En las agencias federales de EE. UU., ha llegado el momento de adoptar la confianza cero

Bill ChurchCTO de campo – Administración federal

El reto cada vez mayor de proteger los datos críticos, especialmente en una era de entornos de trabajo móviles y basados en la nube, ha llevado a un número creciente de organismos federales a adoptar un modelo de seguridad de confianza cero que responde mejor a sus necesidades en este mundo digitalmente avanzado.

Según una encuesta reciente, casi la mitad de los responsables de TI del Gobierno federal afirmaron que sus organismos están adoptando estrategias de seguridad centradas en la identidad, o de confianza cero, para proteger sus recursos digitales. El estudio, elaborado por FedScoop y patrocinado por Duo Security, reveló que los organismos federales están abandonando las tácticas tradicionales de defensa del perímetro de red y se muestran más abiertos a un entorno de datos sin perímetro que utiliza herramientas de identidad y autenticación como principal medio de acceso.

Nada refleja mejor el impulso acelerado de la confianza cero y su posterior adopción que la reciente Orden Ejecutiva sobre Ciberseguridad, que pone de relieve su importancia crítica, especialmente después de que la Casa Blanca haya publicado una versión definitiva de su estrategia de arquitectura de confianza cero, con la intención de mejorar considerablemente la ciberseguridad de los sistemas de las agencias gubernamentales durante los próximos dos años. Este cambio ha coincidido con un aumento drástico de los entornos multinube y del trabajo remoto, dos componentes de un entorno laboral moderno que el modelo de confianza cero aborda muy bien.

El uso cada vez más extendido del modelo de confianza cero, tanto en los organismos federales como en el mundo empresarial en general, coincide con la creciente constatación de que los métodos tradicionales para proteger el perímetro de una red ya no son suficientes. Dado que ya no existe una red de confianza dentro de un perímetro definido, el enfoque «Confiar, pero verificar» ha quedado obsoleto. En su lugar, los equipos federales de seguridad deberán atenerse a tres principios más eficaces:

• No confíe nunca, salvo cuando los usuarios y los endpoints se hayan ganado realmente esa confianza.
  
  
• Verificar siempre: una directriz que se aplica al análisis del contexto, la aplicación, la ubicación y el comportamiento, así como a otros componentes necesarios para adoptar un enfoque basado en el riesgo y adecuado a la actividad del endpoint.
  
  
• Supervise de forma continua, teniendo en cuenta que no basta con autenticarse una sola vez y dar por hecho que, a partir de ese momento, el riesgo será bajo. Solo la autenticación continua garantizará una seguridad permanente.

Recientemente, F5 ha sido seleccionada como uno de los 18 proveedores que colaborarán con el NCCoE del NIST en el Proyecto de implementación de una arquitectura de confianza cero para desarrollar enfoques prácticos e interoperables destinados al diseño y la creación de arquitecturas de confianza cero. Nuestra amplia experiencia de trabajo con las principales organizaciones federales que lideran la adopción de la confianza cero ayuda a abordar estas importantes cuestiones. La extensa cartera de seguridad de aplicaciones de F5 abarca cuatro puntos de control clave dentro de una arquitectura de confianza cero, como se describe a continuación:

Endpoints: acceso de confianza a las aplicaciones

F5 Labs informó de que las brechas relacionadas con el acceso representaron en 2020 la mayor proporción de las causas conocidas de brechas, con un 34 %. Una solución de acceso seguro a las aplicaciones es fundamental en una época en la que este tipo de brechas va en aumento.

F5 BIG-IP Access Policy Manager (APM) proporciona autenticación moderna para todas las aplicaciones, lo que simplifica y centraliza el acceso a aplicaciones, API y datos, independientemente de dónde se encuentren los usuarios y sus aplicaciones. Tanto si la aplicación se encuentra en las instalaciones como en la nube, el resultado es una mejor experiencia de usuario con SSO y una experiencia de usuario uniforme en un entorno más seguro mediante una arquitectura de confianza cero.

