InfoTechnology / Zero Trust: cómo es el nuevo modelo de protección contra ciberataques

A medida que la transformación digital avanza es más difícil mantener la seguridad de la red. El modelo Zero-Trust o confianza cero plantea un fuerte cambio en la manera de proteger el espacio virtual.

Con una infraestructura digital en constante expansión y una brecha de habilidades de ciberseguridad cada vez mayor, los líderes de TI y OT se enfrentan diariamente a una presión: establecer y mantener la confianza en sus redes.

No es noticia entre los expertos que el modelo de confianza basado en la ubicación del usuario no es suficiente para responder a los requerimientos de acceso seguro. Los accesos desde la red interna, que el viejo modelo consideraba confiables, representan hoy unos de los mayores vectores de ataques exitosos.

Por esta razón, los CISO han tenido que repensar su estrategia para confiar en los usuarios y dispositivos que solicitan acceso a los recursos de la red.

En este sentido, Druidics, empresa líder en el mercado de servicios tecnológicos de infraestructura y seguridad, asegura que, debido al aumento del trabajo remoto, el perímetro se está disolviendo: los usuarios pueden estar en una red corporativa, trabajando desde sus casas o en otro lugar, y las aplicaciones pueden residir en un centro de datos corporativo, en una nube pública o híbrida.

El modelo de confianza cero o Zero Trust tiene un diferencial concreto para la seguridad ya que abandona el concepto de confianza implícita, la ubicación de la red o la dirección IP ya no implican confianza, y en su lugar establece una postura inicial de denegación predeterminada para todos y para todo.

Claudio Castro, Head of Solutions & Presales de Druidics, explica que, dentro del modelo de confianza cero, las soluciones ZTNA (Zero Trust Network Access) proveen una nueva forma de controlar el acceso a las aplicaciones independientemente de dónde resida el usuario o la aplicación.

La confianza no está implícita en ninguna característica, como era antes la ubicación de la red, sino que debe derivarse a partir de la verificación concurrente de una combinación de aspectos identitarios y contextuales. Además, uno de los elementos clave de este modelo es que, una vez que al usuario se lo verifica junto con el dispositivo, sólo se le otorga la confianza mínima requerida y es válida para esa sesión en particular.

«Cada vez que un usuario solicite acceso a una aplicación, se verificará su identidad, se controlará la postura de seguridad de su dispositivo y, si cumple con la política de seguridad, se le otorgará la confianza mínima para establecer una sesión exclusivamente con dicha aplicación», afirma Claudio Castro.

Otro de los elementos clave de ZTNA que destaca Druidics es que la confianza se debe reevaluar continuamente ya que, si los atributos importantes del usuario o del dispositivo cambian, el modelo permite que la autorización pueda ser revocada y el acceso eliminado.

En palabras simples, agrega Claudio: «antiguamente se pensaba la red de una organización como un castillo y el perímetro de la red como un foso. Una vez que se baja el puente levadizo y alguien lo cruza, tiene rienda suelta dentro de los terrenos del castillo. De manera similar, una vez que un usuario se conecta a una red en ese modelo, puede acceder a todas las aplicaciones y datos dentro de esa red. La virtualización, la computación en la nube y los trabajadores remotos han cambiado la ubicación del foso, y el foso no necesariamente protege contra los riesgos desde el interior del castillo».

«El modelo de seguridad de confianza cero supone que los riesgos de seguridad están presentes tanto dentro como fuera de la red. Nada dentro de la red es confiable de forma predeterminada», completa Angel Dituro, Especialista Fortinet NSE7 del equipo de ingeniería de Druidics

La diferencia principal con una VPN tradicional es que en esta se supone que se puede confiar en cualquier persona o cosa que pase los controles del perímetro de la red. En cambio con ZTNA se adopta el enfoque opuesto: no se puede confiar en ningún usuario ni dispositivo hasta que se demuestre lo contrario.

Desde Druidics afirman que Fortinet Security Fabric provee todos los componentes necesarios para implementar un modelo de ZTNA con la mejor experiencia de usuario y de administrador: identificar quién y qué está en la red, regular lo que pueden hacer, y mantener este control aún cuando están fuera de la red.

Para identificar quién está en la red es fundamental implementar un mecanismo de inicio de sesión único (SSO), pero igual atención debe prestarse a los dispositivos que acceden a las redes: computadoras corporativas, dispositivos personales (BYOD) y numerosos sensores distribuidos (IoT), entre otros.

Para saber qué hay en la red en cualquier momento, las herramientas de control de acceso a la red (NAC) permiten descubrir, identificar y perfilar automáticamente cada dispositivo cuando solicita acceso a la red y escanearlo en busca de vulnerabilidades.

Cuando el control de acceso no se puede implementar en los propios dispositivos, debe provenir de la red y la mejor forma de hacerlo es microsegmentar la red con firewalls de próxima generación (NGFW).

En los casos que los dispositivos estén fuera de la red, el componente de seguridad del endpoint debe tener la capacidad de proporcionar un control de la postura de seguridad del dispositivo, incluido el escaneo de vulnerabilidades, el filtrado web, las políticas de parcheo, así como las opciones de VPN con SSO y MFA.

Finalmente, muchas organizaciones están adoptando ZTNA como evolución natural de las VPN tradicionales que han sido un pilar durante décadas. Si bien inicialmente tal movimiento fue bastante complejo, hoy marcas como Fortinet ofrecen soluciones que se pueden desplegar de forma rápida y totalmente integradas a la red.

Druidics posee 22 años en el mercado tecnológico, desde sus oficinas en Buenos Aires y Rosario se ha transformado en un aliado estratégico de sus clientes, ofreciendo soluciones sólidas y a medida de las necesidades de cada organización. Desde Druidics afirman que el alto compromiso del personal, la experiencia y la calidad humana son la clave para que cada proyecto finalice de manera exitosa.