¿Qué futuro le espera a Zero Trust?

Erin VernaDirector sénior de marketing de producto | F5

Hace poco leí un artículo sobre uno de los últimos ataques de ransomware, en este caso contra el proveedor de servicios sanitarios Lehigh Valley Health Network (LVHN). Aunque siempre resulta inquietante ver cómo los ciberdelincuentes secuestran los sistemas y los datos de una organización, este ciberataque fue especialmente preocupante. Así describe el incidente el medio de comunicación The Register :

«[El grupo de ciberdelincuentes] BlackCat (también conocido como ALPHV) irrumpió en una de las redes de médicos de Lehigh Valley Health Network (LVHN) en Estados Unidos y robó imágenes de pacientes sometidos a tratamientos de oncología radioterápica, además de otros historiales médicos confidenciales… LVHN se negó a pagar el rescate y, a principios de este mes, BlackCat comenzó a filtrar información de pacientes, incluidas imágenes de al menos dos pacientes con cáncer de mama desnudas de cintura para arriba».

Aunque cada intento de extorsión puede renovar la determinación de proteger mejor las redes y los datos confidenciales, el hecho de que el ransomware y todo tipo de ciberataques puedan causar daños duraderos y traumas psicológicos a las personas debería ser una seria llamada de atención para cualquier organización que aún no haya emprendido la transición hacia una seguridad de confianza cero. Todo sector de infraestructuras críticas u organización a la que se haya confiado información personal confidencial debería integrar los principios fundamentales de un modelo de confianza cero.

Probablemente no haga falta decir que, si no estamos pensando ya varios pasos por delante de la situación actual en materia de seguridad de las aplicaciones, pronto nos quedaremos atrás en la carrera contra los ciberdelincuentes y sus nuevas tácticas de ataque. Por eso, nunca es demasiado pronto para preguntarnos: ¿qué futuro le espera al modelo de confianza cero? ¿Cómo evolucionará para hacer frente no solo a un panorama de amenazas cambiante, sino también a la naturaleza en constante evolución de nuestro mundo digital y de las propias aplicaciones?

Para ayudar a responder a estas preguntas, hablé con dos expertos en seguridad de F5: Ken Arora, ingeniero distinguido, y Mudit Tyagi, director sénior de Desarrollo de Productos.

Esta brecha de seguridad de LVHN me hizo reflexionar sobre cómo están aplicando las organizaciones los principios de ZT. Es casi como si hubiera llegado la hora de rendir cuentas, en la que un año de supervisión gratuita del crédito ya no basta para los consumidores afectados por una brecha. ¿Diríais que hoy en día hay mucho más en juego para las empresas?

Mudit: Es evidente que hay mucho más en juego. Sobre todo, cuando se trata de hackers patrocinados por Estados, que cuentan con la financiación, los recursos técnicos y el tiempo necesarios para investigar y lanzar ataques muy específicos contra empresas y otros países. Por no hablar de la alteración de la estabilidad social general. Recordemos el incidente Aurora de 2010, en el que se robó propiedad intelectual de Google y otras empresas estadounidenses. Una década después, en 2020, el ataque a la cadena de suministro de SolarWinds se utilizó como mecanismo para infiltrarse en numerosas redes sensibles. El potencial de que se produzcan consecuencias de gran calado llevó a la Casa Blanca a emitir una Orden presidencial que obliga a todas las agencias gubernamentales a seguir los principios de confianza cero.

Ken: Estoy de acuerdo en que el alcance de la exposición no hará más que aumentar con el tiempo. Y no solo porque habrá más datos disponibles en línea, sino también porque, a medida que avancemos hacia la adopción de la IA a gran escala, saldrán a la luz categorías completamente nuevas de vulnerabilidades. Cabe señalar que la gobernanza social para gestionar los riesgos de cualquier nueva tecnología siempre lleva tiempo. Por ejemplo, hasta hace unos años las empresas, especialmente las de sectores regulados, no empezaron a asumir responsabilidades legales. Lo hemos visto con Experian y T-Mobile, que en conjunto han tenido que pagar más de 1.000 millones de dólares. Más recientemente, vemos cómo personas como el director de seguridad de la información de Uber están siendo consideradas personalmente responsables por mala praxis en casos en los que hubo una negligencia significativa. Este ejemplo también tiene su equivalente en el ámbito sanitario. Creo que estos avances hacen aún más necesario que los profesionales de la seguridad sigan las mejores prácticas y que el sistema jurídico establezca directrices de salvaguarda.

Dado el panorama actual, ¿qué cree que le depara el futuro a la confianza cero?

