Data Center y seguridad en la nube: por qué necesitamos una revolución

Presentamos una serie de blogs de Illumio, CTO de Illumio, PJ Kirner, que cubrirá conceptos clave que le ayudarán a pensar sobre la seguridad de los centros de datos y la nube de una manera nueva, y realinear su enfoque con los requisitos cambiantes en todos los entornos de aplicaciones.

Las revoluciones ocurren por una buena razón. Son el resultado de una divergencia de expectativas y realidad causando frustración reprimente que empuja la necesidad de cambio. Las viejas formas ya no se alinean con los nuevos requerimientos y la presión alcanza un punto de ebullición donde no hay otra opción que hacer ese cambio.

Las evoluciones en las aplicaciones, el data center y la nube han llevado la seguridad al límite, donde las formas antiguas como los puntos de estrangulamiento y los enfoques basados en la red ya no se alinean con los nuevos requerimientos de los equipos de aplicaciones. Estos equipos se han acostumbrado a nuevos modelos de utilización de recursos y entrega de aplicaciones y no hay vuelta atrás. Es hora de una revolución en seguridad.

Presión del centro de datos

Hemos visto al centro de datos evolucionar rápidamente en la última década y media, lo que nos permite utilizar mejor los recursos, obtener nuevos niveles de escala y movernos más rápido que nunca. Atrás quedaron los días de asumir que sus aplicaciones eran más o menos estáticas y todas vivían en su data center privado.

Los nuevos niveles de consumo, escala y velocidad han creado nuevos desafíos y presión para los equipos de seguridad.

• La virtualización ha abstraído los recursos centrales del centro de datos de computación, red y almacenamiento de información, lo que hace que las cargas de trabajo sean más portátiles y adaptables, al tiempo que hace que las aplicaciones sean más escalables y resilientes.
• La nube ha creado entornos elásticos bajo demanda que nos permiten satisfacer nuestras necesidades de infraestructura bajo demanda, lo que facilita el consumo y la utilización más eficiente.
• Los contenedores son cada vez más comunes en los entornos actuales, lo que permite una forma rápida de desarrollar, construir y empaquetar aplicaciones y servicios.
  

Presión de las aplicaciones

La infraestructura no es la única área de evolución e innovación. Hemos visto cambios similares con la forma en que desarrollamos y entregamos aplicaciones. Gracias a la Integración Continua y la Entrega Continua (CI/CD), nuestras expectativas a lo largo del ciclo de vida de entrega de software (SDLC) han evolucionado. Ahora esperamos que el software se desarrolle y entregue de manera más rápida y fluida que los enfoques tradicionales basados en versiones.

Para muchos, se fueron los días de distintos ciclos de lanzamiento en los que los equipos podían entrar en una sala y planificar los detalles para una próxima fecha de lanzamiento. Cada semana y, en algunos casos, todos los días o incluso varias veces al día, se está desarrollando nuevo código y empujando a la producción.

Las aplicaciones monolíticas han sido reemplazadas por arquitecturas de microservicios. Las propias aplicaciones y las arquitecturas de servicio relacionadas también se han vuelto más complejas y sus componentes están más conectados. Las aplicaciones dependen de los datos y los servicios en todo el entorno, lo que lleva a una comunicación exponencialmente mayor Este-Oeste de lo que hemos visto en el pasado.

Más interconexiones significan más vías abiertas, lo que puede conducir a una mayor superficie de ataque para defender y más riesgo para el negocio. Además, la naturaleza efímera de los contenedores, además de la conectividad entre esos entornos, crean un conjunto completamente nuevo de desafíos para la seguridad.

El movimiento DevOps ha reunido a desarrolladores y equipos de operaciones para alimentar esta necesidad de agilidad en las aplicaciones y la infraestructura. Pero la primera generación de este movimiento dejó la seguridad fuera del circuito. Para muchos, el involucrarse con la seguridad se vio como un obstáculo para el progreso y la filosofía de despliegues rápidos y, en algunos casos, hizo que la seguridad se dejara de lado por completo.

