Seguridad basada en agentes frente a seguridad sin agente: ¿Cuál es el mejor enfoque?

Durante años, la ciberseguridad ha sido un juego de compensaciones. ¿Quieres una seguridad sólida? Esté preparado para la complejidad y los impactos de performance. ¿Necesitas un enfoque ligero? Prepárate para sacrificar visibilidad y control.

Es por eso que el debate sobre la seguridad basada en agentes frente a la seguridad sin agente existe en primer lugar.

La seguridad tradicional obliga a los equipos a elegir entre protección profunda y eficiencia operacional. Las soluciones basadas en agentes ofrecen visibilidad y aplicación granulares, pero vienen con overhead de recursos. La seguridad sin agente minimiza el impacto en las cargas de trabajo, pero carece de conocimientos profundos y control preciso.

Entonces, ¿cuál es el enfoque correcto para la ciberseguridad moderna? Vamos a desglosarlo.

Agentes de ciberseguridad: pros y contras

La implementación de un agente de ciberseguridad directamente en una carga de trabajo puede ser una manera poderosa de fortalecer la seguridad. Pero también viene con compensaciones.

Cuando implementa una solución de seguridad como agente directamente en una carga de trabajo, está acercando la protección lo más posible al recurso que la necesita. Esto significa:

• Seguridad más fuerte. El límite de confianza está justo donde debe estar, lo que reduce el riesgo de brechas.‍
• Visibilidad granular. Puede ver exactamente cómo se comportan las aplicaciones, realizar el seguimiento de los procesos y recopilar análisis profundos directamente desde la carga de trabajo misma.‍
• Mejor detección de amenazas. Los conocimientos del nivel del kernel (el núcleo del sistema) ayudan a identificar las amenazas que las soluciones sin agente podrían pasar por alto.

Por supuesto, agregar un agente a una carga de trabajo no está exento de inconvenientes:

• Utiliza los recursos del sistema. Cualquier agente necesitará algo de CPU y memoria para ejecutarse. ‍
• Consideraciones sobre la administración del tráfico. El agente tiene que sentarse en fila, inspeccionar el tráfico (lo que podría ralentizar las cosas) o ejecutarse en un modo fuera de banda, evitando cuellos de botella pero limitando potencialmente la visibilidad.

Algunos equipos prefieren la seguridad sin agente para evitar la pérdida de recursos. En su lugar, confían en servicios en la nube, switches de red o API para recopilar datos de flujo de tráfico y aplicar políticas.

Este enfoque puede reducir el overhead. Pero también sacrifica visibilidad y control. Sin un agente en la carga de trabajo, el monitoreo de procesos, la detección temprana de amenazas o la aplicación de políticas precisas es más difícil.

En última instancia, la decisión se reduce a compensaciones. Si decide implementar un agente en una carga de trabajo, también tiene que decidir qué tan ligero debe ser. Un agente eficiente y bien diseñado puede proporcionar todos los beneficios de una seguridad profunda sin ralentizar sus cargas de trabajo.

¿Dónde debe implementar los agentes de seguridad en el sistema operativo?

Para muchos propietarios de aplicaciones, los agentes pueden sentirse como un riesgo. La mayoría de los hosts de nube y data center ya tienen varios agentes en ejecución, por lo que agregar otro plantea preocupaciones:

• ¿Estará en conflicto con los agentes existentes?
• ¿Ralentizará el sistema al usar demasiados recursos?
• ¿Qué sucede si el agente falla? ¿Podría romper mi aplicación?

Nadie quiere que se interrumpan sus flujos de trabajo críticos porque un agente causó una interrupción.

Los agentes se pueden implementar en uno de dos lugares dentro de un sistema operativo (SO):

• Espacio de usuario: donde viven las aplicaciones ‍
• Espacio del kernel: el núcleo del sistema operativo, manejo de bibliotecas del sistema, administración de memoria, controladores de dispositivos y componentes de seguridad

Agentes en el espacio de usuario: la opción más segura y de bajo riesgo

La implementación de un agente de seguridad en el espacio del usuario es una forma de bajo riesgo de mejorar la seguridad sin interrumpir los procesos críticos del sistema.

El espacio de usuario es donde se ejecutan las aplicaciones. Está separado de las funciones principales del sistema operativo que mantienen todo funcionando sin problemas. Esto coloca al agente fuera de banda del camino del tráfico de red, evitando el riesgo de convertirse en un cuello de botella de tráfico.

Pero una desventaja de este enfoque es una menor visibilidad de los detalles granulares de los procesos más profundos en el espacio del kernel. También hace que sea más difícil interceptar el tráfico para una inspección más profunda.

