¿Qué es la microsegmentación?

La aplicación de políticas de red es el conjunto de reglas que se utilizan en el entorno de TI para garantizar el control del acceso y la comunicación. Podría ser tan sencillo como mantener la producción y el desarrollo separados para evitar errores humanos. Las reglas de aplicación de políticas más específicas pueden servir para satisfacer las necesidades de cumplimiento, como el aislamiento del entorno de datos de titulares de tarjetas (CDE) para que el resto de la red permanezca fuera del alcance del cumplimiento de las normas de seguridad de datos (DSS) del sector de las tarjetas de pago (PCI).

Los motores de políticas de centros de datos han sido tradicionalmente estrictos, basándose en enfoques estrictos, de "todo o nada", o en listas de exclusión globales sin la posibilidad de establecer excepciones. A medida que las cargas de trabajo se vuelven cada vez más dinámicas y cada vez más empresas adoptan la nube híbrida, los motores de políticas flexibles se han convertido en un elemento imprescindible. De esta forma, se permiten la escalabilidad flexible, las políticas que siguen las cargas de trabajo y la creación de políticas que no dependen de la plataforma.

El proceso de creación de políticas comienza por conocer bien la empresa y los objetivos de seguridad. Se debe encontrar un equilibrio con la política de microsegmentación. Si es demasiado estricta, podría obtener como resultado un entorno poco flexible que dificulte el trabajo libre y autónomo del personal. Si es demasiado débil, las posibilidades de ataque serán incalculables.

El acceso a un mapa completo en tiempo real del entorno de TI puede proporcionarle información sobre cómo y dónde se debe aplicar la política de segmentación. La elección de una solución que pueda aplicar directivas hasta la capa 7, en lugar de hasta la capa 4 habitual, puede ofrecerle aún más ventajas de seguridad. Incluso si un atacante logra acceder al perímetro, contar con las políticas adecuadas puede detenerlo o desviarlo, de forma que no pueda realizar movimientos laterales a través de la red.

Microsegmentación y detección de aplicaciones: obtención de contexto para una acción precisa

La infraestructura y las técnicas utilizadas para distribuir aplicaciones experimentan una transformación significativa, que hace que sea más difícil que nunca para los equipos de TI y de ciberseguridad tener un conocimiento puntual e histórico de toda la actividad de las aplicaciones. Lograr la mejor protección de seguridad posible, la mejor postura de cumplimiento y los niveles de rendimiento de las aplicaciones solo es posible mediante un proceso de detección de aplicaciones que abarque todos los entornos de una organización y las tecnologías de distribución de aplicaciones.

Un proceso eficaz de detección de aplicaciones consta de cuatro elementos esenciales.

1. El primer elemento es la recopilación de datos. Se pueden utilizar diversas técnicas basadas en agentes y en redes para recopilar información detallada sobre la actividad de las aplicaciones tanto en entornos locales como en la nube. Las dos proporcionan un valor significativo, pero la recopilación basada en agentes es fundamental, ya que permite la recopilación de detalles de capa 7 más completos.

2. Los datos sin procesar por sí solos tienen un valor limitado sin contexto, por lo que el segundo elemento clave de la detección de aplicaciones es la organización y el etiquetado. Soluciones como Akamai Guardicore Segmentation agilizan este proceso mediante el uso de una interfaz con las fuentes de datos existentes y el empleo de otros métodos de automatización.

3. El tercer paso para que la detección de aplicaciones sea eficaz es la visualización. La visualización reúne los datos contextualizados en una interfaz visual adaptable que es crucial para el equipo de seguridad y otras partes interesadas en la aplicación. Las vistas históricas y en tiempo real de la actividad de la aplicación tienen fines distintos. Por eso es importante implementar un enfoque de visualización que admita los dos tipos de datos.

4. El cuarto y último elemento fundamental de un enfoque de detección de aplicaciones es un método claro e intuitivo para tomar decisiones basadas en la información obtenida gracias al aumento en la visibilidad de las aplicaciones. Este es el punto estratégico de interacción entre la detección de aplicaciones y la microsegmentación.