La seguridad no ha seguido el día

La evolución de la infraestructura y las aplicaciones del data center ha impulsado el movimiento de las organizaciones que se vuelven más impulsadas por software y se mueven más rápido que nunca. La seguridad siempre ha sido importante, pero a medida que las organizaciones se vuelven más dependientes del software para impulsar sus negocios, se vuelve cada vez más crítico obtener la seguridad correcta para minimizar el riesgo del negocio. Hacerlo mal puede significar la pérdida de datos, el impacto en los ingresos, un efecto duradero en la marca e incluso sanciones vinculadas al cumplimiento de normas. La seguridad no se ha mantenido al día con la evolución que hemos visto en la infraestructura y las aplicaciones.

Las soluciones tradicionales basadas en la red y de punto de choque para aplicar políticas no solo son poco prácticas, sino que pueden ser francamente imposibles de diseñar e implementar. Como las aplicaciones son una suma de sus partes, a veces distribuidas entre centros de datos e incluso en la nube, la complejidad de aplicar políticas de manera consistente puede ser un gran desafío. Si se combina eso con el hecho de que la infraestructura de aplicaciones se está volviendo cada vez más dinámica, mantener la política sincronizada con el movimiento y la escala puede ser casi imposible.

Uno de los objetivos de la evolución de la seguridad es alejar la balanza de la ventaja del atacante y aprovechar las fortalezas del defensor.

Incluso los atacantes han evolucionado para derrotar los enfoques de seguridad más recientes. Cambiar la balanza a la ventaja del defensor requiere un modelo que pase de ser reactivo a amenazas a un modelo que cambie proactivamente el juego, dándole al defensor el control de vuelta. Para hacerlo, necesitamos abordar la seguridad de una manera nueva y pensar de manera diferente sobre los entornos de aplicaciones y cómo los protegemos.

Los enfoques actuales de seguridad pueden ser un bache en el camino, ralentizando el progreso, si no un obstáculo total. Al seguir el camino tradicional, existe el riesgo de que los equipos de desarrollo busquen formas de sortear la seguridad para seguir avanzando al ritmo que necesitan para seguir siendo eficientes.

Esta necesidad de eficiencia es una de las razones por las que necesitamos repensar la seguridad y alinearla mejor con las evoluciones que hemos visto en todo el data center.

Evolución de la seguridad para entornos de aplicaciones modernas

Si bien la mayoría de las soluciones de seguridad actuales se basan en viejas suposiciones de que las cosas se mueven más lentamente y son más o menos estáticas, sabemos que la realidad ya no es cierta.

Incluso si aún no siente el impacto total, las empresas están cada vez más impulsadas por el software, las aplicaciones se mueven más rápido y los entornos de aplicaciones son cada vez más complejos y heterogéneos, lo que demanda una revolución en el centro de datos y seguridad en la nube.

Las tecnologías como la virtualización y el IaaS han abstraído la infraestructura para alinearse mejor con los requerimientos de las aplicaciones. Tenemos que pensar en la seguridad de una manera similar.

Ver las cargas de trabajo en el contexto de las aplicaciones y los procesos del negocio es la mejor manera de entender el riesgo y crear políticas. También es el único lenguaje común que todos los equipos dentro de la organización pueden entender. Un equipo de desarrollo de aplicaciones no piensa en su entorno de aplicaciones en el contexto de la red (direcciones IP y puertos). Lo piensan en el contexto de los componentes de esa aplicación, cómo se relacionan y cómo trabajan juntos.

Lo mismo ocurre con los propietarios de procesos de negocios que piensan en sus procesos, las aplicaciones y servicios que están relacionados, y cómo todos trabajan juntos para enfrentar los requerimientos del negocio.

Este cambio de perspectiva es fundamental y un primer paso para abrir la puerta a un nuevo enfoque. Es la única manera de crear seguridad que se adapte a los entornos de aplicaciones modernos que se distribuyen entre plataformas y ubicaciones, moviéndose y escalando dinámicamente para satisfacer las demandas.

En mi próximo post, hablaré sobre por qué un mapa centrado en las aplicaciones es crítico y cómo se convierte en la base para repensar y evolucionar la seguridad.

Nota del editor: Lea el siguiente post, “Necesita un mapa para evolucionar la seguridad”.