Seguridad en el centro de datos y la nube: por qué necesitamos una revolución

Presentamos un serial de blogs del CTO de Illumio, PJ Kirner, que cubrirá conceptos clave para ayudarlo a pensar en el centro de datos y la seguridad en la nube de una manera nueva, y realinear su enfoque con los requisitos cambiantes en todos los entornos de aplicaciones.

Las revoluciones ocurren por una buena razón. Son el resultado de una divergencia de expectativas y realidad que causa una frustración reprimida que impulsa la necesidad de cambio. Las viejas formas ya no se alinean con los nuevos requisitos y la presión alcanza un punto de ebullición en el que no hay otra opción que hacer ese cambio. 

Las evoluciones en las aplicaciones, el centro de datos y la nube llevaron la seguridad al límite, donde las viejas formas como los cuellos de botella y los enfoques basados en la red ya no se alinean con los nuevos requisitos de los equipos de aplicaciones. Estos equipos se acostumbraron a los nuevos modelos de utilización de recursos y entrega de aplicaciones y no hay vuelta atrás. Es hora de una revolución en la seguridad.

Presión del centro de datos

Vimos que el centro de datos evoluciona rápidamente en la última década y media, lo que nos permite emplear mejor los recursos, alcanzar nuevos niveles de escala y movernos más rápido que nunca. Atrás quedaron los días de asumir que sus aplicaciones eran más o menos estáticas y todas vivían en su centro de datos privado.

Los nuevos niveles de consumo, escala y velocidad crearon nuevos desafíos y presión para los equipos de seguridad.

• La virtualización abstrajo los recursos centrales del centro de datos de computación, red y almacenamiento, lo que hace que las cargas de trabajo sean más portátiles y adaptables, al tiempo que hace que las aplicaciones sean más escalables y resistentes.
• La nube creó entornos elásticos bajo demanda que nos permiten satisfacer nuestras necesidades de infraestructura bajo demanda, facilitando el consumo y haciendo más eficiente la utilización.
• Los contenedores son cada vez más comunes en los entornos actuales, lo que permite una forma rápida de desarrollar, construir y empaquetar aplicaciones y servicios.
   

Presión de las aplicaciones

La infraestructura no es la única área de evolución e innovación. Vimos un cambio similar en la forma en que desarrollamos y entregamos aplicaciones. Gracias a la integración continua y la entrega continua (CI/CD), nuestras expectativas a lo largo del ciclo de vida de la entrega de software (SDLC) evolucionaron. Ahora esperamos que el software se desarrolle y entregue de manera más rápida y fluida que los enfoques tradicionales basados en lanzamientos.

Para muchos, atrás quedaron los días de distintos ciclos de lanzamiento en los que los equipos podían entrar en una sala y planear los detalles para una próxima fecha de lanzamiento. Cada semana y, en algunos casos, todos los días o incluso varias veces al día, se desarrolla un nuevo código y se pone en producción.

Las aplicaciones monolíticas fueron reemplazadas por arquitecturas de microservicios. Las propias aplicaciones y las arquitecturas de servicios relacionadas también se volvieron más complejas y sus componentes más conectados. Las aplicaciones dependen de los datos y los servicios en todo el entorno, lo que lleva a una comunicación Este-Oeste exponencialmente mayor de la que vimos en el pasado.

Más interconexiones significan vías más abiertas, lo que puede conducir a una mayor superficie de ataque para defender y más riesgo para el negocio. Además, la naturaleza efímera de los contenedores, además de la conectividad entre esos entornos, crean un conjunto completamente nuevo de desafíos para la seguridad.

El movimiento DevOps reunió a desarrolladores y equipos de operaciones para alimentar esta necesidad de agilidad de aplicaciones e infraestructura. Pero la primera generación de este movimiento dejó la seguridad fuera del circuito. Para muchos, comprometer con la seguridad se consideraba un obstáculo para el progreso y la filosofía de despliegues rápidos y, en algunos casos, hacía que la seguridad se eludiera por completo.

