une SD-WAN + ZTNA + SWG (Secure Web Gateway) + CASB (Cloud Access Security Broker) + FWaaS (Firewall-as-a-Service) en una plataforma entregada desde la nube. Zscaler / Palo Alto Prisma SASE / Cloudflare One / Netskope / Cato Networks. Tendencia 2024–2026: sustituye a la arquitectura de red tradicional en estrella. 8) Seguridad DNS: la primera línea de defensa (bloquear dominios maliciosos antes de la conexión). Cisco Umbrella / DNSFilter / Cloudflare Gateway / Infoblox. 9) Protección DDoS: Cloudflare / Akamai Prolexic / AWS Shield / Radware. Rusos: Qrator / Kaspersky DDoS. 10) WAF (Web Application Firewall): protección en la capa de aplicación (se solapa con AppSec). 11) Pasarela de seguridad de correo: antiphishing + sandbox (Proofpoint / Mimecast / Microsoft Defender for Office 365). 12) Network Access Control (NAC): estado del dispositivo + autenticación 802.1X (Cisco ISE / Aruba ClearPass / Fortinet FortiNAC). 13) VPN (heredada o complementaria): WireGuard (moderna) / IPsec / OpenVPN para site-to-site + acceso remoto. 14) Seguridad de red en la nube: AWS Network Firewall + Security Groups / Azure Firewall + NSG / GCP Cloud Armor + VPC Firewall. 15) Monitorización de red + análisis de flujos: análisis de NetFlow / sFlow / IPFIX, captura de paquetes (Wireshark / Zeek), integración con SIEM. Transversal: automatización de redes: automatizar el ciclo de vida de las reglas de firewall (Ansible + Python Netmiko / NAPALM), cumplimiento de la configuración, detección de desviaciones. Estrategia de segmentación de red: diseño de arquitectura Zero Trust (sin confianza implícita, acceso de red con mínimo privilegio). Un Senior Network Security Engineer es responsable de la mayor parte de este stack y lo integra.

En parte. El 23% de las vacantes de Network Security son remotas o híbridas, pero normalmente con menos remoto que la seguridad cloud-native por: 1) La instalación y el mantenimiento físico de firewalls / dispositivos de red y el cableado: presencia obligatoria. 2) El trabajo de seguridad de red en centros de datos exige presencia física. 3) Las habilitaciones de seguridad en defensa / bancos / empresas públicas: presencia obligatoria. 4) Las operaciones de red 24×7 suelen exigir acceso físico rápido. Oportunidades en remoto: la seguridad de red del lado del software (gestión de políticas de firewall desde consolas centrales: Panorama / FortiManager + Zero Trust / SASE entregado desde la nube + análisis NDR + automatización de redes) puede ser totalmente remota. Seguridad de red en la nube (seguridad de red de AWS / Azure / GCP): totalmente remota. Outsourcers para enterprise de EE. UU. en la nube: normalmente en remoto. Bancos rusos + telecomunicaciones: híbrido/oficina (3 días de oficina es lo típico). Proveedores rusos de NGFW (UserGate / Code of Security): híbrido. Empresas públicas: híbrido/oficina obligatorio por los entornos aislados + habilitaciones. Hubs para reubicarse: Polonia (presencia de Cisco / Fortinet) / Alemania / Canadá / Serbia. Inglés para el remoto internacional en Network Security: obligatorio (la documentación de Palo Alto / Fortinet / Cisco, la comunidad y las certificaciones están en inglés).

