Cómo la IA y el aprendizaje automático pueden acelerar la segmentación de confianza cero

Una forma de ver la confianza cero es como una estrategia que convierte su confianza implícita excesiva y arriesgada en un modelo de confianza explícita menos arriesgado.    

Este estado de confianza implícita se explica clásicamente con un firewall como punto de demarcación entre una red de confianza (dentro del firewall) y una red que no es de confianza (fuera del firewall). El trabajo del firewall es mantener a los malos actores en el lado no confiable de ese límite.

Pero este enfoque estándar produce un interior "suave y masticable" detrás del firewall porque todo lo que está dentro de esa zona de confianza es implícitamente confiable.   ‍

Los riesgos de la confianza implícita

Es un modelo de seguridad muy simple, y es la forma en que lo estuvimos haciendo durante años, y cómo mucha gente todavía lo está haciendo hoy. Pero una vez que un mal actor está dentro, su vida es fácil con este modelo.

También hay factores que empeoran el riesgo. Por ejemplo, uno puede imaginar que a medida que una compañía crece, la zona de confianza crece. Esto significa que es más probable que haya algo poco confiable dentro.  

En segundo lugar, independientemente de la escala, a medida que las cosas se vuelven más complejas (como tienden naturalmente a hacerlo con el tiempo), aumenta la probabilidad de que algo se meta dentro. Por lo tanto, la escala y la complejidad hacen que los riesgos asociados con ese modelo de confianza implícito crezcan continuamente con el tiempo.

Las iniciativas de Zero Trust requieren conocer la identidad de cada sistema

Ahora, ¿cuál es el desafío de pasar de la confianza implícita a la confianza explícita (o emprender un viaje de confianza cero)?  

Obviamente, una política de segmentación que se aplica al servidor, los puntos de conexión y los dispositivos es la forma de lograr esa transformación en confianza explícita. Pero antes de que pueda tener una política de seguridad precisa que refuerce los controles lo suficiente como para reducir el riesgo, pero que no sea tan frágil como para romper las aplicaciones, necesita saber qué hay en ese entorno. Simplemente hay cosas en su red, y debe saber cuáles son antes de poder aplicar decisiones de segmentación y control de acceso.

La pregunta que debe responder es: ¿Cuál es la identidad de cada sistema en su red?

Durante mucho tiempo, tuve una definición limitada de la palabra identidad tal como se usaba en el espacio de Gestión de Identidad y Acceso (IAM). IAM es una tecnología que se centra principalmente en autenticar a los usuarios para demostrar quiénes dicen ser.  La definición de identidad en ese contexto estaba limitando mi comprensión porque equiparaba "nombre de usuario" y "secreto" como identidad. Y seré honesto, realmente me estoy pateando a mí mismo por tener una perspectiva tan limitada sobre la identidad, es mucho más complejo que eso.

Por ejemplo, en el mundo no tecnológico, mi identidad no es solo mi nombre. Mi nombre es una etiqueta que se usa para referir a mí, pero también soy CTO, empleado de Illumio, padre, hermano, esposo e hijo. Crecí en Ohio, vivo en California y disfruto del whisky de centeno, el senderismo y la cocina. Busco la verdad y creo en el valor de confiar en los demás, escucho, comencé un podcast sobre CTO y me encanta el software y las startups.  

El punto es que mi identidad es mucho más que mi nombre: es un conjunto multidimensional de atributos que se comparten con muchos otros (algunos pueden superponer contigo, la persona que lee esto) y un conjunto de estas cosas que describen mi identidad única.

Uso de inteligencia artificial y aprendizaje automático para la identidad

Al igual que las personas, los sistemas de TI tienen una identidad y tienen un propósito. Los sistemas pueden ser de producción o no producción. Un sistema puede ser un front-end o un back-end, o puede ser un controlador HVAC, una impresora o una máquina de presión arterial. Los sistemas podrían estar en un ala de cuidados intensivos del hospital o podrían estar en el sótano. Los sistemas podrían estar a cargo de decenas de miles de millones de dólares en transferencias, o podrían estar manteniendo el estado del juego en tiempo real para miles de jugadores de Roblox.  

Para la identidad individual del sistema

Las soluciones de inteligencia artificial/aprendizaje automático (AI/ML) son ideales para este tipo de problema que tiene una entrada multidimensional y requiere valores de salida multidimensionales que conforman la identidad del sistema. Esto incluye tanto el comportamiento de los pares de un sistema (con quienes están hablando) como la inspección profunda de paquetes que ve exactamente lo que está sucediendo a nivel de aplicación (lo que están diciendo).