La seguridad no siguió el ritmo

La evolución en la infraestructura y las aplicaciones del centro de datos impulsó el movimiento de las organizaciones que se vuelven más impulsadas por el software y se mueven más rápido que nunca. La seguridad siempre fue importante, pero a medida que las organizaciones se vuelven más dependientes del software para impulsar su negocio, se vuelve cada vez más crítico obtener la seguridad correcta para minimizar el riesgo comercial. Equivocar puede significar pérdida de datos, impacto en los ingresos, efecto duradero en la marca e incluso sanciones relacionadas con el cumplimiento. La seguridad no siguió el ritmo de la evolución que vimos en la infraestructura y las aplicaciones.

Las soluciones tradicionales basadas en la red para hacer cumplir la política no solo son poco prácticas, sino que pueden ser francamente imposibles de diseñar e implementar. Dado que las aplicaciones son una suma de sus partes, a veces distribuidas en centros de datos e incluso en la nube, la complejidad de aplicar políticas de manera consistente puede ser un gran desafío. Si a esto le sumamos el hecho de que la infraestructura de aplicaciones es cada vez más dinámica, mantener la política sincronizada con el movimiento y la escala puede ser casi imposible.

Uno de los objetivos de la evolución de la seguridad es alejar el equilibrio del beneficio del atacante y aprovechar las fortalezas del defensor.

Incluso los atacantes evolucionaron para derrotar los últimos enfoques de seguridad. Cambiar el equilibrio a favor del defensor requiere un modelo que pase de ser reactivo a las amenazas a un modelo que cambie el juego de manera proactiva, devolviendo el control al defensor. Para hacer eso, debemos abordar la seguridad de una manera nueva y pensar de manera diferente sobre los entornos de aplicaciones y cómo los protegemos.

Los enfoques de seguridad actuales pueden ser un bache en el camino, ralentizando el progreso, si no un obstáculo total. Al continuar siguiendo el camino tradicional, existe el riesgo de que los equipos de desarrollo busquen formas de evitar la seguridad para continuar avanzando al ritmo que necesitan para seguir siendo eficientes.

Esta necesidad de eficiencia es una de las razones por las que debemos repensar la seguridad y alinearla mejor con las evoluciones que vimos en el centro de datos.

Seguridad en evolución para entornos de aplicaciones modernas

Si bien la mayoría de las soluciones de seguridad actuales se basan en viejas suposiciones de que las cosas se mueven más lentamente y son más o menos estáticas, sabemos que la realidad ya no es cierta.

Incluso si aún no está sintiendo el impacto total, las compañías están cada vez más impulsadas por el software, las aplicaciones se mueven más rápido y los entornos de aplicaciones se vuelven más complejos y heterogéneos, lo que exige una revolución en el centro de datos y la seguridad en la nube.

Tecnologías como la virtualización y la IaaS abstrajeron la infraestructura para alinear mejor con los requisitos de las aplicaciones. Necesitamos pensar en la seguridad de manera similar.

Ver las cargas de trabajo en el contexto de la aplicación y los procesos de negocio es la mejor manera de comprender el riesgo y crear políticas. También es el único lenguaje común que todos los equipos de la organización pueden entender. Un equipo de desarrollo de aplicaciones no piensa en su entorno de aplicaciones en el contexto de la red (direcciones IP y puertos). Lo piensan en el contexto de los componentes de esa aplicación, cómo se relacionan y cómo funcionan juntos.

Lo mismo ocurre con los propietarios de procesos empresariales que piensan en su proceso, las aplicaciones y los servicios relacionados y cómo trabajan juntos para abordar los requisitos empresariales.

Este cambio de perspectiva es fundamental y un primer paso para abrir la puerta a un nuevo enfoque. Es la única forma de crear seguridad que se adapte a los entornos de aplicaciones modernos que se distribuyen en plataformas y ubicaciones, mover y escalando dinámicamente para satisfacer las demandas.

En mi próxima publicación, hablaré sobre por qué un mapa centrado en la aplicación es fundamental y cómo se convierte en la base para repensar y evolucionar la seguridad.

Nota del editor: Lea la siguiente publicación, "Necesitas un mapa para evolucionar la seguridad".