Network Security Engineer (tradicional): enfoque en el modelo de seguridad perimetral: NGFW en el borde de la red, zonas de red, VPN para acceso remoto. Enfoque de «castillo y foso». Zero Trust Network Engineer (en auge 2024+): enfoque en la arquitectura Zero Trust: «nunca confíes, verifica siempre», sin confianza implícita basada en la ubicación de red, acceso por aplicación (frente a acceso a toda la red), verificación continua. Día a día: 1) despliegue de ZTNA (Zscaler Private Access / Cloudflare Access / Palo Alto Prisma Access / Twingate / Tailscale): sustituir la VPN tradicional por acceso por aplicación. 2) migración a SASE (unificar SD-WAN + ZTNA + SWG + CASB + FWaaS en una plataforma entregada desde la nube: Zscaler / Palo Alto Prisma SASE / Cloudflare One / Netskope / Cato Networks). 3) políticas de acceso basadas en la identidad (integración con Okta / Entra ID: decisiones de acceso basadas en la identidad del usuario + el estado del dispositivo + el contexto, no en la ubicación de red). 4) microsegmentación (Illumio / Cisco Secure Workload / Guardicore: aislamiento a nivel de carga de trabajo). 5) evaluación del estado del dispositivo (integración con NAC: cumplimiento del endpoint antes de conceder el acceso). 6) verificación continua (reautenticar + reautorizar durante la sesión, no solo al conectarse). Impulsores 2024–2026: la permanencia del trabajo en remoto (el perímetro se disolvió: empleados en todas partes), la migración a la nube (apps fuera del centro de datos), los ataques a la cadena de suministro (prevenir el movimiento lateral), la presión regulatoria (la Executive Order 14028 de EE. UU. exige Zero Trust para el gobierno federal). Habilidades: redes tradicionales + seguridad + identidad (IAM) + nube + conocimiento del panorama de proveedores de SASE / ZTNA. Retribución: el Zero Trust / SASE Network Engineer tiene una prima del +10-20% sobre el Network Security tradicional por ser una habilidad escasa con demanda creciente. Trayectoria: Network Security Engineer Senior + experiencia en proyectos de ZTNA / SASE → Zero Trust Network Engineer: 4-8 meses. Realidad 2026: Zero Trust no es un rol aparte en la mayoría de las organizaciones, sino un requisito de evolución para todos los Network Security Engineers. Los Network Security Engineers «solo tradicionales» se arriesgan a estancarse en su carrera.

Roadmap: 1) Networking fundamentals solid — OSI model + TCP / UDP / IP deep + subnetting + routing (BGP / OSPF / EIGRP) + switching (VLANs / STP / VXLAN) + DNS + DHCP + NAT. CCNA (Cisco Certified Network Associate) — foundational cert. Book: «CCNA 200–301 Official Cert Guide» Wendell Odom. 2) Security fundamentals — CIA Triad + OWASP Top 10 awareness + cryptography basics (TLS / IPsec / VPN protocols) + common network attacks (MITM / ARP spoofing / DNS poisoning / DDoS). CompTIA Security+ cert. 3) Linux + Python — Linux network stack + Python for network automation (Netmiko / NAPALM / Scapy for packet manipulation). 4) NGFW mastery — pick one vendor deeply. Palo Alto Networks (PCNSE cert — premium recognized) or Fortinet (NSE 4 → NSE 7 → NSE 8 track) or Check Point (CCSA → CCSE). Home lab: pfSense / OPNsense (free) for practice. Russian context: UserGate certification (if RF-focused). 5) IDS / IPS hands-on — Suricata + Snort 3 setup on home lab. Write detection rules. Zeek (former Bro) for network analysis. 6) Packet analysis mastery — Wireshark deep (filters + protocol analysis + forensics). Practice on malware traffic PCAPs (malware-traffic-analysis.net — free). 7) Zero Trust / SASE (rising 2024+ — must for modern Network Security) — understand ZTNA concepts + try Tailscale / Twingate (free tiers) + study Zscaler / Cloudflare One / Palo Alto Prisma SASE architectures. 8) NDR exposure — understand Network Detection & Response concepts (behavioral analysis vs signature-based) + Darktrace / Vectra / PT NAD overviews. 9) Cloud network security — AWS (VPC + Security Groups + NACLs + Network Firewall) or Azure (NSG + Azure Firewall) or GCP (VPC Firewall + Cloud Armor). AWS Advanced Networking Specialty or Security Specialty cert. 10) Network automation — Ansible network modules + Python (Netmiko / NAPALM / Nornir). Automate firewall rule deployment + config compliance. 11) Advanced certs path: CCNP Security → CCIE Security (elite — rare + premium) or vendor-specific (PCNSE + Fortinet NSE 7-8 + Check Point CCSE). 12) Pet project portfolio: a) home lab with pfSense / OPNsense firewall + Suricata IDS + Zeek + VLANs segmentation; b) network automation scripts (Python firewall rule management); c) Zero Trust setup demo (Tailscale / Twingate network). Document on GitHub. International (eng): Cisco Networking Academy (CCNA / CCNP Security), Palo Alto Networks Education (PCNSA → PCNSE), Fortinet NSE Training Institute (free NSE 1-3, paid NSE 4+), SANS SEC503 Network Monitoring and Threat Detection (premium), TryHackMe / HackTheBox network tracks. Books-must: «Network Security Assessment» Chris McNab, «Practical Packet Analysis» Chris Sanders, «Zero Trust Networks» Gilman / Barth (O'Reilly — must for modern Network Security). Network Engineer Middle + security certs → Network Security Junior — 4-8 months.

