buscar

Zero Trust: ¿Qué es y cómo funciona?

Zero Trust: ¿Qué es y cómo funciona?

  • 811

Los avances de la computación en la nube han incrementado, de forma imparable, el uso de estrategias de seguridad como es el caso de Zero Trust Network Access (ZTNA, en sus siglas en inglés).

La implementación de servicios y aplicaciones cada día más robustos, representa un mayor control de acceso a los mismos, donde Zero Trust juega un papel primordial como arquitectura basada en capas de seguridad y autenticación.

La confianza que establecen las claves de acceso de usuarios ya no representa una barrera de seguridad plena para la red.

Las conexiones a través de compuertas privadas como VPNs no se consideran del todo seguras comparadas con ZTNA

¿Qué es Zero Trust?

Zero Trust es una arquitectura basada en software que elimina los niveles de confianza de los accesos a la red tanto por usuarios como por dispositivos.

Las conexiones a la LAN o WAN tanto dentro como fuera de la red, deberán ser autenticadas de forma constante para permitir el acceso o continuidad de las operaciones.

ZTNA , exige a los usuarios identificarse cada cierto tiempo o en diferentes procesos para garantizar la autenticidad del mismo.

Bajo el concepto anterior, también se configuran todos los dispositivos que se conectan a la red, antes y durante cualquier operación o uso.

El portal digital Paloalto Networks, menciona que Zero Trust fue creado por John Kindervag, ejecutivo del Grupo tecnológico Forrester, como una solución al problema de seguridad dado por el exceso de confianza en las claves de acceso como única fuente de bloqueo primario en la red.

Forrester reconoce que los niveles de seguridad tradicionales trabajan bajo el esquema de confiar en la persona que se conecta. Una vez autenticado el usuario, ya no debería tener problemas de seguridad para los posteriores accesos.

Lamentablemente, este modelo de seguridad se ve comprometido constantemente, y de allí la aparición de Zero Trust Network Security o ZTNS como la solución más efectiva.

Tal vez te interese leer: 5 prioridades de los departamentos de tecnología

¿Cómo funciona la arquitectura Zero Trust?

Zero Trust es fundamental en la protección segmentada de la red en cuanto a sus datos, aplicaciones, activos y servicios (DAAS, en sus siglas en inglés).

Una vez que se tiene la identificación completa de una superficie, se puede monitorear fácilmente los accesos y transacciones que se realizan en esta área.

Así se van estableciendo los criterios entre cada zona o superficies, interconectando el DAAS entre los mismos para crear un microperimetro.

Luego, este microperimetro del DAAS se va a ir desplazando a medida que los datos, usuarios, activos o servicios se vayan moviendo o ampliando.

El portal digital Computing.es, expresa que esta arquitectura funciona bajo la aplicación del manejo granular de la Capa 7, ejecutando el método Kipling.

Para este caso, Zero Trust se hace efectivo desde la aplicación para controlar la política de confianza cero, basada en los parámetros de quién, qué, cuándo, dónde, por qué y cómo se accesa el DAAS.

como funciona zero trust network access

Fuente: Cloudflare

Comparación de una VPN con Zero Trust

A nivel de acceso, ambas opciones de software permiten la conectividad efectiva de un usuario a los servicios y datos de una red.

El portal digital Xataka.com, refiere que grandes corporaciones como Microsoft, Google y Cisco están en la implementación de Zero Trust sobre VPN por considerarla más segura con relación a sus competidores.

Una VPN es útil cuando la persona que accede a la red no se encuentra dentro de las instalaciones de la infraestructura física y desea tener el mismo control y manejo.

Las VPNs no son necesarias cuando se requiere conexión desde la misma instalación física de la red.

Zero Trust elimina la confianza de las conexiones para los usuarios, tanto dentro como desde fuera de la red.

ZTNA, a diferencia de la VPN, se establece en cada sector y parámetro de verificación; mientras que VPN solo lo utiliza para la clave de acceso y alguna otra autenticación requerida según el acceso dado.

Las VPNs no están preparadas para el aumento del tráfico excesivo como lo acontecido durante la pandemia, y se puede notar en las fallas de servicios de videollamadas como principal servicio de este tipo.

La confianza cero establece barreras, donde se puede vulnerar la primera, pero cada vez será más difícil autenticarse al siguiente nivel para acceder al DAAS.

Tal vez te interese leer: ¿Qué son las VPN?

Enfoque de Cuatro Claves de Zero Trust

La gran mayoría de las empresas sólo centran su seguridad en quien entra a la red, y por lo tanto sólo aseguran la autenticación de los usuarios y sus claves.

Zero Trust establece un enfoque de cuatro niveles, que le da a la empresa herramientas para enfrentar diferentes situaciones de seguridad en los diferentes entornos de sus sistemas.

Segun el blog Ciberseguridad.blog, estos enfoques se centran en lo siguiente:

1. Verificar el Usuario

Este enfoque comúnmente aplicado en múltiples medios, se ve incrementado en seguridad a través de Zero Trust, ya que se requiere una autenticación multifactor (MFA, por sus siglas en inglés).

