Qué definiciones de confianza cero se equivocan y cómo corregirlas

Hace años, tenía un automóvil que llevaba una insignia que representaba lo peor del marketing engañoso. El logotipo plateado en 3 dimensiones deletreaba el acrónimo PZEV, que significa Vehículo de Cero Emisiones Parciales.

Si tu reacción inicial es que esto suena oxímoron, tienes buenos instintos. En este caso, la descripción es sorprendentemente precisa.

El problema es que esta función anunciada es esencialmente inútil. Lo que este término engañoso y la insignia prominente describen con precisión es un vehículo que tiene un motor de combustión interna que emite contaminación como su única fuente de propulsión, pero no emite ningún contaminante cuando EL MOTOR ESTÁ APAGADO.

Una insignia más honesta sería PGG para indicar que usaron juntas bastante buenas en el sistema de combustible para evitar emisiones por la evaporación de la gasolina. Aún así, el problema básico es que el cero parcial es inexistente y oximorónico.

Odio ser el hereje aquí, pero no puedo evitar notar que el cero está bien definido:

0,1 no es cero.

Tampoco lo es .0001.

Incluso 0.00000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000

Zero Trust y el principio de mínimo privilegio

Ahora cambiemos de los automóvil y la aritmética básica a la seguridad de la red informática.

Un principio clave de la seguridad de la red Zero Trust (y no, no es un "inquilino") es que debe implementar el principio de privilegios mínimos , que incluye en su definición que debe haber cero privilegios excesivos. El privilegio mínimo, o el privilegio mínimo absoluto requerido para que una transacción funcione correctamente, no es lo mismo que el privilegio menor, que es necesario y loable, pero no suficiente para establecer Zero Trust.

Un ejemplo simple de los problemas aquí involucra un recurso de red que expone un sitio web en el puerto 80 de la dirección IP w.x.y.z. Bloquear el acceso a todos los puertos que no sean el puerto 80 es un gran paso en la dirección correcta. Sin embargo, esto aún permite que cualquier dirección de cliente acceda a este puerto cuando solo ciertos usuarios realmente necesitan ser permitidos. Ese es un exceso de privilegios que se puede eliminar permitiendo solo ciertas direcciones IP de origen del cliente.

Pero esto conduce a un escenario en el que los usuarios autorizados pueden intentar llegar a todos los recursos expuestos en el puerto 80 y pueden hacerlo tanto para las operaciones GET que forman parte del caso de uso previsto como, por ejemplo, las operaciones PUT, que no lo son. Restringir aún más el acceso para evitar las operaciones PUT y permitir solo GET a un único recurso sitio web específico son las restricciones finales que nos llevan al privilegio mínimo de trabajo (MWP), el privilegio mínimo requerido para implementar el caso de uso previsto.

MWP es la configuración de privilegios mínimos que se logra para un caso de uso determinado. Cada una de las restricciones de comportamiento posteriores descritas anteriormente reduce la superficie de ataque y se acerca a MWP, pero solo cuando se elimina el último exceso de privilegios podemos hablar de implementar Zero Trust.

Zero Trust no es un viaje, pero el trabajo para llegar allí sí lo es

Y esto nos lleva a la afirmación común de que Zero Trust es un "viaje" que parece implicar un estado sin sentido de Zero Trust parcial. Es común escuchar discusiones sobre "niveles" de Zero Trust como si hubiera un espectro de posturas de seguridad de Zero Trust por las que se puede viajar.

Zero Trust no es un viaje, es el destino.

Cuando las personas mencionan el "viaje" de Zero Trust, lo que realmente quieren decir es que el trabajo para lograr Zero Trust es un viaje. Los pasos hacia este destino son útiles e importantes, pero deben diferenciar del logro del objetivo final que es Zero Trust.

Es cierto que la exageración y la terminología laxa forman parte de cualquier industria, pero en ciertos casos, van demasiado lejos y engañan de una manera que puede causar daños a largo plazo, especialmente en ciberseguridad. El gran riesgo para la seguridad es que conduce a una relación con un proveedor o solución que puede acercarlo a Zero Trust pero que no tiene un plan o capacidad para llevarlo hasta el destino.

