Seguridad de confianza cero: una hoja de trucos


Cero confianza significa repensar la seguridad de cada parte de la tecnología en una red. Aprenda cinco pasos para construir un entorno de confianza cero.

<a href = "https://tr3.cbsistatic.com/hub/i/r/2020/05/25/777c86fa-638a-4726-a048-b6c1d95b2930/resize/770x/2429b6e1419aea0dd218065e4be75d6b/istock-465727631.jpg" target = "_ blank" data-component = "modalEnlargeImage" data-headline = "

"data-credit =" Imagen: milo827, Getty Images / iStockphoto "rel =" noopener noreferrer nofollow ">Shield Tech

Imagen: milo827, Getty Images / iStockphoto

Hay momentos en que la paranoia está justificada, y en ningún lugar es más así que con la ciberseguridad. Los dispositivos se ven comprometidos, las computadoras portátiles se infectan y los teléfonos inteligentes se piratean todo el tiempo: una computadora portátil de confianza podría abandonar una red comercial y regresar comprometida, sin que el usuario sea más sabio de que fueron la fuente de una violación de seguridad importante.

Las prácticas actuales de seguridad cibernética no están preparadas para enfrentar las complejidades de las redes modernas. Los servicios en la nube, los usuarios remotos, los dispositivos de propiedad personal, los activos de la compañía móvil y otras formas de tecnología se trasladan regularmente desde fuera de la red, y no se puede asumir que un dispositivo que alguna vez fue seguro nuevamente.

VER: Conciencia de seguridad y política de capacitación (TechRepublic Premium)

Es aquí donde surge un nuevo paradigma en el pensamiento de ciberseguridad: cero confianza. En esencia, un enfoque de seguridad de confianza cero supone que cada red se viola, se compromete cada máquina y cada usuario está (sin saberlo o no) en riesgo.

No se puede confiar en nadie y nada en una red de confianza cero hasta que demuestre que no es una amenaza encubierta para la seguridad de la organización.

Puede sonar paranoico, pero también podría ser el mejor plan para proteger las redes contra las amenazas en constante evolución que pueden atacar en cualquier momento.

¿Qué es la seguridad de confianza cero?

El Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST), en su borrador actual de estándares para arquitectura de confianza cero, define la confianza cero básicamente como "La confianza cero es un paradigma de ciberseguridad centrado en la protección de recursos y la premisa de que la confianza nunca se otorga implícitamente, sino que debe evaluarse continuamente".

Además, agrega NIST, hay que hacer una distinción entre la arquitectura de confianza cero y la confianza cero. "La confianza cero (ZT) proporciona una colección de conceptos e ideas diseñadas para reducir la incertidumbre en la aplicación de decisiones precisas de acceso por solicitud en los sistemas y servicios de información frente a una red vista como comprometida".

La arquitectura de confianza cero, por otro lado, "es un plan de ciberseguridad de una empresa que utiliza conceptos de confianza cero y abarca relaciones de componentes, planificación del flujo de trabajo y políticas de acceso".

VER: Todas las hojas de trucos de TechRepublic y las guías de personas inteligentes

El NIST define una visión holística de la seguridad de confianza cero como "la infraestructura de red (física y virtual) y las políticas operativas que existen para una empresa como producto de un plan de arquitectura de confianza cero".

Por lo tanto, la seguridad de confianza cero no es solo un producto o un enfoque, es una red de políticas, prácticas, software y hardware conectados que crean un ecosistema completo de confianza cero.

Al igual que otros tipos de transformación digital, la confianza cero no es una solución plug-and-play para las deficiencias de las prácticas actuales de ciberseguridad: es un compromiso total con un proceso que altera grandes extensiones de la estructura de una organización.

Recursos adicionales

¿Por qué está surgiendo la confianza cero como un nuevo paradigma de ciberseguridad?