El MFA usa diversos elementos para dar acceso a la red, como lo es “algo que tiene,  algo que sabes o algo que eres” del usuario.

De esta forma, sin importar quien se conecte, Zero Trust  dará acceso de forma adaptativa y dinámica a cada usuario

2. Verificar el dispositivo

Este enfoque es visto por algunos usuarios habituales de servicios en dispositivos móviles, donde se posee un correo electrónico que se asocia a los dispositivos que frecuentemente se usan con el mismo.

Zero Trust Security refuerza este criterio, donde el usuario debe identificar no solo su contraseña, sino que debe autenticar el dispositivo con el cual se está conectando.

De esta forma, este endpoint quedará asignado a ese usuario, y las siguientes no permitirá un usuario diferente a menos que se solicite una MFA.

El uso recurrente del usuario en el dispositivo genera cierto nivel de confianza que Zero Trust Security podrá respetar bajo su esquema dinámico y adaptativo.

El dispositivo deberá estar en la lista de equipos registrados en las políticas de la empresa (parches, Bios, cifrado de discos) para poder acceder, ya sea por autenticidad o por actualización de aplicaciones o hardware.

3. Limitar el acceso y los privilegios

Zero Trust Security, se replantea los niveles de seguridad, limitando accesos de ciertas cuentas que pueden ser vulnerables a ataques y así garantizar el DAAS de la empresa.

De igual forma, Zero Trust se replantea el acceso a ciertas aplicaciones que manejan volúmenes altos de información, que son potenciales víctimas de hackers, limitando de forma dinámica sus accesos.

4. Aprende y adapta

La arquitectura ZTNA está diseñada con capacidad de escalabilidad, donde irá mejorando sus interacciones con los usuarios y aplicaciones a medida que se vayan realizando las autenticaciones en sus diferentes niveles y perímetros.

Esto se logrará a través de los patrones de comportamiento en la red (usuarios, privilegios de conexión, tipos de dispositivos, aplicaciones utilizadas y datos procesados).

Zero Trust Security establecerá algoritmos para determinar los ajustes o cambios para las operaciones individuales así como para los accesos de tiempo y datos.

assessment de ciberseguridad

Ventajas de Zero Trust Security

La empresa de ciberseguridad TechTarget SearchSecurity, menciona las siguientes ventajas como las más relevantes de Zero Trust Security para una compañía:

  1. Zero Trust permite mayor control y manejo del inventario exacto de los datos, activos, aplicaciones y servicios de la empresa (DAAS). Esto permite mayor conocimiento de lo que se tiene y de cómo actuar o ajustar cambios en la dinámica de las operaciones.
  2. Mejoras en la supervisión de la red y el monitoreo de las operaciones basado en la confianza que establece Zero Trust en su entorno. La combinación de análisis de eventos y registros, permite mayor información para poder solucionar un evento.
  3. Los usuarios finales reconocen la importancia de Zero Trust como una herramienta de protección y garantía laboral. La autenticación por confianza que genera Zero Trust, una vez estabilizado el proceso de adaptabilidad de la infraestructura, permite la aplicación de herramientas de Inicio de Sesión Único (SSO por su siglas en inglés), simplificando la cantidad de contraseñas del usuario final.
  4. Políticas de seguridad centradas en la dinámica establecida por Zero Trust. El manejo escalado de la seguridad en la red basado en perímetros de DAAS, permite tener una metodología más específica y evitar redundancias en las políticas de acceso.
  5. Movilización del DAAS de forma segura y confiable con Zero Trust Security. Bajo un esquema tradicional de seguridad, al momento de movilizar información, usuarios o aplicaciones, se debía cambiar los privilegios de usuarios para las nuevas ubicaciones; pero con Zero Trust se mueve el perímetro que posee el DAAS y se ajusta automáticamente la seguridad.
  6. El valor de ZTNA se ve minimizado al comparar el nivel de seguridad de información ante ciberataques. Zero Trust puede diluir su costo de implementación en el ahorro económico de tiempo e información cuando se logra evitar un ataque o robo de datos de la empresa.

Desventaja de Zero Trust Security

Bajo el esquema antes mencionado, es difícil conseguir desventajas notorias en Zero Trust, ya que resaltan los beneficios de su aplicabilidad en un amplio ámbito empresarial y con beneficios a largo plazo.

Entre las únicas desventajas encontradas para Zero Trust se pueden mencionar:

  • Costo elevado. Dependiendo del tamaño de su negocio, este costo podrá ser mayor o menor, por lo tanto debe evaluar la implementación bajo una visión de futuro para poder distribuir el monto a largo plazo.
  • Implementación compleja. Este rango también dependerá del tamaño de su empresa y el volumen del DAAS; aunque en empresas medianas con muchos usuarios será tan complejo como empresas grandes con pocos usuarios. La complejidad se traducirá en tiempo de ejecución para ambos casos.

assessment de ciberseguridad






ÚLTIMAS ENTRADAS

MÁS POPULARES