Si es un profesional de la ciberseguridad, es muy probable que haya escuchado el término «confianza cero» en los últimos meses. Si asiste a ferias comerciales, se mantiene al día con los titulares de los medios comerciales o se relaciona con sus colegas y otros expertos en seguridad, probablemente al menos haya escuchado el término.
Contrariamente a la intuición, este enfoque masivo de toda la industria puede hacer que comprender este concepto, y posiblemente usarlo en su programa de seguridad, sea más difícil de lo que sería de otra manera.
¿Por qué? Porque dependiendo de con quién hable, obtendrá diferentes respuestas sobre qué es, cómo usarlo y por qué es una forma útil de pensar sobre la postura de seguridad de su organización. Por ejemplo, hablar con un proveedor de infraestructura de red puede generar una respuesta, mientras que hablar con un proveedor de servicios de seguridad administrados (MSSP) puede generar otra.
Eso es desafortunado, porque la «confianza cero» en sí misma es una forma efectiva de reinventar los enfoques de seguridad. Puede ser una herramienta poderosa para ayudarlo a elegir mejores herramientas, fortalecer mejor los recursos internos contra las amenazas y definir mejor su entorno de control. Con eso en mente, aquí hay un desglose de lo que es «confianza cero», por qué es tan poderoso y cómo puede aplicar estos principios en la práctica a sus esfuerzos de seguridad.
¿Qué es Confianza Cero?
El «Modelo de confianza cero», desarrollado originalmente por John Kindervag de Forrester, no es difícil de entender en su esencia. Se refiere al nivel de confianza (es decir, cero) que tiene una organización en los fundamentos técnicos bajo los cuales los usuarios interactúan con los servicios, el tráfico y el negocio.
En otras palabras, todo lo que hay en la web (ya sea dentro o fuera del «perímetro») es explícitamente no confiable, potencialmente hostil y debe ser investigado antes de confiar en él.
Una forma conveniente de entender esto es contrastarlo con el modelo basado en límites de larga data que lo precede y que las organizaciones han adoptado durante décadas. Por ejemplo, considere una organización que emplea la segmentación de red para separar el tráfico de red interno «bueno» del tráfico de Internet «malo». Bajo este modelo, cualquier cosa dentro del firewall (usuarios, aplicaciones y hosts) se considera confiable, mientras que cualquier cosa del otro lado puede ser hostil.
El problema con este enfoque es que no tiene en cuenta el hecho de que los adversarios a veces traspasan los límites, o que los nodos internos (o usuarios) a veces son menos confiables de lo esperado.
Con «confianza cero», no hay «perímetro», al menos no en la forma en que lo concebimos hoy. Esto se debe a que la suposición central es que todo es hostil, puede haber sido comprometido o es falso. Si bien este es un concepto sencillo, las implicaciones resultantes son sorprendentes y complejas.
Dado que no puede confiar en ningún subconjunto dado de tráfico (por ejemplo, el tráfico entre dos direcciones «internas»), debe proteger todo el tráfico: la confidencialidad debe protegerse de los dispositivos que se encuentran junto a ella, se debe acceder a los recursos para evitar usuarios potencialmente hostiles, y cada conexión (sin importar el origen) necesita ser monitoreada e inspeccionada.
De hecho, restringir esta práctica a cualquier capa de la pila de redes socavaría la premisa central. Dado que se supone que los usuarios tienen problemas, al igual que los hosts, es necesario implementar controles conscientes de la aplicación y de la red, y deben trabajar juntos.
En resumen, protege los servicios internos de la misma manera que protege los servicios en la nube, los puntos de entrada de los socios comerciales o cualquier otro punto de interfaz que no sea de confianza.
aplicación práctica
¿Cómo se puede lograr esto desde un punto de vista práctico? Aquí es donde las cosas se ponen complicadas. En primer lugar, no puede implementar ninguna tecnología única y «activar» Zero Trust. Más bien, dado que es una filosofía o mentalidad que define todo su enfoque, la implementación requiere que varias tecnologías trabajen juntas. Esto puede incluir sistemas de administración de acceso e identidad (IAM), equipos y tecnologías de redes, tecnologías de autenticación, servicios de sistemas operativos y muchas otras tecnologías de la pila.
En el lado positivo, adoptar una mentalidad de confianza cero puede no requerir que compre nada nuevo, solo reconsidere cómo usa lo que ya tiene.
El desafío es que la mayoría de las redes, aplicaciones y otros servicios existentes no se diseñaron con esta mentalidad. Dado que los deseos no se hacen realidad, significa que todo lo que tiene ahora (con la posible excepción de un entorno de nube pública) probablemente sea un problema si desea adoptar esta mentalidad.
Por ejemplo, un centro de datos puede estar completamente desorganizado desde una perspectiva centrada en el perímetro, pero si comienza a asumir que no puede confiar en ningún dispositivo o usuario dentro de su alcance, las cosas pueden volverse muy aterradoras muy rápidamente.
En última instancia, hay dos formas de implementar la confianza cero. El primero es aplicarlo completamente a un nuevo entorno. Por ejemplo, si está migrando su centro de datos a la nube, implementando un enfoque en contenedores para la implementación de aplicaciones o migrando su entorno existente, aplicar una mentalidad de confianza cero solo a esas operaciones podría ser un buen lugar para comenzar.
Así como evaluaría y seleccionaría controles en función de las suposiciones definidas por su perímetro en el pasado, también seleccionará la combinación de controles que hará cumplir sus objetivos de seguridad desde una perspectiva de confianza cero. El proceso es exactamente el mismo: solo está utilizando un conjunto de suposiciones ligeramente diferente.
Es beneficioso comenzar con un subconjunto tan definido, ya que lo ayuda a familiarizarse con la visualización de las implementaciones de tecnología de esta manera. Del mismo modo, puede ayudarlo a perfeccionar la combinación de tecnologías que utilizará para volver a trabajar en otros entornos heredados en el futuro.
En el futuro, querrá comenzar a incorporar el mismo enfoque en implementaciones heredadas que pueda tener, como centros de datos, redes, aplicaciones, etc. Apoye una mentalidad de confianza cero a medida que implementa nuevos sistemas, diseña nuevas aplicaciones y realiza cambios en su entorno. Tu progreso será lento, pero con el tiempo te acercarás a donde finalmente quieres estar.
Las opiniones expresadas en este artículo pertenecen al autor y no reflejan necesariamente las de ECT News Network.