La microsegmentación es sin duda la manera de proteger las redes. No solo es la respuesta al desgaste del perímetro, sino que también es rentable y eficaz en cuanto mano de obra. Sin embargo, para que la microsegmentación se implante correctamente, no puede hacerse de golpe y porrazo. Es necesaria una previsión estudiada y minuciosa para que todo salga bien a la primera.

Hay algunas cosas que debe tener en cuenta para establecer las bases para una implementación de microsegmentación satisfactoria.

En un principio, es necesario comprender lo que se debe segmentar. La implementación de la microsegmentación reflejará sus necesidades, así que decida si está segmentando para reducir el riesgo general o por motivos de cumplimiento. A continuación, ocúpese de los objetivos a corto plazo y, después, de los objetivos a largo plazo, cuando ya disponga de una microsegmentación base que proteja los activos.

Una vez que haya terminado, obtenga una imagen completa de su entorno, pero sepa que su imagen inicial está incompleta. Puede (y debe) añadir más a medida que obtenga más información sobre sus conexiones. El etiquetado adecuado de los activos es fundamental. Además, la flexibilidad en el proceso de etiquetado es clave, ya que las etiquetas deben reflejar su entorno lo más de cerca posible. Por último, identifique sus fuentes de información y planifique una forma de extraer datos de ellas.

Estos pasos garantizarán el camino hacia una implementación de microsegmentación sólida, fructífera y exitosa.

El aumento de los centros de datos en la nube híbrida, SaaS e IaaS, así como de la virtualización, ha dado lugar a una infraestructura de TI compleja y difícil de proteger. En respuesta, la microsegmentación se está convirtiendo rápidamente en la práctica recomendada para la seguridad de las empresas que trabajan en este tipo de entornos dinámicos. Esta tecnología ofrece un valor variado, desde la segmentación de zonas hasta el aislamiento de aplicaciones o la restricción de servicios.

Un punto importante a tener en cuenta es elegir un enfoque centrado en la red o en las aplicaciones. Mientras que un enfoque centrado en la red gestiona el tráfico por puntos de estrangulamiento de red, controles de terceros o aplicación de red, un enfoque centrado en las aplicaciones implementa agentes en la propia carga de trabajo. Este último enfoque ofrece ventajas, como una mejor visibilidad y una mayor oportunidad de escalar, y es una tecnología completamente independiente de la infraestructura. A fin de prepararse para el futuro, la elección correcta proporcionará cobertura para cualquier entorno, desde sistemas heredados, servidores bare metal y entornos virtualizados, hasta contenedores y la nube pública.

La visibilidad sin igual que obtiene con un modelo centrado en las aplicaciones es lo que garantizará que no se caiga en las trampas más comunes en lo que respecta a la microsegmentación: la sobresegmentación de sus aplicaciones. La práctica recomendada es comenzar con lo que llamamos “victorias tempranas”. Estas tendrán necesidades empresariales obvias en su núcleo, y serán políticas de segmentación sencillas que se podrán poner en práctica y crear valor inmediato. Los ejemplos pueden ser tan sencillos como separar entornos, como la producción y el desarrollo, o cumplir las normativas de cumplimiento mediante la protección de aplicaciones o datos esenciales.

Por último, la práctica recomendada consiste en solo buscar fuera de la microsegmentación para ver dónde los controles complementarios pueden reforzar su estrategia de seguridad general. La detección de filtraciones y la respuesta ante incidentes son dos ejemplos excelentes que pueden funcionar a la perfección con la microsegmentación y que son potentes para su uso en un paquete todo en uno. Sin estos, su empresa debe forzar el funcionamiento de soluciones de terceros en armonía sin filtraciones ni riesgos mayores, lo cual es todo un reto y una molestia administrativa innecesaria.