Con Identity Aware Proxy (IAP), APM implementa una validación basada en el modelo de confianza cero que protege cada solicitud de acceso a las aplicaciones. En las agencias federales, el proceso de autenticación de usuarios con privilegios comienza cuando APM muestra al usuario un aviso de advertencia del Gobierno de EE. UU., que debe aceptar antes de continuar con la autenticación. APM también solicita al usuario credenciales seguras mediante distintas opciones, como cotejarlas con una lista de revocación de certificados o con un servidor del protocolo de estado de certificados en línea para garantizar que no hayan sido revocadas.

Una vez que se permite al usuario con privilegios acceder al sistema, APM consulta atributos adicionales para determinar a qué recursos puede acceder. También hay varias funciones avanzadas para garantizar la integridad del cliente, como comprobar que utiliza equipos proporcionados por el Gobierno (GFE), que cumple con el sistema de seguridad basado en host (HBSS) y/o que ejecuta un sistema operativo compatible.

Infraestructura de red: seguridad de las aplicaciones

La infraestructura de red es necesaria para garantizar que las aplicaciones sean seguras y estén disponibles a fin de lograr un modelo de confianza cero. F5 Labs investigación revela que casi el 90 % de las cargas de páginas están cifradas mediante SSL/TLS, lo que significa que el cifrado se ha convertido en la norma hoy en día. No obstante, las amenazas cifradas persisten. De hecho, es habitual que los atacantes utilicen el cifrado para ocultar cargas maliciosas y eludir los controles de seguridad.

Considere una solución de visibilidad SSL para eliminar las amenazas mediante un sólido descifrado y cifrado del tráfico SSL/TLS entrante y saliente, con un control centralizado del cifrado. Esta solución debe ofrecer una orquestación basada en políticas para eliminar los puntos ciegos y permitir una visibilidad rentable en toda la cadena de seguridad, independientemente de la topología de red, el dispositivo o la aplicación.

Aplicaciones: seguridad de la capa de aplicación para la protección de la agencia

Nuestra investigación de F5 Labs investigación revela que las organizaciones implementan, de media, 765 aplicaciones. Dado que los ciberatacantes disponen de tantos objetivos potenciales, las agencias deberán mantenerse alerta para proteger estas aplicaciones como parte de su estrategia de confianza cero.

Sus soluciones de seguridad de la capa de aplicación, tanto si las aplicaciones están en la nube como en las instalaciones, se basan en SaaS o están totalmente gestionadas, deben proporcionar seguridad en la propia aplicación o cerca de ella y proteger la pila de aplicaciones en una arquitectura de confianza cero.

Sus soluciones WAF para organismos federales también deben proteger frente a ataques DoS de capa 7 mediante análisis de comportamiento que supervisen continuamente el estado de las aplicaciones. Otras funcionalidades deben incluir la protección de credenciales para impedir el acceso no autorizado a las cuentas de usuario y proteger las aplicaciones frente a ataques a las API.

Servicio de identidad: Colaboraciones

Considere la posibilidad de implementar una solución de un proveedor que mantenga alianzas sólidas y consolidadas con organizaciones como Microsoft, Okta y Ping. Al integrar soluciones de acceso seguro a aplicaciones con estos proveedores de identidad como servicio (IDaaS), se elimina la brecha de identidad entre las aplicaciones en la nube, SaaS, críticas para el negocio y personalizadas, lo que permite ofrecer a los usuarios una experiencia de acceso unificada y segura.

Del mismo modo, las agencias federales deben establecer alianzas sólidas para garantizar una implementación satisfactoria de la confianza cero. Le invitamos a ponerse en contacto con nosotros para obtener la experiencia y las soluciones que necesita. Nuestro objetivo es ayudarle a adoptar la confianza cero de la forma más fluida posible para que pueda empezar a aprovechar sus ventajas en beneficio de su agencia.

Bill Church
Director de Tecnología – F5 US Federal Solutions

(Una versión anterior de este contenido se publicó a finales de 2020. Actualizado a principios de 2022.)

Sobre el autor

Bill ChurchCTO de campo – Administración federal

Más artículos de Bill Church