Autor: Arnaldo Guzman, Presale Engineer de NeoSecure en Peru
La Arquitectura Zero Trust es un modelo de seguridad fundamentado en el principio de menor privilegio. Esto implica otorgar únicamente los permisos necesarios a usuarios o entidades y dispositivos finales para realizar ciertas tareas. Este enfoque permite reducir la superficie de ataque y así dificultar que los atacantes obtengan acceso a información confidencial.
Contrariamente a los modelos de seguridad tradicionales, que confiaban en usuarios y dispositivos dentro del perímetro de red, Zero Trust opera bajo la premisa de desconfiar por defecto de cualquier usuario, entidad o dispositivo, incluso si se encuentra dentro de la red o perímetro corporativo.
Principios básicos de la seguridad Zero Trust
Hay cinco pilares o principios básicos de seguridad Zero Trust, que, al implementarlos, las organizaciones pueden ayudar a reducir el riesgo de verse comprometidas y proteger sus datos confidenciales.
Identidad: Con el fin de asegurar un acceso adecuadamente controlado a datos privilegiados, las organizaciones deben implementar un enfoque de acceso basado en riesgos, adoptando una perspectiva integral de los usuarios y obteniendo una comprensión detallada de sus responsabilidades y potestades. Asimismo, es esencial contar con la capacidad de verificar las identidades de los usuarios al intentar acceder a los datos. Además, se recomienda implementar sólidas prácticas de autenticación y consolidar los métodos de autenticación en la menor cantidad posible de sistemas de identificación.
Dispositivos: En el marco de una estrategia de seguridad Zero Trust, se considera esencial considerar todos los dispositivos conectados a la red con un enfoque de desconfianza, tratándolos como potenciales amenazas. La aplicación de la seguridad Zero Trust implica la habilidad de evaluar si un dispositivo representa una amenaza y, en caso afirmativo, aislar aquellos que puedan estar comprometidos.
Redes: En un enfoque Zero Trust, la red se caracteriza por su segmentación, lo que implica la definición de límites alrededor de cada activo de la organización. Dentro de estos límites, es factible llevar a cabo inspecciones de seguridad y aplicar controles de acceso, simplificando así la tarea de bloquear la propagación de amenazas a lo largo de la red y de contener y aislar cualquier posible violación de seguridad.
Aplicaciones y Cargas de trabajo: Es esencial que las organizaciones consideren cada aplicación como si estuviera conectada a Internet. De manera regular, se deben realizar pruebas exhaustivas a estas aplicaciones y aceptar informes de vulnerabilidad provenientes de fuentes externas.
Datos: La implementación de Zero Trust implica la identificación de banco de datos confidenciales o valiosos, la cartografía de posibles vulnerabilidades en los datos y el establecimiento de requisitos de acceso en función de las exigencias comerciales. Estas directrices deben ser formuladas y aplicadas de manera uniforme en todo el entorno de tecnología de la información de una organización, abarcando estaciones de trabajo, dispositivos móviles, servidores de aplicaciones, bases de datos o incluso despliegues en la nube.
Cómo funciona Zero Trust
Zero Trust opera implementando una serie de medidas de seguridad diseñadas para verificar la identidad de usuarios y dispositivos antes de permitirles el acceso a recursos, incluyendo:
- Autenticación: Este proceso se lleva a cabo cada vez que un usuario o dispositivo intenta acceder a un recurso, asegurando que solo aquellos autorizados tengan acceso a los recursos necesarios.
- Autorización: Una vez que un usuario o dispositivo ha sido autenticado, se le asignan únicamente los permisos necesarios para llevar a cabo sus funciones. Esto contribuye a reducir la superficie de ataque y complica el acceso de posibles atacantes a información confidencial.
- Monitoreo continuo: Se realiza un monitoreo constante del tráfico y actividad en la red para identificar cualquier comportamiento sospechoso. Esta práctica facilita la detección y respuesta rápida ante posibles ataques.
- Microsegmentación: Esta técnica implica la división de la red en segmentos más pequeños, cada uno con sus propias políticas de seguridad. Esto dificulta el movimiento lateral de los atacantes dentro de la red en caso de que logren vulnerar un segmento.
- Gestión de acceso a identidades (IAM): La aplicación de controles robustos de IAM asegura que únicamente los usuarios autorizados tengan acceso a los recursos que necesitan, fortaleciendo así la seguridad de todo el sistema.
Un enfoque integral de Zero Trust implica considerar a usuarios, aplicaciones e infraestructura. Este enfoque requiere una autenticación fuerte de la identidad del usuario, la aplicación de políticas que sigan el principio de «privilegios mínimos» y la verificación continua de la integridad del usuario. Implementar Zero Trust en las aplicaciones implica eliminar la confianza implícita entre distintos componentes de las aplicaciones durante sus interacciones. Un principio clave de esta arquitectura es la desconfianza inherente hacia cualquier usuario, dispositivo, flujo de red o aplicación, lo que hace esencial un monitoreo continuo en tiempo real para validar cualquier comportamiento. Cualquier aspecto relacionado con la infraestructura, como routers, switches, entornos en nube y dispositivos de Internet de las cosas (IoT), debe ser abordado con un enfoque de Confianza Cero.
