Operacionalización de la confianza cero — Paso 6: Validar, implementar y controlar

Esta serie de blogs amplía las ideas introducidas en mi publicación de marzo,”Cero Confianza no es difícil... Si eres pragmático.”

En ese post, describo seis pasos para lograr Zero Trust, y aquí me gustaría ampliar el paso final, a saber Válido, Implementar y Monitorear. Te mostraré cómo este paso puede apoyar la implementación de un marco sólido que puede ser utilizado por cualquier practicante de microsegmentación para que sus proyectos sean más exitosos, independientemente del tamaño de la organización.

Antes de comenzar, aquí hay un repaso sobre los seis pasos:

‍

Recapitre — Paso 5: Diseñar la política

En el ultimo mensaje de esta serie, miré “Designing the Policy”. Allí, mostré cómo el mapeo de dependencias de aplicaciones identifica los flujos relevantes:

Y a partir de aquí, derivamos el siguiente conjunto de reglas de permitir:

• Regla 1:
• Fuente: Servidor Web, Pagos, Producción, Reino Unido
• Destino: Respondedor DNS, Infraestructura DNS, Producción, Reino Unido
• Servicio de Destino: 53/udp
• Proceso de Destino: nombrado
• Regla 2:
• Fuente: App Server, Pagos, Producción, Reino Unido
• Destino: Respondedor DNS, Infraestructura DNS, Producción, Reino Unido
• Servicio de Destino: 53/udp
• Proceso de Destino: nombrado
• Regla 3:
• Fuente: Servidor Web, Pagos, Producción, Reino Unido
• Destino: Servidor de aplicaciones, Pagos, Producción, Reino Unido
• Servicio de Destino: 8080/tcp
• Proceso de Destino: tomcat

Teniendo en cuenta los principios de Zero Trust, las reglas de permiso enumeradas anteriormente definen exactamente lo que se permitirá: cualquier cosa que no esté explícitamente permitida se elimina implícitamente, manteniendo así la propiedad de menor privilegio.

Paso 6: Validar, Implementar y Supervisar

Ahora que tiene reglas de microsegmentación definidas, está listo para aplicarlas y proteger sus cargas de trabajo; sin embargo, sigue habiendo un desafío clave. Su aplicación de Pagos está en Producción y no desea interrumpir su funcionalidad mientras la marca. ¿Cómo mitiga este riesgo?

Con cualquier esfuerzo de segmentación, la etapa que conlleva el mayor riesgo es hacer cumplir las políticas que se han escrito de tal manera que no se permita ningún otro tráfico dentro o fuera de las cargas de trabajo. Si las políticas son incorrectas entonces existe la posibilidad de causar un corte de producción. Entonces, el paso a la aplicación de la ley debe ser controlado, y con suficientes oportunidades de monitoreo para que cualquier problema pueda ser rápidamente detectado y solucionado.

Aquí es donde entran en juego las pruebas de políticas. Illumio Core proporciona una manera poderosa pero sencilla de realizar esto. Una de las características más útiles de la plataforma Illumio Core es su capacidad para mover cargas de trabajo (o grupos de cargas de trabajo) al modo de prueba, como el modo de compilación, el modo de prueba es un modo sin bloqueo con la ventaja adicional de que informará sobre violaciones de políticas. Para una carga de trabajo en modo de prueba, el PCE superpondrá el gráfico de conectividad creado utilizando datos de flujo de cargas de trabajo, con el gráfico de políticas.

Se puede pensar que el gráfico de políticas pone burbujas alrededor de las cargas de trabajo que pueden comunicarse juntas a través de un conjunto específico de puertos y protocolos. El gráfico de conectividad muestra los intentos de comunicación entre cargas de trabajo.

• Cuando el gráfico de conectividad está dentro de una burbuja en el gráfico de políticas, se obtienen líneas verdes; estos son flujos que coinciden con la política que hemos escrito.

• Cuando el gráfico de conectividad cruza la burbuja en el gráfico de políticas, se obtienen líneas rojas; estos son flujos que no coinciden con una política de autor.

En el modo Prueba, estas líneas 'rojas', aunque no bloquean ningún flujo, indican dónde tenemos intentos de conectividad que violan la política. Como propietario de una aplicación, estos son los flujos que revisa y sus opciones son:

• Se requiere flujo -> escribir la política para girar la línea verde
• No se requiere flujo -> no es necesario realizar ninguna acción

Por lo tanto, el proceso de validación de políticas requiere iterar a través de todas estas líneas 'rojas' para determinar si deben ponerse verdes. Una vez que haya revisado todas estas 'violaciones' y hecho su elección, estará listo para comenzar a proteger las cargas de trabajo: nuestro proceso de validación está completo, es hora de hacer cumplir.

Teniendo en cuenta que el propósito de la fase de Validación, Implementación y Monitoreo es realmente minimizar el riesgo, lo ideal es que no desee adoptar un enfoque “big bang” para aplicar políticas en sus cargas de trabajo. A pesar de la validación detallada que ya haya realizado, aún querrá tomar pasos incrementales en esta fase final. Nuevamente, el control granular que Illumio proporciona sobre las cargas de trabajo permite exactamente esto. Cada carga de trabajo de una aplicación se puede mover individualmente al modo Reforzado; esto significa que una vez que tenga una política completamente validada, puede seleccionar primero en qué cargas de trabajo desea habilitar una protección completa, dejar que se ejecuten con la política aplicada (es decir, solo el tráfico permitido por la política puede ingresar o salir de la carga de trabajo) y mover las otras cargas de trabajo a un estado forzado después de un “tiempo de remojo”. La ventaja de este enfoque es que si hay algún problema con la política, solo afectará a un pequeño conjunto de cargas de trabajo en lugar de a toda la flota, y brinda otra oportunidad de ajustar con precisión antes de habilitar la aplicación completa.

Ahora que todas nuestras cargas de trabajo se aplican y la aplicación está protegida, la tarea que nos ocupa es monitorear continuamente los eventos de tráfico para detectar cualquier cosa inesperada (caídas y aceptaciones) e investigar cualquier cosa que esté fuera de lo normal.

Envoltura

Entonces, ahí lo tenemos: un recorrido por los seis pasos en un enfoque pragmático hacia la Confianza Cero. Como afirma Forrester, La confianza cero no es un resultado en sí mismo, sino una estrategia de seguridad, y cada organización necesita comprender su propia madurez a través de los pilares Zero Trust, identificar qué pilares necesitan más enfoque y tomar medidas incrementales para mejorar esa madurez. Illumio es un proveedor líder de ZTX Ecosystem Platform y ofrece un conjunto completo de capacidades para tomar estos pasos en las áreas de visibilidad y seguridad de la red y la carga de trabajo.

¿Perdiste los pasos 1-5 en nuestra operacionalización de la serie Zero Trust? Échales un vistazo ahora:

• Paso 1: Identificar qué proteger
• Pasos 2 y 3: Determinar en qué pilar de confianza cero enfocarse y especificar el control exacto
• Paso 4: Prescribir qué datos se necesitan
• Paso 5: Diseñar la política

Y para obtener más información sobre Zero Trust, visite nuestro página de la solución — aprenda cómo puede comenzar su viaje hoy mismo.