Zero Trust es un modelo de seguridad de la información que no confía implícitamente en nada dentro o fuera de su perímetro de red. En cambio, requiere autenticación o verificación antes de otorgar acceso a datos confidenciales o recursos protegidos.
El término Zero Trust fue recogido por primera vez por John Kindervag en Forrester Research en 2009.
La seguridad Zero Trust proporciona la visibilidad y los controles de seguridad necesarios para proteger, administrar y monitorizar cada dispositivo, usuario, aplicación y red.
Zero Trust también se conoce como Zero Trust Network o Zero Trust Architecture. Los marcos relacionados incluyen BeyondCorp de Google, CARTA de Gartner y el modelo de confianza cero de MobileIron.
Vamos a analizar aquí los principios y tecnologías que están detrás de Zero Trust y cómo implementarlo.
Indice
Importancia de Zero Trust
Zero Trust es importante porque es una forma efectiva de reducir la pérdida de datos y prevenir las violaciones de datos, que tienen un coste medio de 4 millones de dólares a nivel mundial.
Para comprender por qué Zero Trust se ha destacado en la ciberseguridad, primero debemos entender los problemas con los modelos tradicionales de seguridad de red basados en el perímetro, y eso comienza con la comprensión de cómo interactúan Internet y las redes de área local.
Problema con la seguridad perimetral
Una cosa importante a entender es que una vez que un solo recurso está conectado a Internet, todos los recursos en la misma red de área local también se conectan.
En el pasado, esto se resolvía implantando la seguridad perimetral, llamado también enfoque de seguridad de castillo y foso. En este caso, las empresas defendían su perímetro estableciendo firewalls para impedir el acceso externo a las redes internas.
Este enfoque supone que cada usuario dentro de una red es confiable y debe tener acceso. Este supuesto presenta al menos dos problemas:
- Si un atacante tiene acceso a la red, puede moverse lateralmente dentro de la red para exponer datos confidenciales, instalar malware y causar violaciones de datos.
- Si un empleado no está físicamente en el trabajo, no puede acceder a la red.
El segundo problema se resuelve a través de una red privada virtual, o VPN, que usa encriptación, lo que permite que los empleados remotos puedan acceder a los recursos igual que si estuvieran físicamente presentes en la red.
La cuestión más importante es que existe una contradicción fundamental entre los problemas del objetivo, uno se trata de habilitar el acceso externo mientras que el otro trata de mantener alejados a los malos actores.
Estos dos problemas se han exacerbado por el aumento de:
- traer su propio dispositivo (BYOD),
- software como servicio (SaaS) y
- computación en la nube.
En lugar de que los empleados ocasionales necesiten conectarse a la red corporativa desde su hogar, cada empleado tiene un dispositivo que siempre está conectado, los centros de datos locales han sido reemplazados por la nube pública y las aplicaciones internas cambiaron a soluciones SaaS.
En resumen, lo que una vez estuvo en las instalaciones ahora está en gran medida fuera de las instalaciones, por lo que proteger el perímetro tiene poco sentido.
No solo son susceptibles a los intrusos maliciosos que lanzan un ataque cibernético desde el interior de la red, sino que también son vulnerables a los extraños. Un atacante que ha obtenido acceso a una red interna a través del phishing u otros métodos de ingeniería social como el spear phishing y puede pretender ser una fuente de confianza.
La respuesta es dejar de intentar poner todo detrás de un firewall y tratar a todos como una amenaza hasta que se demuestre lo contrario.
Enfoque de confianza cero
El modelo de seguridad Zero Trust sigue el principio de control de acceso de menor privilegio donde la identidad del usuario se verifica en tiempo real cada vez que se solicita un recurso.
El acceso con menos privilegios depende de la autenticación multifactor (MFA) o la autenticación de dos factores (como una contraseña y un dispositivo confiable o código temporal). Incluso una vez autenticado, un individuo solo puede acceder a recursos o aplicaciones definidos de forma granular tal como se define en una política de seguridad.
El modelo Zero Trust resuelve todos los problemas inherentes a un enfoque de gestión de acceso de castillo y foso:
- Sin red interna, ya no existe el concepto de intruso externo o trabajador remoto
- La autenticación individual funciona en todos los dispositivos y en el lado de la aplicación a través de los recursos locales, las aplicaciones SaaS y la nube pública.
En resumen, Zero Trust comienza con la suposición de que no se puede confiar en todos los conectados hasta que se demuestre lo contrario. Esto hace posible un control mucho más granular y distribuido sobre el acceso seguro a datos confidenciales y recursos internos que el que existía con seguridad basada en el perímetro o con controles de seguridad física.
Los beneficios de Zero Trust significan que ha ganado una amplia aceptación y adopción, con compañías como Google adoptando una forma de Zero Trust llamada BeyondCorp que asume que la red interna es tan peligrosa como Internet.
¿Cuáles son los principios y tecnologías principales detrás de Zero Trust?
La ideología detrás de Zero Trust implica que existen actores malintencionados dentro y fuera de la red interna, por lo que no se debe confiar implícitamente en ningún usuario o máquina.
Principio de menor privilegio
Un principio de seguridad de Zero Trust es el principio de menor privilegio (PLOP). PLOP es la práctica de limitar los derechos de acceso para usuarios, cuentas y procesos informáticos a solo aquellos necesarios para hacer el trabajo en cuestión.
Independientemente de cuán técnicamente competente o confiable sea un usuario, el principio de privilegio mínimo debe usarse para evitar violaciones de datos, ya que el 80% de las violaciones de datos involucran credenciales privilegiadas. PLOP tiene el beneficio adicional de reducir el riesgo de escalada de privilegios.
Microsegmentación
Junto con PLOP, Zero Trust utiliza microsegmentación, la práctica de dividir los perímetros de seguridad en pequeñas zonas para mantener el acceso separado a partes separadas de la red.
