Confianza cero: preguntas que plantearse

F5

Tener una «estrategia de confianza cero» se parece mucho a tener una «estrategia de nube»: carece prácticamente de sentido si no se tiene en cuenta qué se intenta conseguir y cuál es la situación actual. Incluso el nombre puede resultar engañoso, ya que hay que confiar en algo. Una definición básica de la confianza cero sería «no confiar en un usuario o dispositivo en función de su ubicación en la red», pero, si fuera tan sencillo, todos habríamos terminado ya de implementarla. Como arquitecto global de soluciones en F5, tengo la oportunidad de analizar numerosas arquitecturas de acceso y, aunque muchas aspiran a ello, pocas han alcanzado sus objetivos de confianza cero.

Una definición más acertada consistiría en redefinir el ámbito de confianza para incluir la identidad, el dispositivo y la aplicación, en lugar de un perímetro de red. Desde luego, no es una idea nueva, y he visto a muchos clientes avanzar en esta dirección, pero ahora está cobrando más fuerza a medida que los proveedores abordan los principales retos para que funcione realmente en entornos que no cuentan con todo un ejército de desarrolladores para crear una solución a medida. Para aumentar la confusión, existen diversos modelos entre los que elegir, como proxies, microtúneles, microsegmentación y soluciones sin proxy, además de términos que compiten entre sí y conceptos relacionados, como la microsegmentación y el perímetro definido por software (SDP). ¿Cómo se define el éxito de algo tan impreciso y con tantas opciones, y por dónde se empieza a evaluar las soluciones? Primero hay que saber cuáles son los objetivos y requisitos. Por eso, yo empezaría con preguntas como estas...

¿Qué tipo de aplicaciones quiere proteger?

Los proxies suelen ser adecuados para gestionar aplicaciones web, ya que ofrecen funciones de inicio de sesión único (SSO), una buena experiencia de usuario y una implementación y gestión relativamente sencillas. ¿También quiere aplicar un modelo de confianza cero al acceso a los servidores? Algunas soluciones ofrecen proxies SSH y RDP. Para estos tres protocolos también existen soluciones sin proxy que se integran directamente en el código de la aplicación o en los módulos de autenticación del servidor. Sin embargo, tenga en cuenta que esto impide detener el tráfico antes de que llegue al servidor o a la aplicación, por lo que se asume un mayor riesgo.

Si los destinos de sus aplicaciones van más allá de estos, es probable que necesite recurrir a una solución basada en túneles. No todas las soluciones de túnel son iguales. Algunas utilizan VPN tradicionales, que limitan la conectividad a una única puerta de enlace. Los microtúneles suelen ser una opción más adecuada, ya que permiten establecer numerosos túneles hacia distintos puntos finales para satisfacer los requisitos de acceso, independientemente de dónde se alojen sus aplicaciones.

¿Qué tipo de medidas de protección deben implementarse?

Esta es una excelente oportunidad para asegurarse de que todas las aplicaciones estén protegidas mediante autenticación multifactor, algún tipo de protección contra el relleno de credenciales y los ataques de fuerza bruta, protección contra bots, visibilidad del tráfico con integración de servicios de seguridad como la prevención de pérdida de datos y los sistemas de prevención de intrusiones, así como un firewall de aplicaciones web para sus aplicaciones web. Al implementar un modelo de acceso coherente, también se crea un punto común en el que integrar todos estos servicios. Tenga cuidado con las soluciones de confidencialidad de extremo a extremo. Parecen atractivas hasta que se da cuenta de que obligan a eludir todos sus servicios de seguridad. La confianza cero nunca debe reducir su nivel de seguridad. Una buena estrategia consiste en terminar los túneles en una puerta de enlace y, a continuación, enrutar el tráfico a través de dispositivos de visibilidad y seguridad.

¿Necesita inicio de sesión único (SSO)?

Las soluciones de túnel no suelen poder transmitir la identidad a la aplicación y, en ocasiones, dependen de que el entorno disponga de otros mecanismos de autenticación transparente. Es posible que necesite proxies o una integración directa en el código para proporcionar el inicio de sesión único (SSO) que busca. Conseguirlo probablemente sea clave para satisfacer a muchas de las partes interesadas. Una solución adecuada y bien implementada puede mejorar tanto la experiencia del usuario como la seguridad.

¿Cuál es su estrategia de análisis?

Aquí conviene tener unas expectativas altas. Al implantar un marco de políticas coherente para el acceso en toda la organización, una de las principales ventajas debería ser poder saber quién accede a qué recurso, desde qué dispositivo, desde dónde y cuándo. Estos datos deben aprovecharse y analizarse junto con los procedentes de las demás herramientas de seguridad para identificar y mitigar amenazas. Es una oportunidad para abordar los riesgos de la organización reforzando la cadena de ataque en cada fase, incluidas la visibilidad, la identificación de amenazas y su mitigación. Los proveedores de este ámbito aún no ofrecen una solución integral, así que asegúrese de buscar formas de integrar en la solución análisis de terceros para mejorarla. Una buena táctica es buscar proveedores que, además de su propia solución, apuesten por las integraciones con socios, en lugar de intentar ofrecerlo todo en una única plataforma.

¿Qué tipo de experiencia de usuario cabe esperar?

Los proxies suelen ofrecer una experiencia de usuario superior en las aplicaciones web, ya que no requieren que el usuario cambie su forma de utilizar el navegador y, además, se necesitan menos componentes en el lado del cliente. Sin embargo, otras soluciones pueden requerir clientes de túnel. Cabe esperar que el usuario final no sea consciente en absoluto, o apenas lo sea, de la existencia de los túneles. Las VPN tradicionales suelen ofrecer una experiencia de usuario peor que los microtúneles y presentan otras limitaciones, como se ha explicado anteriormente.

¿Qué plataformas necesita admitir?

Algunas soluciones ofrecen una plataforma excelente para equipos de escritorio, pero no para dispositivos móviles. Asegúrese de evaluar la solución y determinar si puede satisfacer las necesidades de los usuarios en los principales sistemas operativos de escritorio, dispositivos móviles y aplicaciones móviles nativas, según sea necesario, y si ofrece una experiencia de usuario y un conjunto de funcionalidades coherentes.

Próximos pasos

Define sus objetivos, que, para empezar, probablemente deberían incluir la mejora de la experiencia de usuario, una mayor integración de los servicios de seguridad, la autenticación multifactor para todo y una estrategia de integración de analítica. Esto le ayudará a determinar qué proveedores y arquitecturas merecen que dedique tiempo a evaluarlos más a fondo. A continuación, céntrese en los proveedores que cuenten con buenas estrategias de colaboración. Ningún proveedor ofrecerá por sí solo todo lo que cabe esperar de esta arquitectura, por lo que necesita una plataforma sobre la que pueda seguir desarrollando. A la larga estará más satisfecho, créame!

Sobre el autor

F5

Más artículos de F5