Estado de la entrega de aplicação 2016: El auge de la identidad y el acceso a las aplicação

En el pasado, existía una relación cercana a 1:1 entre los puertos de red y las aplicações. ¿Puerto 53? Eso es DNS. ¿Puerto 22? SSH. ¿Puerto 23? Telnet. ¿Puerto 80? Ese es el sitio web.

Nótese el singular, allí. “El” sitio web. No es “una de las aproximadamente doscientas aplicações web distribuidas vía HTTP”.

Esa es una distinción importante, ya que ayuda a entender el desplazamiento del perímetro de la aplicación desde el borde (el firewall de la red) a un lugar más cercano a la aplicación, en el interior del centro de datos (ese es el pabellón interno para aquellos de ustedes que todavía trabajan en la analogía del "castillo" para la seguridad).

Nuestros últimos datos muestran que el 65% de las aplicações entregadas se basan en HTTP. El resto incluye a los sospechosos típicos: SSH, FTP, SMTP y DNS, entre otros protocolos quizás menos conocidos. ¿Y cuántas aplicações hay en una empresa típica? Nuestro Informe sobre el estado de la entrega de aplicação de 2016 dice mucho. Casi la mitad tiene entre 1 y 200 aplicaciones implementadas. ¿La otra mitad? Bueno, más de 200. Un sorprendente 10% tiene más de 3000 aplicações ejecutándose actualmente.

Más de la mitad de esas aplicações son HTTP. Todos ellos atravesando el mismo puerto en el fiel defensor del centro de datos: el firewall de la red. Un firewall de red que, muy probablemente, no puede diferenciar entre esas aplicações. A esto no le importa en lo más mínimo si se trata de JSON o HTML, si está orientado a la empresa o al consumidor, si se debe acceder a él desde un dispositivo móvil mientras estás en casa o no.

Estos son cada vez más importantes para proteger las aplicaciones. Ya sea que se trate de comprender cómo determinar si la carga útil de una aplicación está comprometida o no (JSON no es HTML ni XML) y si se debe permitir o no el acceso desde una ubicación o dispositivo determinados.

Éste es el tipo de preguntas que preocupan (mucho más que un ápice) a los servicios de control de acceso de aplicação . Al igual que otros servicios afines a las aplicaciones , los servicios de control de acceso a aplicação son cada vez más importantes en la estrategia de seguridad general precisamente porque pueden diferenciar entre aplicações y aplicar las políticas adecuadas. No solo están mirando protocolos y puertos, están profundizando en toda la conversación, evaluando una variedad de variables (lo llamamos contexto) para tomar una decisión sobre si realmente se le debería permitir a Bob acceder a esa aplicación altamente sensible desde su sala de estar.

Las organizaciones son conscientes de ello, según nuestra investigación. El 87% tiene 4 o más servicios de identidad y acceso implementados actualmente. Y como era de esperar (al menos para mí), es la categoría de servicios de aplicaciones que más rápido crece en 2016: el 50 % planea implementar uno de ellos en los próximos 12 meses. Digo que no es sorprendente, porque el acceso a las aplicações hoy en día incluye necesariamente la nube, donde los firewalls de red no son capaces de extender el control sobre el acceso a las aplicações. Pero los servicios de identidad y acceso sí pueden hacerlo.

Ahora bien, es cierto que los firewalls de red siguen siendo el principal servicio implementado por las organizaciones, y no espero que eso cambie pronto. Han desempeñado y seguirán desempeñando un papel importante en la estrategia de seguridad de todas las organizaciones. Pero a medida que la nube, los dispositivos móviles y la Internet de las cosas continúan expandiendo el panorama de aplicação que deben protegerse, seguiremos viendo un aumento en el rol y la importancia del control de acceso a las aplicação . No sólo porque los firewalls de red ya no tienen la visibilidad necesaria para diferenciar entre aplicaciones distribuidas a través del mismo protocolo (HTTP), sino porque ya no son el único punto de entrada a esas aplicações cuando una cantidad significativa de ellas se implementan allí, en la nube.

Para obtener más detalles, no olvide consultar el informe completo sobre el estado de la entrega de aplicação de 2016.