Zero Trust Architecture- Arquitectura de
Confianza Cero. Por fin algo del siglo
XXI en Ciberseguridad
•
Publicada el 26 de agosto de 2020 en LinkedIn
Roger Sanz. Experto en Gobierno, Riesgo, Cumplimiento (GRC) y Ciberseguridad
Con la publicación de la semana les quiero llevar a un concepto de arquitectura de
seguridad que tenemos en mente muchos de los especialistas en la materia y que, sin
duda, requiere de toda nuestra atención en el presente a la hora de diseñar la gestión de
ciberseguridad en las organizaciones.
Llevaba tiempo siguiendo el borrador de la publicación efectuada por NIST Special
Publication 800-207
La confianza cero es un paradigma de ciberseguridad centrado en la protección de
recursos y la premisa de que la confianza nunca se otorga implícitamente, sino que debe
evaluarse continuamente.
La arquitectura de confianza cero está basado en el criterio end-to-end para la seguridad
de los datos y los recursos de información que abarca la identidad (entidades personales
y no personales), credenciales, administración de acceso, operaciones, endpoints,
entornos de alojamiento e infraestructura de interconexión.
El enfoque inicial de Zero Trust está en restringir los recursos a aquellos que necesitan
acceder y otorgar solo los privilegios mínimos (por ejemplo, leer, escribir, eliminar)
necesarios para realizar su función predeterminada. No es nada nuevo en concepto pero
si en aplicación de medidas.
La arquitectura tradicional de redes empresariales centrada en la defensa perimetral ha
perdido peso conceptual dado que no permiten la detección y contención del
movimiento lateral de los atacantes ni localizar con los sistemas de defensa los
potenciales indicadores que pudieran subyacer los comportamientos sospechosos.
Confianza Cero. NIST SP 800-207. Una manera de no caer en el exceso de confianza en
el usuario.
La arquitectura "Confianza Cero" se basa en siete principios que recoge el documento
de NIST y que brevemente les acerco.
1.- Toda fuente de datos y los servicios informáticos se consideran recursos. Es
decir, que cualquier elemento, sea cual sea su naturaleza es considerado un recurso.
2- Todo proceso de comunicación en la red debe de estar asegurada
independientemente de la ubicación de la red. Las ubicaciones de recursos de red no
significa espacio de confianza. En otras palabras, si un recurso está en un segmento de
red considerado confiable, no significa que el recurso sea confiable. Es la única manera
de vencer al movimiento lateral de los atacantes.
3.- Los privilegios de acceso a los recursos individuales de la empresa se otorga a
nivel de sesión de usuario. La confianza en la identidad y credenciales del solicitante
se evalúa antes de que se conceda el acceso y basado en el principio de mínimo
privilegio.
4.- El acceso a los recursos está determinado por una política dinámica, incluido el
estado observable de la identidad del cliente, la aplicación / servicio y el activo
solicitante, y puede incluir otros atributos de comportamiento y del entorno. Para
una confianza cero, la identidad del cliente puede incluir la cuenta de usuario (o la
identidad del servicio) y cualquier atributo asociado asignado por la empresa a esa
cuenta o artefactos para autenticar tareas automatizadas. Los atributos de
comportamiento incluyen, entre otros, análisis subjetivos automatizados, análisis de
dispositivos y desviaciones medidas de los patrones de uso observados.
5.- La organización debe supervisar de forma continua midiendo la integridad y la
postura de seguridad de todos los activos propios y asociados. No existe la confianza
inherente al activo. La empresa evalúa la postura de seguridad del activo al evaluar una
solicitud de recursos. Así pues la clave está en un sistema de diagnóstico y mitigación
continuos apoyado por la monitorización permanente de dispositivos, aplicaciones con
un sistema dinámico de parcheo y análisis de vulnerabilidad basado en la proactividad y
prevención de amenazas. Nada fácil llegar hasta ese nivel.
6.- Toda la autenticación y autorización de recursos es dinámica y se aplica
estrictamente antes de que se permita el acceso apoyándose en la reevaluación
permanente de la confianza en la sesión y la comunicación en curso. Algunas
herramientas que apoyan este principio es un buen sistema de gestión de identidades,
asignación de credenciales y requisitos de acceso junto una dinámica gestión de activos.
Esto incluye el uso de autenticación multifactor (MFA) para acceder a algunos o todos
los recursos. Los criterios de monitorización y asignación de acceso a recursos se
ofuscan para que dichas políticas sean difícilmente explotables.Las transacciones del
usuario y sus comunicaciones, según lo definido y aplicado por la política (por ejemplo,
basado en el tiempo, nuevo recurso solicitado, modificación de recursos, actividad
anómala del sujeto detectada) que se esfuerza por lograr un equilibrio de seguridad,
disponibilidad, usabilidad, y rentabilidad. Todo un ejercicio de equilibrio en la
administración de recursos.
7.- La administración tiene obligación de recopilar la mayor cantidad de
información posible sobre el estado actual de los activos, la infraestructura de red,
las comunicaciones y la utiliza para mejorar su postura de seguridad teniendo en
cuenta los cambios en la organización y uso de activos. Una recopilación adecuada
de datos y adelantarse a los cambios es clave para la administración dinámica de
recursos y poder garantizar su seguridad. Si conoces tus recursos a la perfección, su
estado, los cambios y potenciales anomalías que le rodean....mucho mejor.
Brevemente hemos revisado muy por encima los 7 principios. Espero que se animen a
leer el suculento documento que nos aporta NIST. Va a ser primordial en nuestras
mentes "ciberseguras" con el auge de los servicios remotos, el teletrabajo, los sistemas
de recursos federados y otros tantos criterios que están en auge.
Pd. No confíe ni del arquitecto cuando construya algo que debe ser ciberprotegido.
Tampoco confie de lo que ha hecho el arquitecto, aunque sea usted mismo. Confianza
Cero, por favor.