La implementación de estos controles de seguridad por medio de la Arquitectura Zero Trust puede prevenir el acceso no autorizado a datos confidenciales incluso si se logra superar el perímetro de la red.
Casos de uso de confianza cero
Zero Trust es un modelo de seguridad versátil que se puede utilizar para proteger una variedad de activos y recursos, que incluyen:
- Datos: Protección de datos confidenciales, como información financiera, datos de clientes y propiedad intelectual.
- Aplicaciones: Protección de aplicaciones, como aplicaciones web, bases de datos y aplicaciones nativas de nube.
- Redes: Protección de redes, como la red corporativa, la red en la nube y la red de Internet de las cosas (IoT).
- Acceso remoto: Protección del acceso remoto a aplicaciones y recursos. Esto se logra implementando controles de autenticación y autorización, y monitoreando comportamientos sospechosos.
- Amenazas internas maliciosas: Protección contra amenazas internas maliciosas. Esto se hace implementando privilegios mínimos y monitoreo continuo para garantizar que los usuarios solo tengan acceso a los recursos que necesitan y detectando a través del monitoreo comportamientos sospechosos.
- Acceso seguro a la nube: Protección del acceso a aplicaciones y recursos basados en la nube. Esto se hace implementando controles de IAM para garantizar que solo los usuarios autorizados tengan acceso a esos recursos y monitoreando también por comportamientos sospechosos.
- Proteger entornos híbridos y multinube: Protección de entornos híbridos y multi nube. Esto se hace implementando también controles de IAM para garantizar que solo los usuarios autorizados tengan acceso a los recursos monitoreando cualquier comportamientos para determinar si es sospechoso o no.
Etapas de la implementación del modelo de madurez Zero Trust
Implementar Zero Trust puede ser un proceso complejo, desafiante y de largo aliento, pero es un paso importante para proteger a la organización de cualquier ciberataque. Las etapas pueden variar según las necesidades y requisitos específicos de cada organización, pero estos son algunos pasos generales que la mayoría de las organizaciones deben seguir:
Etapa 1: Evaluar la postura de seguridad actual
La etapa 1, implica identificar los activos de la organización, comprender los controles de seguridad actuales y evaluar el riesgo de ataques cibernéticos. La evaluación también debe identificar los objetivos de la organización para poder implementar Zero Trust.
Etapa 2: Desarrollar una estrategia de madurez Zero Trust
La etapa 2, implica definir los objetivos de seguridad de la organización, identificar los controles de seguridad necesarios para lograr esos objetivos y desarrollar un plan para implementar estos controles. La estrategia debe incluir un cronograma para implementar Zero Trust y un plan para monitorear y mantener este entorno.
Etapa 3: Implementar controles Zero Trust
La etapa 3 implica implementar la tecnología necesaria, configurar los controles de seguridad y capacitar a los usuarios sobre estas nuevas políticas. El proceso de implementación debe realizarse gradualmente para que la organización pueda probar y validar todos los controles antes de implementarlos para todos los usuarios.
Etapa 4: Monitorear y mantener el entorno Zero Trust
La etapa 4 implica monitorear continuamente el entorno de seguridad en busca de amenazas, responder a incidentes y realizar cambios en los controles de seguridad según sea necesario. El proceso de monitoreo debe incluir monitoreo tanto automático como manual para que la organización pueda detectar y responder a las amenazas rápidamente.
Etapa 5: Mejora Continua
La etapa 5 implica revisar periódicamente la postura de seguridad, identificar nuevas amenazas y realizar cambios en los controles según sea necesario. El proceso de mejora debe ser un proceso continuo para que la organización pueda mantenerse a la vanguardia del panorama de amenazas en evolución.
El modelo de madurez Zero Trust está diseñado para proteger a las organizaciones de los ciberataques, pero este camino es largo y rara vez está alineado con las estrategias tradicionales de ciberseguridad a las que estamos acostumbrados. Es importante recordar que Zero Trust es un viaje, no un destino. Es un proceso continuo de mejora y adaptación. Las soluciones de seguridad Zero Trust no son una solución milagrosa. Es una parte de una estrategia de seguridad integral. Por último, Zero Trust no es fácil. Requiere una inversión sustancial de tiempo, dinero y recursos. Sin embargo, los beneficios de la madurez Zero Trust en la organización son significativos. Al implementarla, las organizaciones pueden protegerse de una amplia gama de ciberataques, incluidos aquellos que explotan los perímetros de seguridad tradicionales.
