El qué: Zero Trust . Confianza cero
Hasta hace poco el perímetro formado por la red de nuestra empresa actuaba como la única línea de defensa ante los diversos ataques de virus, malware e intentos de suplantación de identidad. Era la muralla de Jericó que separaba lo bueno —la red y dispositivos propios de la compañía— de lo malo —los elementos externos—. El concepto de ciberseguridad se anclaba únicamente en este baluarte virtual que separaba a la compañía de los elementos perniciosos externos. Pero esto ya no vale. En un mundo hiperconectado donde el teletrabajo y los servicios en la nube son el pan de cada día no basta con controlar únicamente estos elementos externos.
Hoy día sabemos que los ataques pueden venir, y vendrán, desde lo más profundo de nuestro ecosistema corporativo. Un simple correo abierto desde un equipo con acceso a la red y que oculte un enlace o archivo dañinos puede instalar un ransomware que secuestre la información de toda la compañía en cuestión de minutos. De “la nube” también puede originarse el peligro, aunque en la mayor parte de los casos consideremos esta (servicios como Azure, redes WAN que interconectan diferentes sedes, etc.) como interna. Por muy protegidos que tengamos nuestros dispositivos corporativos vivimos en una sociedad donde consultar el correo de la empresa es una labor que podemos hacer desde nuestro móvil o equipo personal, a menudo sin ni siquiera tener que pasar por una VPN. Las políticas de BYOD (“Bring Your Own Device” o “traiga su propio dispositivo”) son cada vez más comunes, y de nada sirve fortalecer nuestra muralla con ladrillos hechos de antivirus, cortafuegos y honeypots si estamos dejando la puerta de entrada abierta.
Es por ello que el señor John Kindervag, desde su empresa Forrester, diseñó hace años las pautas y buenas prácticas de lo que hoy día se conoce como Zero Trust. La confianza cero, tanto en elementos externos como internos, digitales (programas, servicios) o analógicos (máquinas, dispositivos), humanos o mecánicos. Aunque también se la conoce a veces como “seguridad sin perímetro” eso no significa que nuestra muralla haya dejado de ser necesaria, ni mucho menos. Se refiere, más bien, al hecho de que el perímetro a establecer se ha disipado, puesto que ya no se hace distinción entre lo de dentro y lo de fuera: todo es susceptible de ser atacado, y en cada elemento particular hay que poner foco para evitar no ya que se produzca un ataque, sino que este se pueda eliminar antes de que afecte a elementos clave de nuestra estructura empresarial. En el mundo analógico es difícil vivir sin confiar en nadie ni nada. En el mundo digital se vuelve una necesidad si queremos que nuestra empresa tenga garantías de supervivencia.
Siguiendo el paradigma de la confianza cero, cualquier elemento de nuestra estructura (personal, equipos, programas, LAN…) o de fuera de ella (SaaS, nube, WAN, proveedores…) son potencialmente una amenaza, y como tal su identidad y confiabilidad han de ser verificados de manera continua mediante diversos test y herramientas. La accesibilidad a cualquier elemento —sobre todo los esenciales para la empresa, como servidores de producción, backups y herramientas de administración— debe sustentarse sobre un escrutinio de identidades impecable. No se puede corroborar que alguien es quién dice ser si no tenemos información sobre cada elemento de nuestra red, y este es uno de los pilares básicos del Zero Trust.
Para que un usuario pueda acceder a un recurso no solo tendrá que identificarse previamente de forma segura; es posible que además, dependiendo del análisis de riesgos que está evaluando dicho acceso en segundo plano, pueda necesitar controles adicionales o que simplemente se le deniegue el acceso a dicho recurso. Y en esta breve explicación hemos resumido tres de los puntales básicos que cimentan Zero Trust: nadie ni nada es confiable por defecto, el acceso se impone con privilegios mínimos y se implementa una monitorización continua e integral de la seguridad de estos accesos. No confíes en nada. Verifícalo todo. Y anticípate a los ataques para minimizar daños. Esto es confianza cero.
Además del control de accesos, una de las formas que tiene Zero Trust de reducir el posible daño ante un ataque es mediante la microsegmentación. Con el aumento de los ciberataques de ransomware esta medida se ha vuelto cada vez más crítica para asegurar la longevidad de nuestra compañía. Un único equipo infectado puede contagiar a su vez a infinidad de equipos de la red a la que está conectado, si no se implementan medidas que acoten su expansión. Los programas de ransomware explotan la hiperconectividad de nuestra red para acceder a los elementos realmente deseables: servidores, bases de datos de producción, información confidencial, cuentas…
Mediante la microsegmentación evitamos el movimiento lateral que pueda haber durante la expansión del contagio: puede que, debido a un error técnico o humano un elemento concreto del entramado empresarial pueda haberse visto comprometido, pero si limitamos la capacidad de acceder a otros elementos, con sus propios accesos y niveles de confianza separados, podemos acotar el problema a un único punto de fuga. Cualquier compañía pagaría millones por evitar ver hundido su negocio por culpa de un secuestro total de la información de la que dependen, pero ninguna empresa va a ver su futuro en entredicho porque secuestren la información del portátil de Antonio, de contabilidad. Y ese el el quid de la cuestión: en caso de una brecha de seguridad que únicamente el propio elemento comprometido sea el objeto del ataque, sin comprometer al resto de su red.
Y es en estas premisas tan, en principio, evidentes donde se manifiesta la genialidad del Zero Trust. Evidentes parecen, pero no comenzaron a ponerse en práctica hasta finales de la década de los dos mil, y desde entonces no han dejado de evolucionar en un conjunto de acciones y buenas prácticas enormemente sencillos en su concepto, pero tremendamente complejos en su construcción. Para llevar a buen término la consecución de los objetivos del Zero Trust se llevan a cabo toda una serie de acciones basadas en la más alta tecnología informática, desde elementos de inteligencia artificial a heurísticas de machine learning, pasando por elementos más convencionales de comunicación entre redes e incluso elementos físicos.
El cómo: Illumio o cómo aplicar las pautas de Zero Trust en una empresa
Y es precisamente por la gran complejidad que tiene la implantación de dichas políticas de manera óptima que existen las suites como Illumio, capaces de gestionar todo el mapa de elementos corporativos —internos y externos— segmentándolos de manera individual y logrando una compartición de la información transparente para los usuarios identificados y «legales», pero tremendamente complicada de traspasar para aquellos con intenciones menos benevolentes.
Mediante este «mapeo» de los elementos corporativos se consigue una visión total del alcance de nuestra empresa, siendo así capaces de identificar tanto los nodos principales de información —con las políticas de control de acceso más férreas posibles— como los elementos más vulnerables o peligrosos del entorno. De esta manera podemos parar accesos no autorizados antes de que se conviertan en algo serio, mientras el núcleo hardcore de nuestra empresa permanece aislado e inviolable.
Illumio se asienta además sobre la premisa de la mejora continua. A medida que se producen más ataques y su complejidad aumenta, también Illumio evoluciona para adaptarse a estos antes de que se produzcan. Esto, unido además a su sencillez de manejo —puede crear microsegmentaciones de seguridad en cuestión de minutos, funciona con cualquier tipo de nube y software as a service y simplifica la manera de monitorizar todos los elementos y accesos de nuestra infraestructura funcional— lo convierten en una de las mejores herramientas en la lucha contra los ataques e intentos de secuestro, protegiendo el núcleo vital de nuestra organización: su información.
Leer la primera parte: Zero Trust, el nuevo paradigma de la seguridad informática. Parte I