Agentes en el espacio del kernel: más potencia pero más riesgo

Colocar un agente en el espacio del kernel proporciona una visibilidad profunda de las aplicaciones y los recursos del sistema. Esto permite a los equipos de seguridad monitorear procesos e inspeccionar el tráfico de la red en tiempo real.

Con la implementación en línea, obtiene una inspección profunda de paquetes y controles de seguridad avanzados más allá de lo que puede ofrecer un agente de espacio de usuario.

Pero este poder viene con riesgo. Dado que el agente opera en el núcleo del sistema operativo, las fallas pueden interrumpir las cargas de trabajo, bloquear el tráfico o incluso exponer los sistemas a amenazas.

Estos no son solo hipotéticos: las interrupciones de alto perfil del pasado mes de julio fueron causadas por fallas en los agentes espaciales del kernel, lo que demuestra los peligros de las implementaciones mal administradas.

El Illumio VEN: un agente ligero y a prueba de fallas

El nodo de aplicación virtual (VEN) de Illumio es un agente ligero diseñado para la eficiencia y la seguridad.

En lugar de agregar complejidad, funciona con el firewall integrado de su sistema operativo, automatizando la aplicación sin interrumpir el tráfico.

Cómo funciona el VEN

Illumio no reemplaza las herramientas de seguridad de red existentes del sistema operativo, sino que las mejora. Ya sea iptables o nftables en Linux, Windows Filtering Platform en Windows o ALF en macOS, el agente VEN de Illumio simplemente administra lo que ya existe.

Dado que el agente de Illumio se ejecuta en el espacio del usuario, no se ajusta al tráfico ni intercepta los flujos de aplicaciones. En su lugar, recopila información del firewall del sistema operativo. Esto proporciona una visibilidad clara de todas las dependencias de las aplicaciones en todo el entorno.

El VEN también utiliza un modelo de políticas basado en etiquetas, lo que hace que las políticas de seguridad sean legibles para el ser humano y fáciles de administrar. Traduce estas políticas a la sintaxis correcta para cada firewall del sistema operativo. Esto garantiza una aplicación transparente sin agregar capas adicionales de complejidad.

Esencialmente, el agente de Illumio funciona como una antena. No intercepta ni copia el tráfico, pero recopila datos del firewall del sistema operativo y los informa a Illumio Core.

A continuación, Illumino Core envía las instrucciones de política al agente que configura el firewall. Este enfoque asegura:

• Sin impacto en el performance de las aplicaciones
• No hay brechas de seguridad si un agente falla
• Visibilidad continua de las dependencias de las aplicaciones

Al automatizar los firewalls existentes del sistema operativo en lugar de reemplazarlos, Illumio ofrece una solución de seguridad ligera, eficaz y resistente, todo ello sin los riesgos de la aplicación tradicional en línea.

El enfoque a prueba de fallas de Illumino

Algunas soluciones colocan a los agentes de seguridad en lo profundo del espacio del kernel para obtener acceso directo a los procesos del sistema e interceptar el tráfico para controles de seguridad granulares.

Si bien esto puede parecer una buena idea, crea puntos de aplicación redundantes, lo que obliga al tráfico a través de dos firewalls en lugar de uno.

Los agentes espaciales del kernel también se alinean con el tráfico, lo que significa que una falla podría tener graves consecuencias:

• Si el agente falla al abrir, la seguridad desaparece y el sistema queda expuesto.
• Si es falla cerrada, todas las paradas de tráfico, lo que interrumpe las aplicaciones y las operaciones del negocio.

El modelo de agente ligero de Illumino elimina estos riesgos. Debido a que se ejecuta en el espacio del usuario, una falla del agente no afecta la seguridad ni el tráfico. El firewall del sistema operativo permanece activo con las últimas reglas conocidas, lo que garantiza una protección continua.

Los agentes fuertes y de bajo riesgo son la mejor opción

La clave para la ciberseguridad moderna es encontrar el equilibrio adecuado. Esto significa colocar el límite de confianza exactamente donde debe estar sin ralentizar las cosas.

El enfoque basado en agentes de Illumio le brinda lo mejor de ambos mundos: una seguridad sólida sin ralentizar sus cargas de trabajo. No hay compensación entre protección y performance. Y no hay riesgo de que una falla del agente interrumpa su negocio.

Debido a que Illumio se ejecuta fuera de banda y se mantiene liviano y pasivo, ofrece visibilidad clara y políticas de seguridad fáciles de administrar basadas en las necesidades del negocio, no en reglas rígidas de red.

¿Quieres verlo en acción? Póngase en contacto con nosotros hoy para una consulta gratuita y una demostración.