Mudit: Históricamente, Google presentó Beyond Corp tras los ataques de Aurora como una de las primeras materializaciones de la confianza cero, aunque la idea es aún más antigua. Hoy en día han surgido soluciones como ZTNA y SASE, que aplican los principios de confianza cero al acceso de usuarios y dispositivos. Sin embargo, es necesario dedicar más esfuerzos a aplicar estos principios dentro de la propia red, donde las cargas de trabajo interactúan entre sí para posibilitar los procesos empresariales y las experiencias de usuario. A esto lo denominamos confianza cero entre cargas de trabajo. En pocas palabras, los enfoques relacionados con el acceso intentan evitar que se produzca una brecha de seguridad, mientras que la confianza cero a nivel de las cargas de trabajo se centra en minimizar el impacto de una brecha en curso.

El sector tiene dificultades para implementar controles que sigan el principio de «dar por sentada la brecha» de la confianza cero. Para hacer frente a situaciones posteriores a una brecha, las cargas de trabajo necesitan «identidades», al igual que los usuarios y los dispositivos. Además, esas cargas de trabajo deben supervisarse continuamente para evitar que el malware que ya se encuentra dentro de la red cause daños. Esto resulta especialmente crítico dada la actual movilidad de la plantilla y los entornos de infraestructura en los que las aplicaciones se distribuyen entre nubes privadas y públicas, además de sistemas heredados.

Dado que la confianza cero exige una mentalidad basada en «dar por sentada una brecha», serán necesarias medidas de seguridad que vayan mucho más allá del mero control de acceso.

Ken: Exacto. También debemos incluir inteligencia de amenazas, gestión de eventos e información de seguridad, diagnóstico y mitigación continuos, etc. La naturaleza cambiante de las aplicaciones y el tráfico impulsado por la IA, cada vez mayor, exigen que no solo adoptemos un enfoque integral de la confianza cero, sino que también apliquemos estos principios a nuevas áreas de la infraestructura, como las propias cargas de trabajo.

Como señaló Mudit, los principios fundamentales de la confianza cero son conocidos y han sido interiorizados desde hace mucho tiempo por los profesionales de la seguridad —y me refiero a la seguridad en sentido amplio, no solo a la ciberseguridad—. Su manifestación más reciente, ZTNA, consiste esencialmente en aplicar los principios de «verificar siempre» y «supervisar y evaluar continuamente» a la identidad de los usuarios y dispositivos que desean acceder a una red.

Creo que los siguientes pasos lógicos en la evolución de la confianza cero aplicada a la ciberseguridad serán: 1) pasar del acceso a la red al acceso a las aplicaciones, es decir, utilizar abstracciones y protecciones de la capa de aplicación, no de la capa de red; y 2) ampliar la aplicación de los principios de confianza cero más allá de los usuarios y los dispositivos para incluir las cargas de trabajo.

¿Por qué son tan críticas las cargas de trabajo? Y, si llegamos a ese nivel de profundidad, ¿debemos aplicar también los principios de confianza cero a las propias prácticas de desarrollo (como los repositorios de código y similares)?

Ken: La respuesta breve es que las cargas de trabajo son críticas porque constituyen la nueva amenaza interna.

Hay que tener en cuenta que la mayor parte del código de las aplicaciones nativas de la nube se desarrolla en un entorno de código abierto, fuera del control de la organización propietaria de la aplicación. Por lo general, las prácticas de desarrollo de software empleadas para crear ese código tienen un nivel de madurez escaso, están sujetas a una supervisión poco rigurosa y apenas se documentan. Tras importar el código, las pruebas que se realizan son principalmente funcionales y de rendimiento, mientras que las evaluaciones de seguridad reciben poca atención. Como resultado, se confía implícitamente en la mayor parte del código de las aplicaciones, que es precisamente el comportamiento que el modelo de confianza cero pretende evitar. Y eso suponiendo que los proveedores del código actúen de buena fe. Si además se tiene en cuenta que existen adversarios activos que intentan utilizar el código abierto como puerta trasera, este se convierte en una superficie de ataque de primer orden. Por cierto, muchos de los ataques recientes que más titulares han acaparado —log4j, SolarWinds y 3CX— son ejemplos de ataques a la cadena de suministro, que quedan fuera del ámbito tanto de ZTNA como de las soluciones de seguridad basadas en la identidad del usuario.

Centrémonos por un momento en ese último punto: cómo puede utilizarse el código abierto como puerta trasera. Esto nos lleva de nuevo a lo que comentabas antes sobre que la confianza cero requiere medidas como la inteligencia de amenazas, la gestión de eventos e información de seguridad, el diagnóstico continuo, etc.

