Tres razones por las que adoptar un modelo de confianza cero mejora la protección contra bots y la seguridad web y de las API

Lori Mac VittieIngeniero distinguido y evangelista jefe | F5

Hoy en día, la confianza cero es la nueva tendencia de moda a la que todo el mundo quiere sumarse. Es una de las tres tendencias «más interesantes» identificadas en nuestro informe sobre el estado de la estrategia de aplicaciones de 2022 y, durante los últimos doce meses, ha mantenido sistemáticamente un alto nivel de interés según Google Trends.

El resultado es que la confianza cero es uno de los enfoques de seguridad de los que más se habla —y que peor se entienden— desde la aparición del concepto «shift left». Con demasiada frecuencia, la confianza cero se equipara con una tecnología específica, como el perímetro definido por software (SDP), o con un segmento de mercado, como la gestión de identidades y accesos (IDAM).

Esto no resulta realmente sorprendente. Cuando se introdujo la computación en la nube, vimos la misma tendencia apresurada a equiparar tecnologías o productos concretos con la «nueva tendencia de moda». El «cloud washing» era una práctica habitual y el término se utilizaba a menudo de forma despectiva para cuestionar hasta qué punto un nuevo producto era realmente «cloud».

Así pues, conviene empezar con una definición de la confianza cero. Para ello, citaré a mis compañeros Ken Arora y Mudit Tyagi, que ya publicaron una excelente guía sobre este tema:

«Creemos que la seguridad de confianza cero es, en esencia, una mentalidad —un sistema de creencias— de la que surgen técnicas y tácticas que aprovechan tecnologías específicas y que, posteriormente, pueden aplicarse para hacer frente a un amplio abanico de amenazas de seguridad».

Este es un punto importante, así que lo repetiré: la seguridad de confianza cero es, en esencia, una mentalidad.

Esa mentalidad engloba una serie de supuestos, y los usos de las tecnologías son consecuencia de dichos supuestos.

Eso significa que implementar una tecnología como SDP o la seguridad de las API no implica que se haya adoptado un modelo de confianza cero. No existe un único producto que, al implementarlo, haga que de repente se cumpla con el modelo de «confianza cero» y, por tanto, se sea inmune a ataques, brechas de seguridad o vulnerabilidades.

Lo cierto es que SDP y la seguridad de las API pueden ser, de hecho, una respuesta táctica adecuada a la adopción de un enfoque de confianza cero. Pero, para llegar a ese punto, hay que partir de una serie de premisas fundamentales y, a continuación, decidir cuáles son las mejores herramientas y tecnologías que se derivan lógicamente de ellas.

Para desarrollar esta idea, veamos algunos ejemplos que, como indica el título, nos llevan a concluir que la protección contra bots y la seguridad web y de las API forman parte del conjunto de herramientas de «confianza cero».

1. Un enfoque de confianza cero presupone que existe una vulneración. De hecho, los usuarios legítimos con acceso autorizado pueden haber sido vulnerados y, por tanto, constituir una amenaza involuntaria y muy costosa. Los atacantes saben que, por lo general, es más fácil entrar por las ventanas (los usuarios) que por la puerta principal (la red corporativa). Los usuarios están constantemente expuestos al riesgo de ser vulnerados, por lo que asumir que ya han sido vulnerados es la opción más segura. Las posibles acciones que pueden llevarse a cabo desde un portátil corporativo o un teléfono móvil vulnerados son numerosas e incluyen lanzar ataques contra sitios web y aplicaciones para intentar propagar software dañino (incluidos malware, ransomware y cualquier nueva amenaza que pueda surgir) o explotar vulnerabilidades para obtener acceso. Dado que las API son cada vez más «la vía» mediante la cual las aplicaciones móviles y web acceden a las aplicaciones y los sistemas corporativos, es importante inspeccionar el contenido procedente incluso de usuarios legítimos y autenticados para determinar si es malicioso. Por ello, la seguridad web y de las API es una opción lógica para protegerse frente a este riesgo.
   
   
2. Un enfoque de confianza cero presupone que las credenciales no son suficientes. Tanto si el usuario es una persona, una máquina o un programa, un enfoque de confianza cero presupone que, aunque se presenten credenciales legítimas, el usuario real podría no ser legítimo. Al fin y al cabo, el relleno de credenciales sigue siendo una amenaza que aprovecha credenciales legítimas, pero robadas. Es bien sabido que, de media, cada día se notifica la filtración o el robo de un millón de nombres de usuario y contraseñas. Un análisis de F5 concluye que entre el 0,5 % y el 2 % de las credenciales de cualquier lista procedente de una filtración serán válidas en el sitio web o la aplicación móvil objetivo. Por tanto, un enfoque de confianza cero debe adoptar medidas para verificar no solo las credenciales, sino también la propia identidad del usuario. Esto incluye detectar bots que se hacen pasar por usuarios legítimos. En la práctica, esto hace que la protección contra bots —también denominada detección de bots— desempeñe un papel importante en un enfoque de confianza cero.
   
   
3. Un enfoque de confianza cero presupone que el cambio es constante. La confianza cero rechaza la suposición de que, una vez verificado un usuario y autorizado el acceso a un recurso, ya no existe ningún riesgo. Cada transacción se considera arriesgada y se evalúa en función del contenido que transporta y del usuario que la envía. El secuestro de sesiones es un método de ataque real, al fin y al cabo. La vigilancia constante es (o debería ser) el lema de la confianza cero, lo que implica estar siempre alerta ante contenidos maliciosos. Esto convierte la seguridad web y de las API, junto con la detección de bots, en componentes esenciales de un enfoque de confianza cero.

Ahora bien, este enfoque también lleva a utilizar otras herramientas y tecnologías, como SDP y la gestión de identidades y accesos, los cortafuegos de red y CASB, además de muchas otras soluciones que mitigan riesgos conocidos derivados de forma natural de esos supuestos. Pero no basta con implementar solo una de ellas para dar por concluida una iniciativa de confianza cero. Sería como tomar un Tylenol para tratar una pierna rota en lugar de acudir al médico. Sí, alivia el dolor, pero no sirve para abordar realmente el resto del problema.

Adoptar la confianza cero como un cambio de mentalidad orientado a la mitigación no es perfecto —ningún método lo es—, pero le permitirá avanzar hacia una mayor capacidad de adaptación y hacer frente a ataques nuevos y emergentes con más rapidez y eficacia.

Mantente a salvo ahí fuera.

Puede obtener más información sobre cómo modernizar la seguridad con un enfoque de confianza cero en el capítulo 5 de nuestro libro, «Arquitectura empresarial para los negocios digitales».

Sobre el autor

Lori Mac VittieIngeniero distinguido y evangelista jefe | F5

Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.

Más artículos de Lori Mac Vittie