Necesitamos ser honestos con nosotros mismos: la forma actual de pensar sobre la ciberseguridad no está funcionando. El gasto en ciberseguridad continúa aumentando, pero también lo hace la tasa de infracciones. Solo 2019 estuvo repleto de historias de incumplimiento de enero a diciembre que comprometieron la información personal de cientos de millones de personas.

Los riesgos elevados y la recuperación de las infracciones están afectando no solo la reputación de las organizaciones afectadas, sino también a las personas que trabajan allí. Casi una de cada tres infracciones provoca el despido de ejecutivos de la C-suite, y todo mientras se escuchan refranes comunes cuando se descubre el motivo de las infracciones: sus accidentes y empleados involuntarios que son reiteradamente cero para incidentes de ciberseguridad importantes.

El aumento de trabajadores remotos, oficinas satelitales, servicios en la nube y dispositivos móviles ha llevado a redes que son tan complejas que "han superado los métodos tradicionales de seguridad de red basados ​​en el perímetro ya que no hay un perímetro único y fácil de identificar para la empresa". ", Dijo NIST.

VER: Más de 250 consejos para teletrabajar y gestionar trabajadores remotos (TechRepublic Premium)

El surgimiento de la confianza cero como alternativa al tradicional "castillo y foso"la seguridad no significa que esas herramientas tradicionales desaparecerán, todo lo contrario, de hecho. El borrador del estándar de confianza cero del NIST argumenta que son las mismas herramientas que tenemos actualmente las que se convertirán en parte de la arquitectura de un buen plan de confianza cero".

"Cuando se equilibra con las políticas y orientación de seguridad cibernética existentes, la gestión de identidad y acceso, el monitoreo continuo y las mejores prácticas, una estrategia ZTA puede proteger contra amenazas comunes y mejorar la postura de seguridad de una organización mediante el uso de un enfoque de riesgo administrado".

Recursos adicionales

¿Cuáles son los elementos necesarios en la arquitectura de confianza cero?

La confianza cero comienza desde una posición obvia: se supone que todo el tráfico y los nodos de la red no son confiables hasta que se demuestre lo contrario, cada vez que acceden a una red. Dicho esto, se necesita mucho para construir una red de confianza cero que mantenga la seguridad sin sobrecargar a los usuarios.

El esquema de NIST de los componentes lógicos de una red de confianza cero (Figura A) muestra los conceptos básicos de lo que se requiere para construir una red de confianza cero (objetos dentro del círculo) y los tipos de datos que se introducen en un motor de políticas para hacer determinaciones sobre qué y quién es seguro para permitir el acceso (objetos fuera del círculo) .

Figura A

<a href = "https://tr2.cbsistatic.com/hub/i/r/2020/05/25/a51044d2-0349-4c96-bfdc-a3af42e13b9d/resize/770x/ce65d7d118b6376fe7c72a4f79148b1a/zero-trust.jpg" target = "_ blank" data-component = "modalEnlargeImage" data-headline = "

Un ejemplo de arquitectura de confianza cero

"data-credit =" Imagen: NIST "rel =" noopener noreferrer nofollow ">zero-trust.jpg "src =" https://tr2.cbsistatic.com/hub/i/r/2020/05/25/a51044d2-0349-4c96-bfdc-a3af42e13b9d/resize/770x/ce65d7d118b6376fe7c72a4f79148b1a/zero-trust .jpg

Un ejemplo de arquitectura de confianza cero

Imagen: NIST

NIST llama al modelo en la Figura A un ideal conceptual, pero vale la pena recordar que todos los elementos representados son necesarios para una buena red de confianza cero, y que todos ellos son herramientas o procedimientos que ya existen.

Para comprender mejor cómo funciona una red ideal de confianza cero, puede ayudar dividirla en algunos elementos diferentes, como se ilustra en la Figura A, comenzando con los componentes del punto de decisión de política (PDP).

El motor de políticas (PE) y el administrador de políticas (PA) deciden que una máquina o tráfico web es seguro y otorgan o revocan el acceso, respectivamente. Los dos trabajan en conjunto y pueden ser parte del mismo servicio de software.

