Cómo implementar un modelo de seguridad de confianza cero en un panorama abierto

No hace mucho tiempo que la seguridad implicaba el almacenamiento de información en las instalaciones con perímetros protegidos. Las organizaciones podían confiar en la solidez de su protección porque sabían dónde vivían los datos confidenciales y el número limitado de personas a las que se les concedía acceso físico.

Este simplemente no es el mundo digital en el que vivimos hoy. Los perímetros fortificados han sido reemplazados por entornos remotos y una proliferación de dispositivos móviles. Los datos del negocio ahora se distribuyen a través del almacenamiento de información virtualizado alojado en servidores de todo el mundo. Si bien esto ofrece una gran flexibilidad y escalabilidad para las empresas, también amplía la superficie de ataque para los actores malintencionados que buscan explotar las brechas de seguridad.

En respuesta a este desafío, los profesionales de seguridad están dando inicio a una nueva era de seguridad Zero Trust. En su forma más básica, un Enfoque de confianza cero requiere verificar cada solicitud de acceso entre todos los recursos, sin importar quién, qué o dónde se encuentren. Fundamentalmente, Zero Trust es una mentalidad y estrategia de seguridad, que puede ser difícil de implementar completamente.

En esta publicación, discutiremos el origen de la metodología Zero Trust y explicaremos cómo las organizaciones pueden implementar la seguridad Zero Trust en un entorno cada vez más remoto y sin perímetro, primero en la nube.

Una breve historia de Zero Trust

El término Confianza Cero se discutió por primera vez en la década de 1990 en una tesis doctoral sobre seguridad computacional, aunque no se utilizó en su significado actual. El concepto ganó más tracción alrededor de 2010 después de una discusión de Forrester Research sobre los principios de lo que se convertiría en la base del paradigma.

Forrester reconoció que la idea de un perímetro de confianza en las organizaciones es arriesgada. No solo podrían verse comprometidas las credenciales, sino que tampoco menciona la prevención de amenazas internas. Por lo tanto, todo el tráfico de red debe considerarse no confiable a menos que se demuestre lo contrario.

Unos años más adelante, y nuestra fuerza laboral cada vez más móvil (y ahora, cada vez más remota) está redefiniendo incluso la idea básica de un perímetro. Esto, combinado con el aumento de las soluciones en la nube, requiere un cambio adicional de la autenticación basada en credenciales. Además de centrarnos en las personas, ahora debemos extender el entorno Zero Trust para centrarse en los datos. Esto significa que las herramientas de seguridad de próxima generación deben tener en cuenta la actividad de la red, el acceso y los privilegios de los usuarios, y el acceso y uso de datos.

Zero Trust ahora requiere algo más que solo preguntar quién es el usuario. Cada intento de inicio de sesión debe requerir contexto, como:

• ¿Se está utilizando el dispositivo como un dispositivo conocido?
• ¿El inicio de sesión proviene de una ubicación o red conocida?
• ¿A qué datos o aplicaciones están intentando acceder?

Por supuesto, exigir y verificar todo este contexto puede ser más fácil decirlo que hacerlo en nuestro panorama cada vez más abierto. Los profesionales de seguridad necesitan prepararse para las nuevas tendencias en un panorama digital cada vez más abierto. Vamos a ir un paso más allá para ver cómo adoptar un paradigma Zero Trust en un entorno de seguridad moderno.

Implementación de Zero Trust en un entorno sin fronteras

La naturaleza de la proliferación de datos y el trabajo remoto hoy en día hace que sea casi imposible hacer cumplir los perímetros de seguridad de la manera en que antes lo hacíamos. Entonces, echemos un vistazo a algunos pasos prácticos para convertir esta estrategia en resultados y en un paradigma de seguridad impulsado por la tecnología.

Definir la superficie de protección

El primer paso para asegurar el entorno de su organización es definir dicho entorno. En esencia, estás tratando de poner una frontera donde no existe ninguna. Este enfoque requiere una visión holística de la red y el entorno, incluidos todos los usuarios, dispositivos, privilegios y tráfico

Esto es particularmente difícil si utiliza servicios basados en la nube o tiene alojamiento compartido para sus servidores. Según el experto de la industria Alex Williams de Hosting Data, en cualquier momento en que se compartan los recursos, la seguridad puede ser golpeada. “La naturaleza muy comunitaria del servidor puede permitir que los virus se propaguen a través de un sitio del servidor, infectando a aquellos vinculados a él”, dice Williams. “No tienes manera de personalizar tu seguridad. Básicamente estás confiando en tu equipo de hosting para protegerte”.

No importa cuál sea su configuración particular, nuestra moderna superficie de ataque siempre se está expandiendo. Hay varias maneras de definir una superficie de ataque, pero con Zero Trust, específicamente lo abordamos en términos de lo que debe ser protegido.

