ZTNA (Acceso a la red de confianza cero)

Cómo funciona el acceso a la red de confianza cero (ZTNA)

En el modelo ZTNA, el acceso solo se aprueba una vez que un usuario es autenticado por el servicio ZTNA, que luego proporciona una aplicación o acceso a la red a través de un túnel seguro y cifrado. El servicio evita que los usuarios vean aplicaciones o datos a los que no tienen licencia para acceder, lo que evita el movimiento lateral de un posible atacante. Este tipo de movimiento es algo que de otro modo sería posible si un dispositivo o agente no autorizado pudiera usar un endpoint comprometido o credenciales aprobadas para pivotar a otros servicios o aplicaciones.

Con ZTNA, las aplicaciones protegidas también están ocultas para que no se detecten, y el acceso a ellas está restringido a través del servicio ZTNA (también conocido como agente de confianza) a un conjunto de entidades preaprobadas. Un corredor de confianza solo otorgará acceso a una entidad si se cumplen las siguientes condiciones:

• La entidad (un usuario, dispositivo o red) proporciona al agente las credenciales correctas.
• El contexto en el que se aplicar el acceso es válido.
• Se siguieron todas las políticas aplicables para el acceso dentro de ese contexto dado.

En ZTNA, las políticas de acceso son personalizables y se pueden cambiar según las necesidades del sistema. Por ejemplo, además de los requisitos anteriores, puede implementar un control de acceso basado en la ubicación o en el dispositivo que impida que los dispositivos vulnerables o no aprobados se conecten a una red protegida.

Beneficios del acceso a la red de confianza cero (ZTNA)

En primer lugar, dado que el acceso a las aplicaciones está aislado del acceso a la red en el marco ZTNA, se reduce la exposición de la red a la infección o al acceso de dispositivos comprometidos.

En segundo lugar, los modelos ZTNA solo realizan conexiones salientes. Esto ayuda a garantizar que las infraestructuras de red y aplicaciones sean invisibles para los usuarios no autorizados o no aprobados.

En tercer lugar, una vez que se autoriza a un usuario, el acceso a la aplicación se aprovisiona de forma individual; Los usuarios solo pueden acceder a las aplicaciones a las que se les otorgó acceso explícitamente en lugar de disfrutar de un acceso completo a la red.

Finalmente, dado que ZTNA está definido por software, los gastos generales de administración de dispositivos y aplicaciones se pueden reducir sustancialmente.

Casos de uso de acceso a la red de confianza cero (ZTNA)

Aquí hay algunos casos de uso populares que ilustran el poder de los modelos de seguridad de ZTNA.

Reemplazo de VPN

Las VPN son lentas, relativamente inseguras y pueden ser difíciles de gestionar. ZTNA se está convirtiendo rápidamente en el modelo de seguridad preferido que reemplaza a VPN para aprovisionar acceso remoto a redes centrales.

Reducción de los riesgos de terceros y proveedores

Las licencias de acceso y las transferencias de datos hacia o desde terceros o proveedores externos son una brecha de seguridad inherente para su infraestructura de TI. Con ZTNA, puede reducir estos riesgos cerciorar de que los usuarios externos nunca obtengan acceso a una red segura a menos que estén autorizados y que, incluso con acceso, solo tengan acceso a aplicaciones o bases de datos específicas para las que tienen acceso aprobado.

Implementación de acceso a la red de confianza cero (ZTNA)

Puede implementar ZTNA en su organización de la siguiente manera:

• A través de la integración de la puerta de enlace, en la que cualquier tráfico que intente cruzar un límite de red será filtrado por la puerta de enlace.
• A través de una WAN segura definida por software que puede optimizar y automatizar el acceso a la red mediante una pila de seguridad integrada en cada dispositivo de red.
• A través de Secure Access Service Edge (SASE) que proporciona seguridad WAN definida por software a través de un dispositivo virtual en la nube.

ZTNA es reconocida como una de las mejores prácticas de ciberseguridad. Lo mejor de ZTNA es que no requiere un rediseño significativo de su red existente para implementarlo. Sin embargo, dado que cualquier esfuerzo de TI requiere la incorporación de personas y dispositivos y la redefinición de políticas, y garantizar la aceptación de las partes interesadas, los responsables de la toma de decisiones deben considerar lo siguiente antes de asociar con un proveedor de soluciones ZTNA:

• ¿La solución lo ayuda a proteger los datos y las aplicaciones con microperímetros?
• ¿Puede proteger los datos en tránsito?
• ¿Tiene segmentación de denegación predeterminada y diseño y pruebas de políticas granulares?
• ¿Se puede implementar independientemente de su infraestructura existente?
• ¿Proporciona alertas de infracción?
• ¿Qué tipo de disposiciones de seguridad de carga de trabajo están disponibles?
• ¿La solución proporciona segmentación basada en el usuario, control de acceso remoto y prevención de movimiento lateral?
• ¿Hay segmentación a nivel de dispositivo, detección de dispositivos desconocidos y cuarentena de dispositivos?
• ¿Existe contención predeterminada, incluso antes de que se identifiquen las amenazas?
• ¿Qué tipos de visibilidad tienen los usuarios y qué tipos de auditorías están disponibles?
• ¿Qué tipos de integraciones se incluyen? Considere lo siguiente:
• Orquestación con Chef, Puppet o Ansible
• Orquestación de plataformas de contenedores con Red Hat OpenShift, Kubernetes o Docker
• Analítica de seguridad con Splunk e IBM QRadar
• Herramientas de gestión de vulnerabilidades como Qualys, Tenable o Rapid7
• Herramientas de nube pública como AWS Cloud Formation, AWS GuardDuty y Azure
• ¿Qué tan rápido puedo segmentar mis entornos de red?
• ¿Cómo se pueden aprovechar mis inversiones existentes, como firewalls de host, conmutadores y equilibradores de carga, para aplicar la segmentación en sistemas heredados e híbridos?
• ¿Qué tipos de integraciones de API REST son compatibles? Las herramientas importantes que se deben verificar incluyen OneOps, Chef, Puppet, Jenkins, Docker y OpenStack Heat / Murano