Mudit: Sí. Es importante plantearnos cómo abordaríamos la seguridad si partiéramos de la premisa de que «ya se ha producido una brecha». Los controles centrados en la red desempeñan cierto papel, ya que pueden detectar las comunicaciones con servidores de mando y control. Sin embargo, el objetivo es impedir que el malware que ha logrado infiltrarse cause daños. Cuando el malware actúa, necesariamente deja rastros. Si supervisamos todas las cargas de trabajo y comprendemos sus características, tendremos muchas más posibilidades de detectar la carga de trabajo maliciosa asociada a las actividades del malware.

Los investigadores de MITRE han hecho un gran favor al mundo de la seguridad al crear una taxonomía que nos permite entender la mayoría de los ataques como una combinación de tácticas, técnicas y procedimientos (TTP) descritos en el marco MITRE ATT&CK. También describen un conjunto de contramedidas que ayudan a detectar los TTP en el marco MITRE D3FEND. Un elemento importante de este marco son los análisis de procesos, que requieren aplicar los principios de confianza cero en el ámbito de las cargas de trabajo.

Es muy importante que, durante el ciclo de desarrollo, el código que constituye la carga de trabajo se analice en busca de vulnerabilidades mediante herramientas de pruebas estáticas de seguridad de aplicaciones (SAST) y pruebas dinámicas de seguridad de aplicaciones (DAST). También es posible prepararse para implementar la confianza cero en el ámbito de la carga de trabajo estableciendo, durante el ciclo de desarrollo, una referencia de sus características de bajo nivel, como las «llamadas al sistema». Esta referencia facilita la detección y el análisis de anomalías cuando la carga de trabajo se ejecuta en producción. El marco D3FEND propone todo un conjunto de contramedidas centradas en la protección reforzada que deben aplicarse durante el ciclo de desarrollo.

Hablemos del papel de la IA en la seguridad en general y, en concreto, en la confianza cero. ¿Qué retos y oportunidades de seguridad generará la IA? Además, ChatGPT ha estado muy presente en las noticias. He visto previsiones que indican que, para 2026, el 90 % del tráfico de Internet será generado por IA. ¿Cambiará esto la seguridad? De ser así, ¿cómo?

Mudit: Los ataques automatizados ya son muy difíciles de combatir. El atacante puede seguir modificando y transformando el ataque, lo que genera mucho ruido para el SOC. Los equipos de defensa ya utilizan la automatización para combatir estos ataques automatizados. Aunque aprendamos a reconocer las firmas de los ataques automatizados, los falsos positivos siguen siendo un problema importante. Con la IA, será mucho más fácil imitar a los usuarios normales que con los ataques automatizados actuales. Esto dificultará la detección de anomalías y exigirá un análisis contextual muy sofisticado para minimizar los falsos positivos.

Ken: Creo que la IA seguirá teniendo un enorme impacto en la seguridad. Para empezar, está claro que influye considerablemente tanto en la forma en que los ciberdelincuentes llevan a cabo sus ataques como en la manera en que los defensores los detectan y mitigan. En resumen, el juego del gato y el ratón continuará, con sistemas de IA que actuarán como sustitutos exponencialmente más rápidos y ágiles de lo que los humanos podrían hacer manualmente.

En lo que respecta específicamente a ChatGPT, creo que aquí entrará en juego el principio de confianza cero de no confiar ciegamente. Al igual que la premisa de ZTNA es «no confiar ciegamente en los usuarios ni en los dispositivos» —algo que debería extenderse a las cargas de trabajo—, creo que la generación de contenido mediante IA hará que dejemos de confiar ciegamente en el contenido. En muchos sentidos, esto supone volver al funcionamiento habitual de la sociedad: el grado de confianza que depositamos en un contenido concreto depende de su procedencia. Por ejemplo, podría confiar más en una declaración sobre la validez de un cheque procedente de mi banco que en una declaración similar de una persona cualquiera en la calle. En resumen, la atribución de los datos es importante. Y, a medida que la IA genere más contenido, veremos cómo esta idea —presente desde hace mucho tiempo en el mundo real— se convierte en una consideración clave en el mundo digital.

Dado el ritmo cada vez más acelerado al que surgen nuevas amenazas, el debate sobre el futuro de la confianza cero seguirá siendo relevante, especialmente a la hora de minimizar el impacto de las amenazas internas y aplicar los principios de confianza cero a las cargas de trabajo. A medida que Internet se inunde de más material generado por IA, el enfoque del sector respecto a la confianza cero tendrá que evolucionar, y en el futuro ofreceremos más puntos de vista. Gracias por acompañarnos.
____

Para quienes estén interesados en profundizar en el concepto de «presuponer una brecha», pueden leer el último artículo de Ken aquí.

Sobre el autor

Erin VernaDirector sénior de marketing de producto | F5

Más artículos de Erin Verna