Pensar en estas prácticas recomendadas de microsegmentación al inicio de su proyecto puede aligerar la tarea de implementación de esta tecnología revolucionaria, de forma que pueda afrontar con seguridad los obstáculos comunes desde el principio.

Los firewalls perimetrales tradicionales diseñados para el tráfico norte-sur no pueden ofrecer el control y el rendimiento necesarios para proteger las aplicaciones actuales y las cargas de trabajo dinámicas. Técnicamente, las organizaciones pueden utilizar firewalls dentro del perímetro para implementar un modelo de seguridad por capas, pero es poco práctico para la mayoría de las empresas debido al gasto y la cantidad de tiempo necesarios para configurar y gestionar las políticas necesarias. Como resultado, las empresas actuales necesitan una mejor forma de defender grandes volúmenes de tráfico de red este-oeste contra los ciberataques.

Con una red relativamente plana, cualquier puerto o servidor puede comunicarse con otro. Esto significa que, si un firewall de servidor sufre alguna filtración, un atacante podrá moverse fácilmente a cualquier otro en la red. 

La prevención del movimiento lateral dentro del centro de datos proporciona una fuerte defensa contra los atacantes que superan las medidas de seguridad perimetral. La alternativa de firewall de microsegmentación puede ayudar a las empresas a aplicar controles de políticas cada vez más granulares para supervisar la actividad este-oeste y limitar el impacto de una filtración.

La aplicación de políticas de segmentación en la capa de aplicación (capa 7) evita eficazmente el movimiento lateral, ya que dicha capa es donde los servicios de red se integran con el sistema operativo. Los avances más recientes en microsegmentación a este nivel permiten a la seguridad de TI visualizar y controlar la actividad en la capa 7, así como utilizar el enfoque tradicional de la capa 4. De esta forma, en lugar de depender de direcciones IP y puertos, las organizaciones pueden utilizar procesos específicos para definir políticas de segmentación dentro del centro de datos. También permite a los administradores cumplir los requisitos específicos de seguridad y cumplimiento mediante la definición de políticas basadas en atributos como procesos, identidad de usuario o nombres de dominio completamente cualificados.

La microsegmentación también ofrece varias ventajas con respecto a los métodos tradicionales, lo que la convierte en la opción ideal como firewall de segmentación interno para el centro de datos. En lugar de introducir puntos de estrangulamiento en la infraestructura, ejecuta agentes en los sistemas que se pueden organizar entre sí para crear y aplicar políticas de segmentación definidas por software. Por ello, la microsegmentación proporciona muchos más puntos de visibilidad desde los que descubrir y contextualizar la actividad en sus entornos, independientemente de la infraestructura subyacente actual y a dónde le lleve su estrategia de TI en evolución. Esto también permite crear y gestionar políticas sin cambios de infraestructura ni tiempo de inactividad. Además, no solo es mucho más rápido y sencillo, sino que también le ofrece un conjunto de controles que los equipos de seguridad de TI pueden ampliar en cualquier lugar. Con una alternativa de firewall de microsegmentación (enlace a https://www.akamai.com/es/glossary/what-is-microsegmentation), si mueve una carga de trabajo del centro de datos a la nube, sus políticas migrarán con ella automáticamente.

Introducida inicialmente por Forrester, Zero Trust es una alternativa a la tradicional estrategia de seguridad de "fosos y castillos". Aunque eran populares en el pasado, las defensas centradas en el perímetro ya no son tan eficaces actualmente. Con las amenazas que acechan cada vez más el tráfico este-oeste, las empresas necesitan nuevos enfoques de seguridad por niveles para garantizar una postura de seguridad sólida.

El marco Zero Trust asume que todos los usuarios, dispositivos, sistemas o conexiones ya están en riesgo de forma predeterminada, tanto si se originan dentro como fuera de la red. La parte implicada llega al desarrollar una arquitectura que apoya este principio mientras que permite que las actividades comerciales legítimas continúen sin interrupción o latencia. Este nuevo marco ha resonado con los profesionales de la seguridad de redes desde sus inicios. Sin embargo, tanto los proveedores como las empresas han tardado años en averiguar cómo hacerlo en entornos sin ahogarse en la complejidad de la infraestructura.