Esto reduce el enfoque a lo que es más valioso para el negocio. Una “superficie de protección” incluye:

• Datos (como información de identificación personal o información de tarjeta de pago)
• Aplicaciones (las que se utilizan para acceder a los datos, como CRM o proceso de pagos)
• Activos (servidores o equipos que procesan los datos, como terminales de punto de venta)
• Servicios (servicios críticos para el negocio utilizados para acceder a datos, como DNS o Active Directory)

La definición de una superficie protegida reúne la administración de datos y la administración de activos, además de la administración de acceso tradicional asociada con la autenticación de usuarios.

Proyecto de política de confianza cero

Una vez que defina la superficie de protección, debe usar esta información para formalizar la política de toda la organización. Zero Trust exige preguntar quién tiene acceso, a qué, cuándo y desde dónde. Cada vez que se realiza una solicitud de acceso a un recurso en particular, hay una serie de preguntas que deben hacerse:

• ¿Quién debería tener acceso?
• ¿Qué dispositivos deben tener acceso?
• ¿Cuándo pueden tener acceso los usuarios?
• ¿Desde dónde pueden tener acceso los usuarios?
• ¿Para qué se puede utilizar el recurso?

Estas preguntas deben traducirse en pasos procesables que sean lo suficientemente específicos como para cubrir las necesidades únicas de diferentes activos o servicios. Un modelo de control de acceso basado en atributos (ABAC) será útil en la elaboración de políticas dirigidas a los atributos de los diferentes grupos de recursos.

Sin embargo, el hecho de que pueda tener políticas diferentes para diferentes tipos de servicio no significa que no sea una política para toda la empresa. Si eres nuevo en el tema, deberías considerar consultar con un experto para ayudar a formular su estrategia de política de Confianza Cero.

Formar el perímetro “virtual”

Existen varias herramientas y tácticas que se pueden aplicar para apuntalar el perímetro virtual. Un enfoque principal en un entorno abierto debe ser mapear los flujos de red y aumentar la visibilidad de los recursos nativos de la nube.

Puede ser que tengas un entorno de nube híbrida con algunos recursos locales y virtuales. También tendrá que lidiar con software interno frente a software de terceros. El modelo ABAC ayudará a consolidar las reglas para proporcionar una visibilidad más completa. Además, necesitará segmentar sus servicios para hacer cumplir Zero Trust.

A herramienta de microsegmentación que ofrece un control granular de su fuente protegida ayudará a reducir la gravedad de un ataque en caso de una violación. La segmentación es particularmente crítica cuando utiliza microservicios basados en la nube: sin instalar muros virtuales, un atacante podría moverse lateralmente a través de su sistema con un solo conjunto de credenciales robadas. La herramienta adecuada también le dará visibilidad en tiempo real de los comportamientos del sistema, lo que ayudará a hacer cumplir sus políticas.

Monitoree y pruebe de manera consistente

Incluso una vez que tenga confianza en sus políticas e implementación, nunca debe dejar de probar su sistema en busca de vulnerabilidades. Pruebe sus políticas prediseñadas para asegurarse de que están detectando actividades sospechosas y pueden utilizarse para promulgar medidas de emergencia en caso de amenaza. También puede ser útil realizar pruebas contradictivas periódicas, ya sea internamente o contratadas, para mapear vulnerabilidades y evitar ser complacientes.

Educa a tus equipos

Por último, para avanzar en un paradigma de confianza cero en toda su organización, debe utilizar la educación dirigida para que todos se unan. Es importante que todos, desde TI hasta la C-suite, sepan por qué se están implementando los cambios en las políticas y cómo van a impactarlos.

Por ejemplo, querrá capacitar a los empleados sobre cómo la administración de acceso y la autenticación multifactor cambiarán sus procesos de inicio de sesión y por qué esto es importante para la empresa, los empleados y los clientes.

Conclusión

El mundo digital está en constante cambio y los profesionales de la seguridad soportan la carga de adaptarse a estos cambios. Los días de los dispositivos locales bloqueados se han ido, reemplazados por la nube híbrida, computación perimetral y el Internet de las cosas.

Zero Trust ayuda a las empresas a estar a la altura de las circunstancias con seguridad multicapa centrada en datos. Y si se implementa correctamente, no hay razón para que la seguridad tenga que sentirse como un inconveniente. Más bien, puede ser un cambio prioritario para toda la organización que fomente la responsabilidad y la higiene cibernética saludable.

Conoce cómo Illumio, el pionero y líder de Segmentación de confianza cero, puede ayudar a:

• Leer lo último Informes de Forrester Wave sobre la confianza cero y la microsegmentación.
• Obtenga orientación paso a paso en el libro electrónico, 6 pasos para implementar un modelo de confianza cero.
• Descargar el estudio de Forrester Consulting, Confiar en Zero Trust.