Describir el modelo de Confianza cero
Confianza cero es una estrategia de seguridad, no un solo producto o tecnología. Funciona en el principio de "no confíes en nadie, verifica todo." En lugar de asumir que todo dentro de una red corporativa es seguro y confiable, Confianza cero requiere que todas las solicitudes de acceso sean autenticadas y autorizadas, independientemente de dónde se origine la solicitud.
Los enfoques de seguridad tradicionales a menudo se basaban en un modelo de "castillo y foso": los controles perimetrales fuertes mantenían el tráfico no fiable fuera, y se asumía que todo dentro de la red era seguro. Este modelo funcionó razonablemente bien cuando los empleados trabajaban desde una oficina fija y los datos vivían completamente en el entorno local. Pero ese entorno ya no describe la mayoría de las organizaciones.
Hoy en día, el trabajo sucede desde cualquier lugar. Los empleados usan dispositivos personales y corporativos, se conectan desde redes domésticas y ubicaciones públicas y acceden a los datos en varios servicios en la nube. Los datos corporativos se mueven entre centros de datos locales, plataformas en la nube y aplicaciones de terceros. En este entorno, el perímetro de red solo no es un límite de seguridad confiable. Los atacantes omiten de forma rutinaria los controles perimetrales a través de vulnerabilidades de suplantación de identidad, robo de credenciales y aplicaciones, y una vez dentro, pueden moverse a través de la red si se supone que el interior es de confianza de forma predeterminada.
Confianza cero aborda esta realidad suponiendo que ninguna red, dispositivo, usuario o aplicación debe ser de confianza de forma predeterminada, incluso las que ya se han autenticado o están conectadas a una red de confianza.
Vea este vídeo para obtener información sobre Confianza cero.
principios rectores de Confianza cero
El modelo de Confianza cero se basa en tres principios rectores que dan forma a la forma en que se toman decisiones de seguridad en cada parte de una organización.
Comprobar explícitamente: autentíquese y autorice siempre en función de todas las señales disponibles, no solo un solo factor como una contraseña o una ubicación de red. Las señales incluyen la identidad del usuario, su ubicación de inicio de sesión, el dispositivo que usa y su estado de cumplimiento, el servicio o la aplicación a los que se accede, la clasificación de los datos implicados y cualquier anomalía, como tiempos de inicio de sesión inusuales o ubicaciones. Cuantos más señales pueda evaluar, más seguro podrá ser que la persona adecuada acceda al recurso adecuado.
Usar acceso con privilegios mínimos: conceda a los usuarios y sistemas solo el acceso mínimo que necesitan para realizar su trabajo, solo durante el tiempo que lo necesiten. Este principio se implementa a través del acceso justo a tiempo (JIT), concediendo acceso solo cuando es necesario y revocándolo después, y acceso suficientemente justo (JEA), concediendo solo los permisos específicos necesarios para una tarea, en lugar de permisos amplios por si acaso. Las políticas adaptativas basadas en riesgos pueden limitar automáticamente el acceso cuando se detecta actividad inusual o de riesgo.
Asumir brecha de seguridad: diseñe su estrategia de seguridad como si un atacante eventualmente superara sus defensas. Cuando asume una vulneración, segmenta el acceso para que una cuenta o dispositivo en peligro no pueda acceder libremente a todo lo demás. Los datos se cifran de un extremo a otro para que los datos interceptados no se puedan leer. Implemente la supervisión y el análisis para que, cuando se produzca una violación de la seguridad, se detecte rápidamente, comprenda qué ha sido accedido y pueda limitar los perjuicios.
Estos tres principios guían cómo se implementa cada aspecto de la seguridad: cómo se autentican los usuarios, cómo son de confianza los dispositivos, cómo se autorizan las aplicaciones y cómo se protegen los datos.
Siete pilares fundamentales
En el modelo de Confianza cero, la seguridad se implementa en siete pilares interconectados. Seis de estos pilares son fuentes de señal, un plano de control para la aplicación y recursos críticos que se van a defender. El séptimo pilar recopila señales de los seis y proporciona la visibilidad, automatización y orquestación necesarias para responder y mitigar las amenazas.
Las identidades pueden ser usuarios, servicios o dispositivos. Cuando una identidad intenta acceder a un recurso, debe comprobarse con autenticación segura antes de conceder acceso. Después de la autenticación, el acceso se rige por los principios de privilegios mínimos, concediéndole solo el acceso necesario para la tarea específica. La identidad es el plano de control principal para la seguridad moderna, ya que casi todos los ataques exitosos se basan en poner en peligro o abusar de una identidad.