Hoy en día, el marco Zero Trust de Forrester y las tecnologías que lo permiten, como la microsegmentación, han madurado hasta el punto en el que resulta práctico implementarlo a escala en organizaciones de cualquier tamaño. Aunque no existe un único proveedor de seguridad que aborde todos los aspectos del marco Zero Trust de Forrester, la microsegmentación puede ayudar a los equipos de seguridad de redes a progresar significativamente la madurez de sus iniciativas Zero Trust.

El primer paso hacia la consecución de Zero Trust es comprender al completo su entorno y los activos críticos que intenta proteger. Una buena solución de microsegmentación puede ayudarle a recopilar información detallada de cargas de trabajo, terminales y redes. Esto le ayudará a comprender las relaciones y dependencias entre las cargas de trabajo y los terminales, junto con sus patrones de comunicación normales.

A continuación, podrá utilizar estos datos para crear la base de su programa Zero Trust, empezando por sus activos de mayor prioridad. Mediante controles de segmentación granulares, puede crear microperímetros alrededor de aplicaciones y entornos específicos que solo permiten actividades que los equipos autorizan explícitamente. Zero Trust consiste principalmente en implementar políticas que deniegan todas las acciones que no están expresamente permitidas y verificadas. Sin embargo, la microsegmentación definida por software también proporciona a los equipos de seguridad de TI la agilidad necesaria para modificar rápidamente las políticas y satisfacer nuevos casos de uso de seguridad o requisitos empresariales que cambian continuamente. 

Además de servir como base de visibilidad y políticas para Zero Trust, una solución de microsegmentación también debe supervisar continuamente sus entornos para detectar posibles amenazas e infracciones de sus políticas de Zero Trust. Esto garantizará que su estrategia Zero Trust conserve su solidez incluso cuando sus aplicaciones, sistemas y entornos cambien con el tiempo.

En cuanto al cumplimiento normativo, las empresas se enfrentan al entorno cada vez más dinámico en el que trabajamos actualmente. A medida que las propias normativas se vuelven más estrictas, las auditorías de seguridad son cada vez más comunes y las consecuencias de la falta de cumplimiento son mayores. Esto incluye multas, daños a la reputación de la empresa e incluso pérdidas de ingresos hasta que se cumpla la normativa.

La segregación física de la infraestructura de TI ya no es suficiente. Las cargas de trabajo se han vuelto dinámicas y el CDE no es estático, incluidos los niveles que permiten el escalado automático o los cambios impredecibles. Las redes y aplicaciones que están en el ámbito de las normativas PCI DSS son complejas. Pueden abarcar varias máquinas, incluir entornos híbridos como contenedores y máquinas virtuales e incluso trabajar en varias ubicaciones físicas o zonas horarias.

La microsegmentación se está convirtiendo en una opción popular para el cumplimiento normativo, como PCI DSS. La solución adecuada puede proporcionar una visibilidad sin precedentes del tráfico y los flujos de datos en toda la infraestructura, incluidos los entornos híbridos. Por lo tanto, puede ayudarle a segmentar su red, reduciendo el alcance y limitando la comunicación a nivel de proceso. Esto puede mantener su CDE protegido, incluso de movimientos laterales o giros si se produce una filtración. Un motor de políticas flexible para la creación de reglas le garantizará el control definitivo sobre su enfoque de microsegmentación, cumpliendo requisitos más detallados, como permisos y comportamientos para protocolos no seguros.

Para el cumplimiento de PCI y mucho más, la microsegmentación puede permitirle obtener una visibilidad potente de todas las aplicaciones y cargas de trabajo a nivel de proceso, crear políticas flexibles que se centren en el cumplimiento normativo y aplicarlas para controlar una postura de seguridad general que le permita estar preparado para cualquier auditoría.