Lo que necesita saber para una confianza cero efectiva en la nube
Una estrategia de seguridad de cero confianza significa algo completamente diferente en los entornos de nube que en las instalaciones. Aprenda cómo lograr una verdadera confianza cero en la nube.
El término confianza de cero se usa en varios contextos en la actualidad. El primero está orientado a la red y se centra en los puertos, el tráfico de red y el comportamiento de las aplicaciones. Para implementar un modelo de confianza cero centrado en la red que haga hincapié en los comportamientos y políticas, los equipos de seguridad y operaciones deben centrarse en dos conceptos clave:
- Primero, la seguridad deberá integrarse en las cargas de trabajo, y deberá moverse con las instancias y los datos a medida que migran entre los entornos de nube interna y pública.
- En segundo lugar, el comportamiento real de las aplicaciones y servicios que se ejecutan en cada sistema deberá comprenderse mucho mejor, y las relaciones entre los sistemas y las aplicaciones necesitarán un escrutinio más intenso que nunca para facilitar un modelo de operaciones altamente restringido y sin confianza.
Un elemento crítico de cualquier estrategia de seguridad en la nube, y que debe implementarse antes que otras de muchas maneras, es el descubrimiento y la administración del inventario. A medida que las cargas de trabajo en la nube se mueven, deben ser catalogadas y rastreadas automáticamente dentro del entorno de nube en particular en el que se ejecutan. Un desafío mayor es definir qué aplicaciones y servicios se están ejecutando en una nube híbrida, determinar qué comunicaciones deben permitirse y luego mantener vigilancia continua en todos los entornos a medida que las cargas de trabajo y las aplicaciones cambian y cambian con el tiempo. La mayoría de los equipos de seguridad no tienen la visibilidad en sus entornos de aplicación para facilitar esto, y muchos carecen del tiempo necesario para aprender qué son los buenos comportamientos, también.
Políticas de confianza cero en la nube
Para que un modelo de confianza cero funcione de manera efectiva en la nube, los equipos de seguridad y operaciones deberán integrar las políticas de seguridad directamente en las instancias de carga de trabajo tanto en sus centros de datos como en los entornos de nube. Al crear una capa de aplicación de políticas que viaja con cargas de trabajo donde sea que vayan, las organizaciones tienen una posibilidad mucho mayor de proteger los datos, independientemente de dónde se ejecute la instancia.
De alguna manera, esto desplaza la política de seguridad y el control de acceso a las instancias individuales en lugar de hacerlo dentro de la propia red, pero los diseños de arquitectura de nube híbrida no se adaptan fácilmente a los modelos tradicionales de segmentación de redes. Los activos dinámicos como instancias virtuales, que se ejecutan en tecnología como VMware internamente o en AWS o Azure, y los contenedores son difíciles de colocar detrás de los puntos de aplicación de red fijos. Por lo tanto, las organizaciones pueden adoptar una estrategia de microsegmentación de cero confianza que solo permite que el tráfico fluya entre los sistemas aprobados y las conexiones, independientemente del entorno en el que se encuentren.
Un aspecto completamente nuevo de la estrategia de cero confianza en la nube complementa el enfoque de la red: la administración de identidades y los permisos. Como todos los activos en un entorno de nube son esencialmente objetos definidos por software que se comunican a través de un plano posterior de un proveedor uniforme, un plano de control que impone atributos de identidad como la asignación de privilegios y la política funciona en conjunto con comportamientos y definiciones de red para aislar y controlar las interacciones de la carga de trabajo.
El uso de herramientas como imágenes de instancia y agrupación de contenedores, junto con herramientas de orquestación como Kubernetes o las disponibles de los principales proveedores de IaaS y PaaS, los equipos pueden crear políticas de confianza de afinidad basadas en las definiciones de identidad y privilegios evaluadas y aplicadas por el hipervisor del proveedor y la infraestructura definida por software.
Desafortunadamente, la forma en que se crea y aplica esta capa de control de identidad es específica del entorno del proveedor individual y rara vez se traduce de un entorno a otro. Donde los controles basados en la red pueden aplicarse mediante un enfoque unificado para acceder a las reglas de control que permiten o restringen puertos, protocolos y servicios, y pueden habilitarse con un dispositivo central de firewall u otra plataforma, las definiciones de identidad y las políticas generalmente se adaptan al proveedor ya que sus permisos se adaptan específicamente al entorno de nube en sí.
Para lograr una verdadera confianza cero en el modelo de nube, debe existir una combinación de políticas de permisos de identidad e red, preferiblemente con el perfil de comportamiento de la aplicación habilitado. Ninguna opción de proveedor en la nube lo habilita por completo, lo que puede llevar a algunas organizaciones a herramientas de terceros que generalmente se basan en agentes e incluyen un controlador de políticas independiente que evalúa la configuración de la red, la identidad y los comportamientos de las aplicaciones al tomar decisiones de control de acceso. En el futuro, esta capacidad probablemente se integrará más en los entornos de proveedores de nube individuales, pero habilitar esto para implementaciones de múltiples nubes probablemente llevará algún tiempo.