Los dispositivos crean una superficie expuesta a ataques grande a medida que los datos fluyen desde dispositivos a cargas de trabajo locales y a la nube. Cada dispositivo que accede a los recursos representa un posible punto de entrada para los atacantes. Monitoreo de dispositivos para el estado de salud y el cumplimiento, y tomar decisiones de acceso basadas en dicho estado, es un aspecto importante de Confianza cero. Los dispositivos que no cumplen o muestran signos de peligro se pueden bloquear o conceder acceso restringido.
Las aplicaciones son la forma en que se consumen los datos. En una estrategia de Confianza cero, necesita visibilidad de todas las aplicaciones que se usan en su entorno, incluidas las aplicaciones no autorizadas, a veces llamadas shadow IT, que los empleados usan sin aprobación formal. Este pilar también incluye la administración de los permisos que las aplicaciones solicitan desde plataformas y los permisos que los usuarios conceden a las aplicaciones que acceden a sus datos.
Los datos deben clasificarse, etiquetarse y cifrarse en función de sus atributos y sensibilidad. Los esfuerzos de seguridad en todos los demás pilares sirven en última instancia para proteger los datos. Los datos deben llevar su propia protección, mediante la clasificación y el cifrado, por lo que permanece seguro incluso fuera de los entornos que controla la organización.
La infraestructura, ya sea local o basada en la nube, representa una superficie expuesta a ataques significativa. En Confianza cero, la infraestructura es evaluada continuamente en cuanto a la vigencia de la versión, la conformidad de configuración y el comportamiento inusual. El acceso Just-In-Time a las interfaces administrativas limita la ventana de exposición. La telemetría de la infraestructura permite a los equipos detectar ataques y anomalías y responder automáticamente.
Las redes deben segmentarse para que un riesgo en una parte de la red no proporcione acceso sin restricciones en otro lugar. Esto incluye una microsegmentación más profunda en la red que crea límites dentro de las zonas de red, no solo en el perímetro. La protección contra amenazas en tiempo real, el cifrado de un extremo a otro del tráfico de red, la supervisión continua y el análisis deben aplicarse en la capa de red.
Visibilidad, automatización y orquestación es el séptimo pilar y la capa de integración que vincula a todos los demás. Cada uno de los seis pilares genera sus propias señales y alertas. Sin una manera de agregar, correlacionar y actuar sobre esas señales de forma centralizada, los equipos de seguridad se enfrentan a un volumen abrumador de alertas independientes, un problema que conduce a amenazas perdidas y fatiga del analista. Este pilar proporciona una capacidad integrada para administrar esa entrada de datos, lo que proporciona a los equipos de seguridad una mejor información para tomar decisiones de confianza y habilitar las respuestas automatizadas a las amenazas detectadas. Las tecnologías de gestión de información y eventos de seguridad (SIEM) y orquestación de seguridad y respuesta automatizada (SOAR) son fundamentales para este pilar: un SIEM ingiere y correlaciona las señales en todos los pilares para detectar amenazas, mientras que un SOAR utiliza esas detecciones para activar manuales de respuesta automatizada.
Confianza cero en la práctica
Los siete pilares no funcionan de forma aislada. Considere un escenario real: un usuario inicia sesión desde una ubicación desconocida en un dispositivo personal no administrado e intenta acceder a una aplicación financiera confidencial.
En un entorno Confianza cero, las señales de varios pilares se evalúan simultáneamente. El pilar de identidad comprueba las credenciales del usuario y detecta la ubicación de inicio de sesión inusual como señal de riesgo. El pilar de dispositivos encuentra que el dispositivo no está inscrito ni compatible. El pilar de aplicaciones aplica una directiva que requiere acceso de dispositivo compatible para aplicaciones confidenciales. El pilar de red supervisa la conexión y registra el intento. El pilar de datos garantiza que los datos financieros se cifran y controlan el acceso en la capa de datos. El pilar de infraestructura registra el intento de acceso en la telemetría.
El pilar de visibilidad, automatización y orquestación integra todas estas señales. En lugar de cada pilar registrar de forma independiente un evento de baja gravedad, las señales combinadas se correlacionan con una detección de riesgo de alta confianza. Directivas automatizadas, guiadas por los principios de "asumir vulneración" y "comprobar explícitamente", acelerar los requisitos de autenticación, bloquear el acceso a la aplicación confidencial y alertar al equipo de seguridad, todo ello sin intervención manual.
Esto es cómo se ve Confianza cero en la práctica: verificación continua en todos los pilares, respuestas automatizadas que limitan los daños y visibilidad centralizada que proporciona a los equipos de seguridad una imagen completa de lo que sucedió y por qué.