Por ejemplo, una red de recursos que viven en un solo centro de datos que utiliza microsegmentación puede contener docenas de zonas seguras y separadas, cada una de las cuales requiere una autenticación y un nivel de acceso diferente.
Esto significa que una persona o programa con acceso a una zona no podrá acceder a zonas adicionales sin autenticarse nuevamente, reduciendo el riesgo de ataques de movimiento lateral.
Autenticación multifactor
La autenticación multifactor es otro valor central de Zero Trust. MFA simplemente significa requerir más de una pieza de evidencia para autenticar a un usuario.
Esto significa que si un atacante expone la contraseña a una zona sensible, no podrá autenticarse sin información adicional, como datos biométricos o una contraseña de un solo uso.
Una aplicación comúnmente vista de MFA es la autorización de 2 factores (2FA) utilizada en cuentas de redes sociales como Facebook y Twitter. Además de ingresar una contraseña, los usuarios que habilitan 2FA deben ingresar un código enviado a su dispositivo móvil, proporcionando así dos elementos de autenticación de identidad.
Control de acceso
Además de los controles sobre el acceso del usuario, Zero Trust también requiere controles estrictos sobre el acceso al dispositivo físico. Zero Trust supervisa cuántos dispositivos y direcciones IP intentan acceder a una red, asegurando que cada dispositivo esté autorizado.
Otras tecnologías utilizadas
Además, la seguridad de Zero Trust puede depender de SIEM, IAM, orquestación, análisis, cifrado, puntuación y permisos del sistema de archivos.
Cómo implementar Zero Trust
Un enfoque de confianza cero garantiza que se otorgue el menor privilegio necesario en función de verificar quién solicita acceso, el contexto de la solicitud y el riesgo del entorno de acceso.
Al implementar Zero Trust, minimizas tu superficie de ataque, mejoras la auditoría y la monitorización de cumplimiento y reduces el riesgo de ciberseguridad.
Zero Trust se basa en estos seis principios.
1. No confíes, verifica
La identidad no incluye solo personas, sino también cargas de trabajo, servicios, programas y máquinas.
La verificación correcta de la identidad debería:
- aprovechar las identidades del directorio de la empresa,
- eliminar las cuentas locales y
- disminuir el número total de cuentas y contraseñas.
La parte más importante es tener identidades de directorio examinadas por RR.
Además, debes aplicar la autenticación multifactor (MFA) en todas partes. Durante el inicio de sesión, el ingreso de la contraseña, en la escalada de privilegios, efectivamente cada vez que hay una nueva solicitud.
Debes saber quién es alguien cuando se le concede acceso.
2. Contextualizar solicitudes
Para cada solicitud, debes comprender por qué la persona o el proceso realiza una actividad privilegiada. Para hacer esto, debes comprender el contexto detrás de la solicitud de acceso, y revisarlo y aprobarlo si la solicitud tiene sentido en función del contexto proporcionado.
Las personas solo deben tener el nivel de privilegio necesario para realizar una determinada tarea y solo durante el tiempo necesario para realizar la tarea.
3. Asegura tu entorno de administración
El acceso a los recursos privilegiados debe hacerse a través de una fuente limpia. Esto significa evitar el acceso directo desde las estaciones de trabajo de los usuarios que también tienen acceso a Internet y al correo electrónico, que pueden infectarse fácilmente con malware.
4. Otorga el menor privilegio
Hay seis formas comunes de implementar el principio de privilegio mínimo:
- Gestión de acceso basada en grupos: es casi imposible gestionar el acceso de usuarios individuales para cientos o miles de empleados mientras se cumple el principio de privilegio mínimo. Es por eso que existen herramientas de administración de acceso de identidad (IAM). Las herramientas de IAM otorgan a los usuarios acceso basado en grupos o roles de trabajo, luego administran privilegios basados en grupos en lugar de individuos.
- Gestión de acceso basada en horas de trabajo: para los empleados que trabajan horarios regulares, puedes restringir el acceso a las horas de trabajo de la persona. Por ejemplo, si un miembro del personal solo trabaja de 8:00 a.m. a 5:00 p.m. de lunes a viernes, no debe poder usar su tarjeta a las 4:00 a.m. del domingo.
- Administración de acceso basada en la ubicación: para sistemas críticos, es posible que solo desees que las personas accedan a ella desde su edificio de oficinas.
- Administración de acceso basada en máquina: al igual que la administración de acceso basada en ubicación, es posible que solo desees que los sistemas críticos sean accesibles desde ciertas máquinas.
- Régimen de acceso de uso único: usa la contraseña segura donde se extrae una contraseña de un solo uso para cuentas privilegiadas hasta que se completa la acción y luego se vuelve a ingresar.
- Régimen de acceso justo a tiempo: Eleva los privilegios según sea necesario para una aplicación específica cuando sea necesario y luego vuelve a una cuenta estándar una vez que se complete la tarea.
5. Audita todo
Mantén un registro de auditoría de todo lo que sucede durante una sesión privilegiada, esto no solo es útil para la informática forense, sino que también te permite atribuir acciones a un usuario específico.
Para los sistemas que contienen datos confidenciales, puedes optar por mantener una grabación de vídeo de la sesión que pueda revisarse o usarse como evidencia.
6. Usa controles adaptativos
Los controles de confianza cero deben adaptarse al contexto de riesgo. Incluso si la solicitud proviene de un usuario autenticado, si se encuentra en una ubicación de riesgo, puedes optar por solicitar aún más verificación antes de permitir el acceso.
Los controles adaptativos no solo deberían notificarte sobre actividades de riesgo en tiempo real, sino también ayudarte a responder activamente a los incidentes cortando las sesiones.