Y mientras que algunos valores son valores binarios como prod vs. non-prod, otros valores como el valor comercial son valores más continuos. Las técnicas de IA/ML pueden proporcionar esos diferentes tipos, así como proporcionar confianza en las predicciones para ayudar a proporcionar sugerencias sobre ese espacio de identidad.

El primer uso de ML de Illumio en la solución Illumio Core fue en esta área. La detección de servicios básicos emplea tanto heurística como técnicas de ML, aprovechando características como las relaciones entre pares.  Esto mejora la productividad del operador del sistema de segmentación a través de un flujo de trabajo de recomendación para esos servicios básicos.

Para la identidad del grupo de aplicaciones

Y para ir un paso más allá, la identidad no se trata solo de un sistema individual. Al igual que los humanos somos individuos, también formamos parte de grupos.  Tengo una familia, y mi familia tiene una identidad de grupo, un conjunto compartido de características que hacen que ese grupo sea único. Ese conjunto de características es diferente de otro grupo.    

Esto también se aplica a los sistemas de TI. Los servidores pueden ser back-end o front-end, pero la suma de un conjunto de servidores individuales constituye una aplicación. Y esa aplicación en su conjunto a menudo debe tratar como una sola unidad, al igual que un grupo de individuos en una familia. Por ejemplo, las instancias de aplicaciones podrían ser muy similares si un sistema de producción tiene un sistema gemelo en el entorno de ensayo que se usa a menudo para las pruebas. También puede ser similar en muchas dimensiones como grupo y debe tratar como tal, incluso si los componentes individuales subyacentes son totalmente diferentes.

Al implementar la segmentación en sus redes, los clientes a menudo quieren crear una barrera alrededor de una aplicación, por lo que conocer la identidad de la aplicación y todos sus miembros es fundamental. Los algoritmos de agrupación de ML y otros enfoques son valiosos aquí.

Para los cambios de identidad del sistema a lo largo del tiempo

El tercer aspecto del problema es el tiempo: las identidades no permanecen fluidas a nivel de sistema individual o de grupo.    

Un problema tradicional es que los sistemas son críticos para alguna función comercial el día en que se construyen, pero con el tiempo, las prioridades cambian, las personas se van, suceden cosas y ese mismo sistema que era crítico ahora ya no es relevante. A medida que cambia su propósito, su identidad cambia con él.  Tal vez ya no se mantenga con los parches más actualizados, lo que significa que es más arriesgado y un objetivo más jugoso para un atacante que desea obtener un punto de apoyo persistente en el entorno (consulte el Sony Pictures Hack). O tal vez cumplió una función crítica para el negocio, pero una nueva generación de aplicaciones acepta nuevos clientes y los usuarios de esta aplicación se están reduciendo.  

Las identidades se transforman con el tiempo. Sin embargo, la política de segmentación debe mantener al día con esos cambios. Los algoritmos de ML/AI no son solo para un análisis puntual; Necesitan ejecutar constantemente, comprender los cambios en los entornos y hacer recomendaciones para mantener la política sincronizada.

Las políticas de seguridad se vuelven frágiles si no se adaptan cuando cambia la identidad y el propósito del sistema. Preguntar continuamente si sus políticas son completas y correctas, y proporcionar comentarios predictivos sobre los lugares donde aparecerán riesgos o grietas, ayudará a los operadores a mantener las cosas seguras.

Dónde encajan la IA y el ML en la segmentación de confianza cero

Por lo tanto, el punto óptimo para la IA/ML en los sistemas de segmentación de confianza cero es:

• Proporcionar sugerencias para la identidad multidimensional de los sistemas
• Proporcionar un nivel más alto de agrupación, pertenencia e identidad de grupo
• Realice un seguimiento continuo de los cambios en la identidad a lo largo del tiempo para informar sobre la integridad y corrección de una política de segmentación de confianza cero    

Las innovaciones en IA y ML pueden servir como herramientas poderosas para esos valiosos humanos de seguridad a quienes confiamos todos los días la tarea de proteger nuestros datos críticos y defendernos contra ataques. Deje que estos sistemas de segmentación impulsados por IA y ML se conviertan en un multiplicador de fuerza en esa batalla interminable.

¿Desea obtener más información sobre la segmentación de Illumio Zero Trust? Contáctenos hoy.