ZTNA (Acceso a la Red de Confianza Cero)

Cómo funciona Zero Trust Network Access (ZTNA)

En el modelo ZTNA, el acceso solo se aprueba una vez que un usuario es autenticado por el servicio ZTNA que luego proporciona una aplicación o acceso a la red a través de un túnel seguro y cifrado. El servicio evita que los usuarios vean aplicaciones o datos a los que no tienen permiso de acceso, evitando así el movimiento lateral de un posible atacante. Este tipo de movimiento es algo que de otro modo sería posible si un dispositivo o agente no autorizado pudiera usar un endpoint comprometido o credenciales aprobadas para pivotar hacia otros servicios o aplicaciones.

Con ZTNA, las aplicaciones protegidas también se ocultan del descubrimiento y el acceso a ellas se restringe a través del servicio ZTNA (también conocido como corredor de confianza) a un conjunto de entidades previamente aprobadas. Un corredor de confianza solo otorgará acceso a una entidad si se cumplen las siguientes condiciones:

• La entidad (un usuario, dispositivo o red) proporciona al corredor las credenciales correctas.
• El contexto en el que se solicita el acceso es válido.
• Se han seguido todas las políticas aplicables para el acceso dentro de ese contexto dado.

En ZTNA, las políticas de acceso son personalizables y se pueden cambiar según las necesidades del sistema. Por ejemplo, además de los requisitos anteriores, puede implementar un control de acceso basado en ubicación o dispositivo que evite que los dispositivos vulnerables o no aprobados se conecten a una red protegida.

Beneficios de Acceso a la Red de Confianza Cero (ZTNA)

En primer lugar, dado que el acceso a las aplicaciones está aislado del acceso a la red en el entorno ZTNA, se reduce la exposición de la red a la infección o el acceso de dispositivos comprometidos.

En segundo lugar, los modelos ZTNA sólo hacen conexiones salientes. Esto ayuda a garantizar que las infraestructuras de red y aplicaciones sean invisibles para los usuarios no autorizados o no aprobados.

En tercer lugar, una vez que se autoriza a un usuario, el acceso a las aplicaciones se aprovisiona de manera individual; los usuarios solo pueden acceder a las aplicaciones a las que se les ha otorgado acceso explícitamente en lugar de disfrutar de un acceso completo a la red.

Por último, dado que ZTNA está definido por software, los gastos generales de administración de dispositivos y aplicaciones pueden reducirse sustancialmente.

Casos de uso de Zero Trust Network Access (ZTNA)

A continuación se presentan algunos casos de uso populares que ilustran el poder de los modelos de seguridad de ZTNA.

Reemplazo de VPN

Las VPN son lentas, relativamente inseguras y pueden ser difíciles de administrar. ZTNA se está convirtiendo rápidamente en el modelo de seguridad preferido que se plantea para reemplazar la VPN para el aprovisionamiento de acceso remoto a redes centrales.

Reducción de los riesgos de terceros y de proveedores

Los permisos de acceso y las transferencias de datos hacia o desde terceros o proveedores externos son una brecha de seguridad inherente para su infraestructura de TI. Con ZTNA, puede reducir estos riesgos al asegurar que los usuarios externos nunca obtengan acceso a una red segura a menos que estén autorizados y que, incluso con acceso, solo tengan acceso a aplicaciones o bases de datos específicas para las que tienen acceso aprobado.

Implementación del Acceso a la Red de Confianza Cero (ZTNA)

Puede implementar ZTNA en su organización de la siguiente manera:

• Mediante la integración del gateway, en la que cualquier tráfico que intente cruzar un límite de red será filtrado por su gateway.
• Mediante una WAN segura definida por software que puede optimizar y automatizar el acceso a la red mediante una pila de seguridad incorporada en cada dispositivo de red.
• A través de Secure Access Service Edge (SASE) que proporciona seguridad WAN definida por software a través de un dispositivo virtual en la nube.

ZTNA es reconocida como una mejor práctica de ciberseguridad. Lo mejor de ZTNA es que no requiere un rediseño significativo de su red existente para implementarla. Sin embargo, dado que cualquier esfuerzo de TI requiere la incorporación de personas y dispositivos y la redefinición de políticas y la garantía de la aceptación de las partes interesadas, los tomadores de decisiones deben considerar lo siguiente antes de asociarse con un proveedor de soluciones de ZTNA:

• ¿La solución le ayuda a proteger datos y aplicaciones con microperímetros?
• ¿Puede proteger los datos en tránsito?
• ¿Tiene segmentación de denegación predeterminada y diseño y pruebas de políticas granulares?
• ¿Se puede implementar independientemente de su infraestructura existente?
• ¿Proporciona alertas de infracción?
• ¿Qué tipo de disposiciones de seguridad de carga de trabajo están disponibles?
• ¿La solución proporciona segmentación basada en el usuario, control de acceso remoto y prevención de movimientos laterales?
• ¿Hay segmentación a nivel de dispositivo, detección de dispositivos desconocidos y cuarentena de dispositivos?
• ¿Existe contención predeterminada, incluso antes de que se identifiquen las amenazas?
• ¿Qué tipo de visibilidad tienen los usuarios y qué tipos de auditorías están disponibles?
• ¿Qué tipos de integraciones se incluyen? Considere lo siguiente:
• Orquestación con Chef, Marioneta o Ansible
• Orquestación de plataformas de contenedores con Red Hat OpenShift, Kubernetes o Docker
• Análisis de seguridad con Splunk e IBM QRadar
• Herramientas de administración de vulnerabilidades como Qualys, Tenable o Rapid7
• Herramientas de nube pública como AWS Cloud Formation, AWS GuardDuty y Azure
• ¿Qué tan rápido puedo segmentar mis entornos de red?
• ¿Cómo pueden aprovecharse mis inversiones existentes, como firewalls de host, switches y balanceadores de carga, para imponer la segmentación en sistemas heredados e híbridos?
• ¿Qué tipos de integraciones de API REST se soportan? Las herramientas importantes para verificar incluyen OneOps, Chef, Puppet, Jenkins, Docker y OpenStack Heat/Murano