138 active open Network Security Engineer vacancies with explicit network-security focus. The real market is wider — many network security roles classified as general Network Engineer / Security Engineer / Infrastructure (titles like «Network Engineer with security focus» or «Infrastructure Security»). Geography: the US, Poland, India. The real market is wider due to the international remote segment (Palo Alto / Fortinet / Zscaler / Cloudflare / Darktrace / Netskope / Cato Networks — SASE / ZTNA / NDR cloud-delivered teams full-remote-friendly). Senior Network Security Engineer closing time — 6-12 weeks (longer than general DevOps due to rare-skill combination — networking depth + security expertise + vendor-specific certifications).

Un Senior Network Security Engineer es dueño del ciclo de vida completo de la seguridad de red + liderazgo técnico. Fundamentos de redes a fondo: dominio de los protocolos de enrutamiento (BGP avanzado: route reflectors / route maps / traffic engineering; OSPF avanzado: áreas / LSDB; EIGRP), conmutación a fondo (VLANs / VXLAN / EVPN: fabric moderno de centro de datos), interioridades de TCP / IP, dominio de DNS / DHCP / NAT. Dominio de NGFW: uno de Palo Alto PAN-OS / Fortinet FortiGate / Check Point / Cisco Secure Firewall a fondo: arquitectura de políticas, integración de App-ID / User-ID, ajuste de la prevención de amenazas, gestión central (Panorama / FortiManager / SmartConsole), configuraciones de HA, sistemas virtuales / VDOMs. Ruso: experiencia en UserGate / Kontinent. Dominio de IDS / IPS: autoría de reglas de Suricata / Snort 3, scripting de Zeek para análisis de red a medida, ajuste de falsos positivos, gestión de firmas de amenazas. Dominio de NDR (en alza 2024+): Darktrace / Vectra / PT NAD: interpretación de análisis conductual, investigación de anomalías, integración con SIEM / SOAR. Dominio de Zero Trust / SASE: diseño de arquitectura ZTNA (Zscaler Private Access / Cloudflare Access / Prisma Access), liderazgo de migración a SASE (converger SD-WAN + ZTNA + SWG + CASB + FWaaS), políticas de acceso basadas en identidad (integración con Okta / Entra ID), diseño de microsegmentación (Illumio / Cisco Secure Workload / Guardicore). Dominio de VPN: WireGuard + IPsec (IKEv2) + arquitectura site-to-site + acceso remoto. Protección DDoS: arquitectura Cloudflare / Akamai / AWS Shield, diseño de estrategia de mitigación. Seguridad DNS: Cisco Umbrella / DNSFilter / Infoblox: bloqueo de amenazas a nivel de DNS. Seguridad de red en la nube: AWS Network Firewall + Security Groups + NACLs / Azure Firewall + NSG / GCP Cloud Armor + VPC Firewall: arquitectura de seguridad de red en nube híbrida. Dominio de la automatización de redes: Python (Netmiko + NAPALM + Nornir + Scapy para manipulación de paquetes), módulos de red de Ansible, automatización del ciclo de vida de las reglas de firewall, cumplimiento de configuración + detección de drift, Terraform para la red en la nube. Dominio del análisis de paquetes: Wireshark a fondo (análisis a nivel forense), scripting de Zeek, análisis de NetFlow / sFlow / IPFIX. Respuesta a incidentes: liderar incidentes de ataque a la red (DDoS / movimiento lateral / exfiltración de datos), análisis forense de red. Diseño de sistemas para seguridad de red: diseñar una arquitectura de red con defensa en profundidad en una pizarra, diseñar una arquitectura de red Zero Trust, diseñar una migración SASE multi-sitio, diseñar una estrategia de microsegmentación. Marcos de cumplimiento: requisitos de segmentación de red de PCI-DSS, controles de red de ISO 27001 + NIST CSF, 152-FZ + 187-FZ. Soft: redacción de ADRs para decisiones de seguridad de red, redacción técnica (documentos de diseño de seguridad de red), colaboración transversal (equipos de Red / Seguridad / Nube / Infraestructura), mentoría de Network Security Engineers Middle, gestión de la relación con vendors. Inglés para Senior+ IMPRESCINDIBLE: la documentación de los vendors (Palo Alto / Fortinet / Cisco / Zscaler) + la comunidad + las certificaciones están en inglés. Certificaciones: CCIE Security (de élite: rara + prima enorme), CCNP Security, PCNSE (Palo Alto), Fortinet NSE 7-8, Check Point CCSE, AWS Advanced Networking / Security Specialty.