Es imposible tener cero parcial nada.

Zero Trust tiene que ver con la libertad y la seguridad. Si las aplicaciones consumen servicios de red que implementan Zero Trust, esas aplicaciones no tienen que incluir una lógica compleja y frágil para defender de los malos actores. Su plataforma de infraestructura Zero Trust garantizó que esos riesgos fueron eliminados.

Confianza cero: la superficie de ataque mínima posible

Por ejemplo, cuando se encuentra en un juzgado de EE. UU., puede estar seguro de su seguridad porque hay una sola entrada con un magnetómetro que escanea a cada persona que ingresa, lo que garantiza que nadie trajo nada malicioso adentro (Zero Trust). Si hay otra entrada sin tales medidas de seguridad (superficie de ataque reducida), entonces no se puede respaldar la garantía de ausencia de amenazas y todos deben preocupar por su seguridad. En este escenario de dos entradas, el hecho de que la mayoría de las personas (las que no tienen nada malicioso) pasen por la interfaz segura no significa que no haya seguridad.

La diferencia entre una superficie de ataque reducida y Zero Trust (superficie de ataque mínima posible) es si permite la libertad de no preocupar por la autodefensa. Solo la verdadera Confianza cero puede permitir a los desarrolladores de aplicaciones dejar de lado las capacidades defensivas en su aplicación, reduciendo así el costo, la complejidad y el tiempo de comercialización.

Muchos proveedores le venderán una solución que puede hacerlo más seguro de lo que está ahora, y eso tiene algún valor. Pero es importante comprender cómo debe llegar al destino de Zero Trust y si pueden llevarlo allí.

Podemos pensar en Zero Trust como una postura de seguridad que es la mejor que podemos tener, dado que debemos permitir cierta interacción de red para brindar los beneficios del servicio. Es posible obtener esta definición de Zero Trust a partir de algunas de las soluciones de seguridad disponibles en la actualidad.

Para ciertas aplicaciones y servicios basados en la red, el costo de implementar tales soluciones será mucho menor que el costo de implementar sin ellas, el costo de una infracción. Un buen lugar para comenzar este análisis es comprender cuál es el privilegio mínimo de trabajo para sus aplicaciones.

Los propietarios de aplicaciones deberán comprender los requisitos de seguridad de su aplicación para determinar cómo Zero Trust es rentable en términos comerciales generales. Pero a medida que el entorno de ciberseguridad evoluciona y se vuelve más sofisticado, las organizaciones descubrirán que no pueden permitir el lujo de no emplear Zero Trust porque simplemente implementar menos confianza no es suficiente.

La segmentación de Confianza cero de Illumio lo ayuda a lograr la confianza cero

Si bien Zero Trust es una estrategia de seguridad, no un producto o solución específicos, Forrester valida la segmentación de Zero Trust (ZTS), también llamada microsegmentación, como un pilar fundamental y estratégico de cualquier arquitectura de Zero Trust. ZTS no promete ayudarlo a alcanzar Zero Trust completo, pero es una tecnología crítica para Zero Trust.

ZTS asume que las infracciones son inevitables y se prepara para ellas segmentando la red y estableciendo un acceso con privilegios mínimos. Cuando se producen infracciones, ZTS ayuda a contener su propagación deteniendo el movimiento lateral a través de la red.

La plataforma Illumio ZTS es la primera plataforma de la industria para la contención de brechas en la superficie de ataque híbrido.

Con Illumio ZTS, puede:

• Vea el riesgo: visualice continuamente cómo se comunican las cargas de trabajo y los dispositivos
• Establecer directiva: Establezca directivas granulares que solo permitan la comunicación deseada y necesaria
• Detenga la propagación de infracciones: aísle automáticamente las infracciones restringiendo el movimiento lateral de forma proactiva o durante un ataque activo

¿Qué es ZTS? Lea más aquí.

Contáctenos hoy si está listo para obtener más información sobre ZTS y cómo encaja en su estrategia de Zero Trust.