El motor de políticas utiliza fuentes de datos externas (fuera del círculo más grande en la Figura A) y cualquier otro dato aplicable a las necesidades de una organización, para hacer determinaciones de seguridad basadas en políticas de seguridad. Los datos externos pueden incluir:

  • Los sistemas de diagnóstico y mitigación continuos (CDM), que recopilan información sobre el estado de seguridad actual de un activo, actualizan el sistema operativo y el software de seguridad del dispositivo según sea necesario, y comunican ese estado al PE;
  • Verificaciones de cumplimiento de la industria que garantizan que el tráfico y los activos se comporten dentro de las reglas de cumplimiento de la industria y la organización;
  • Fuentes de inteligencia de amenazas, como listas negras, definiciones de motores de malware, CVE entradas y otros recursos de seguridad actualizados;
  • Registros de actividad que pueden indicar actividad inusual de activos particulares, direcciones IP y otras fuentes;
  • Políticas de acceso a datos, que en un sistema de confianza cero se diseñarían estrictamente y se ajustarían dinámicamente para cada individuo y activo para eliminar las posibilidades de movimiento lateral para un intruso en la red;
  • Infraestructura de clave pública (PKI) que valida los certificados emitidos por una organización a sus activos y los valida contra una autoridad de certificación global; y
  • Sistemas de información de seguridad y gestión de eventos (SIEM) que recopilan datos relacionados con la seguridad y los utilizan para su posterior análisis para mejorar el resto del sistema de confianza cero.

Este complejo proceso ocurre constantemente detrás de escena; el usuario promedio experimentará algo bastante diferente, como se muestra en la parte inferior de la Figura A en la sección del diagrama denominada Plano de datos.

Desde la perspectiva del usuario, no ocurre nada obvio en un sistema de confianza cero que lo haga sentir diferente de la ciberseguridad existente. Los datos se obtienen de las diversas fuentes enumeradas anteriormente, el motor de políticas toma una decisión de seguridad y el administrador de políticas otorga acceso, lo bloquea o revoca el acceso si el dispositivo o su tráfico web parece atípico o sospechoso.

Este es solo uno de varios modelos que NIST proporciona como ejemplo de marco de confianza cero. Otros, también basados ​​en tecnologías existentes que pueden adaptarse fácilmente en un sistema de confianza cero, incluyen:

  • Usando microsegmentación para construir una red de confianza cero;
  • Usar perímetros definidos por software e infraestructura de red;
  • Un agente de dispositivo / modelo de puerta de enlace;
  • Despliegue basado en enclave;
  • Usar un portal de recursos para cada función comercial separada; y
  • Dispositivo de sandboxing.

Estas son solo algunas de las formas posibles de construir una red de confianza cero. Baste decir que hay formas increíblemente diversas de implementarlo. En lo más básico, los elementos esenciales para construir una red de confianza cero son:

  • Una amplia variedad de fuentes de datos para garantizar que su modelo de confianza cero cubra todas las bases de seguridad posibles
  • Una política sólida de confianza cero que hace posible los objetivos, el diseño y la aplicación de la confianza cero
  • Un sistema que puede hacer determinaciones sobre la confiabilidad de los activos e implementar esas determinaciones
  • Un punto (o puntos) de cumplimiento por el que cada activo debe pasar antes de que se otorgue cualquier acceso a un recurso empresarial

Se necesita mucho para construir una red de confianza cero, pero hacerlo no es insuperable. Al combinar las tecnologías correctas, la planificación y la capacitación de los empleados, cualquier organización preocupada por las capacidades de los productos modernos de ciberseguridad puede mejorar sus redes.

Recursos adicionales

¿Cómo pueden las empresas adaptar su postura de seguridad a una de confianza cero?

El marco NIST de confianza cero que es la base de gran parte de esta guía tiene algunos buenos consejos y estrategias para ayudar a las organizaciones interesadas en la seguridad de confianza cero a hacer la transición de sus redes, pero si está buscando un punto de partida puede ser un poco difícil para averiguar los conceptos básicos absolutos.

