Cada día cobra mayor relevancia la colaboración entre los niveles ejecutivos y técnicos, que deben asegurar la adopción del enfoque de seguridad más eficiente, desde su diseño hasta su aplicación. En este contexto, hoy vemos que se hace necesario reevaluar el enfoque de seguridad de redes tradicional por el de Zero Trust.
Enfoque de seguridad tradicional
El enfoque de seguridad de redes convencional suele establecer controles para defender a las organizaciones por medio de la designación de perímetros, para luego operar asumiendo que sus zonas internas son confiables. Habitualmente, los controles de verificación deberían ser realizados en zona interna solo si existiese una evidencia que lo sugiera. De acuerdo con este criterio, se observa la existencia de brechas en esta postura de seguridad.
1. La confianza en el factor humano, considerando que los usuarios actúan de manera responsable.
2. Asumir que la probabilidad de un ataque interno es baja, descuidando el monitoreo y protección de zonas de red internas.
Para ambos casos, la realidad establece que los usuarios pueden ser el factor clave en la explotación de brechas.
Según el reporte de investigación de Verizon en 2019 respecto de las brechas de datos, un 34% de estas involucra actores internos, y 80% de las brechas de datos actuales es generado por mal uso de credenciales y privilegios. En el caso de comprometer la red interna, el enfoque tradicional favorece el movimiento lateral y la extracción de cualquier dato que exista en un segmento de red, dado que el 56% de las brechas toma meses o años en ser descubierto.
Adicionalmente, hoy el enfoque tradicional se vuelve completamente obsoleto, debido a que los usuarios de las compañías requieren los accesos corporativos desde cualquier dispositivo para incrementar su agilidad. Asimismo, las aplicaciones están ubicadas en la nube, dejando de lado el concepto de perímetro, o ampliándolo hasta sus propias casas.
Zero Trust
Por su parte, Zero Trust es un enfoque de seguridad que propone reforzar el uso exclusivo de la red para el propósito definido por el cual se diseñó, considerando flujos y registros de su tráfico, datos, su locación y uso. Establece la premisa que no existen dispositivos, usuarios, trabajos o sistemas que deban determinar niveles de confianza por defecto, de forma independiente de la ubicación donde se encuentren operando, tanto desde el interior como desde fuera del perímetro.
Si bien reconoce la confianza como parte del factor humano, este concepto no es algo que se pueda extender de la misma forma a la tecnología. Antes de garantizar acceso a datos o a activos digitales, el tráfico por completo deberá ser verificado.
En este punto hay un cambio de paradigma, ya que, más allá que defender la “superficie de ataque”, en Zero Trust se establece la “superficie de protección”, la cual corresponde a los datos, activos, aplicaciones y servicios más críticos de las instituciones.
Este enfoque necesita una aceptación de riesgo ante la incertidumbre. Desde la perspectiva de riesgo, aceptamos que siempre habrá un nivel de riesgo y lo controlamos para llevarlo a un nivel aceptable. Sin embargo, bajo el enfoque Zero Trust, se acepta que toda defensa no es perfecta y se determina qué grado de certeza es requerido antes de permitir una acción, en otras palabras, cada acción se asigna a un nivel de confianza, así como cada acción se asigna a un nivel de riesgo.
Arriba se presenta una tabla comparativa que permite contrastar ambos enfoques.
Consideraciones para el despliegue
Hoy, cada desarrollador tecnológico propone un modelo Zero Trust adaptado a sus soluciones y la visión del enfoque puede variar dependiendo de las características de las que dispongan sus tecnologías. Hay casos donde se considera el uso exclusivo de las herramientas y otros bajo modelos integrados por diferentes tecnologías desarrolladas. Lo importante es saber que cada empresa dispone de una red única, debido a que su propósito, datos, comportamiento, usuarios y dispositivos la caracterizan de una forma, por lo que el diseño del enfoque de seguridad Zero Trust debe ser aplicado en base a esos factores y ser complementado por la tecnología, sin dejar de lado la consideración de los procesos y las personas.
De acuerdo con lo anterior, es relevante tener visibilidad y contexto del tráfico que pasa a través de los usuarios, dispositivos, aplicaciones y servicios.
Recomendaciones
• Identificar procesos de negocios, activos, flujos de datos, usuarios, datos, servicios y aplicaciones, y establecer los actores involucrados y los riesgos asociados. A partir de esto se deben determinar las políticas.
• Ganar visibilidad y contexto. El trá- fico necesita ser analizado en detalle, por tanto, se hacen necesarias tecnologías como las siguientes:
– Next Generation Firewalls, que permita actuar como control de borde en diferentes zonas de las organizaciones.
– Microsegmentación. La configuración de la microsegmentación posibilita que la comunicación sea específica entre equipos definidos, impidiendo que terceros no autorizados se comuniquen con los dispositivos. Habitualmente filtra tráfico por medio de interfaces, ya sea físicas, por medio de un agente, o en el caso de máquinas o redes virtuales. También se podría considerar el uso de VLANS y VRF siempre que puedan garantizar el propósito de microsegmentación.
– Considerar End-point Security.
• Tener la capacidad de monitorear y verificar el tráfico que cruza entre las diferentes zonas de redes. Se destacan tecnologías como correlacionadores de eventos (SIEM), o sistemas de respuesta automática (SOAR)
• Incorporar el segundo factor de autenticación (2FA) u otro método que permita la capacidad de identificar usuarios.
• Considerar la encriptación en sistemas y en tráficos.