Para eso, el proveedor de servicios de TI CDW tiene una excelente lista de cinco pasos para construir un entorno de confianza cero eso puede aplicarse a cualquier organización.

Tenga en cuenta que habrá problemas cada vez mayores al implementar la confianza cero: es una revisión total de la seguridad cibernética que implicará mucho más pedir permiso de lo que muchos usuarios están acostumbrados. Sin embargo, una vez establecido, la confianza cero será tan simple de trabajar junto con los productos y políticas de seguridad actuales.

Paso 1: segmente la red

La ciberseguridad tradicional tiene un límite único de confianza: el límite de la red empresarial. Cero confianza es menos castillo, instalación gubernamental más segura: los usuarios tienen que solicitar constantemente acceso a las áreas que necesitan estar, y si no hay una necesidad absoluta de que estén allí, la seguridad los excluye.

La segmentación de la red se parece mucho a la instalación gubernamental: hay muchos límites de seguridad en una red segmentada, y solo las personas que necesitan acceso pueden obtenerlo. Esta es una parte fundamental de las redes de confianza cero, y elimina la posibilidad de que un atacante que obtenga acceso a un área segura pueda acceder automáticamente a otras.

Paso 2: Implemente la gestión de acceso y la verificación de identidad

La autenticación multifactor (MFA) es una parte fundamental de una buena seguridad, ya sea cero confianza o no. Bajo un sistema de confianza cero, los usuarios deberían estar obligados a utilizar al menos un método de autenticación de dos factores, y posiblemente diferentes métodos para diferentes tipos de acceso.

Junto con MFA, los roles de los empleados deben controlarse estrictamente, y los diferentes roles deben tener responsabilidades claramente definidas que los mantengan restringidos a ciertos segmentos de una red. CDW recomienda usar el principio del menor privilegio (POLP) al determinar quién necesita acceder a qué.

Paso 3: amplíe el principio de menor privilegio al firewall

La confianza cero no se refiere solo a los usuarios y los activos que usan para conectarse a una red: también se preocupa por el tráfico de red que generan. Asimismo, POLP debe aplicarse al tráfico de red tanto desde fuera como dentro de una red.

Establezca reglas de firewall que restrinjan el tráfico de red entre segmentos solo a aquellos absolutamente necesarios para realizar tareas. Es mejor tener que desbloquear un puerto más adelante que dejarlo abierto desde el principio y dejar un camino abierto para un atacante.

Paso 4: los cortafuegos deben ser contextualmente conscientes del tráfico

Las configuraciones de firewall basadas en reglas no son suficientes: ¿qué sucede si una aplicación legítima es secuestrada con fines nefastos, o una falsificación de DNS envía a un usuario a una página web maliciosa?

Para evitar problemas como esos, es esencial asegurarse de que su firewall esté mirando todo el tráfico entrante y saliente para asegurarse de que se vea legítimo para el propósito de una aplicación, así como verificarlo con listas negras, reglas DNS y otros datos descritos en la Figura A anterior.

Paso 5: Reúna y analice realmente los eventos de registro de seguridad

La confianza cero, como cualquier otro marco de ciberseguridad, requiere un análisis constante para encontrar sus puntos débiles y determinar dónde reforzar sus capacidades.

Los sistemas de ciberseguridad generan muchos datos, y analizarlos para obtener información valiosa puede ser difícil. CDW recomienda utilizar el software SEIM para realizar una gran parte del trabajo de análisis, ahorrando tiempo en las partes tediosas para que los líderes de TI puedan planificar más los ataques futuros.

Estos cinco pasos son los fundamentos de la implementación de la confianza cero, y no tocan los elementos más detallados del modelo de NIST u otros tipos de arquitecturas de confianza cero completamente concebidas. Sin embargo, es un lugar para comenzar y puede ayudar a las organizaciones a sentar las bases y ver cuán lejos será su viaje de confianza cero.

Recursos adicionales



Enlace a la noticia original