¿Desea ver cómo funciona la segmentación de carga de trabajo de Zscaler de primera mano? Visita nuestra página de productos para solicitar una demostración personalizada.
Aunque la segmentación de la red y la microsegmentación se utilizan a menudo indistintamente, son conceptos completamente diferentes.
El uso más adecuado de la segmentación de la red es para el tráfico norte-sur, es decir, el tráfico que entra y sale de la red. Con la segmentación de red, una entidad, como por ejemplo un usuario, es de confianza una vez se encuentra dentro de una zona designada de la red.
La microsegmentación, por otro lado, se utiliza mejor para el tráfico este-oeste, o el tráfico que se mueve a través del centro de datos o de la red de la nube: de servidor a servidor, de aplicación a servidor, etc. En pocas palabras, la segmentación de la red es como las murallas exteriores y el foso de un castillo, mientras que la microsegmentación es como los guardias que se encuentran en cada una de las puertas interiores del castillo.
Las soluciones de microsegmentación crean zonas seguras que permiten a las empresas aislar las cargas de trabajo entre sí y protegerlas individualmente. Están diseñadas para permitir la partición granular (de ahí el prefijo "micro") del tráfico de red a fin de brindar mayor resistencia a los ciberataques.
Con un enfoque que incluya políticas de microsegmentación, los equipos de TI y de seguridad pueden adaptar las configuraciones a los diferentes tipos de tráfico, creando controles que limiten los flujos de red y de aplicaciones entre las cargas de trabajo a los que están explícitamente permitidos.
La aplicación de reglas de segmentación hasta el nivel de la carga de trabajo o la aplicación permite a TI reducir la superficie de ataque, lo que disminuye el riesgo de que un atacante se mueva de una carga de trabajo o aplicación comprometida a otra.
Las soluciones de segmentación de red heredadas se basan en cortafuegos que utilizan direcciones de red para aplicar las reglas. Pero debido a que las redes cambian constantemente, las políticas deben actualizarse continuamente a medida que las aplicaciones y los dispositivos se mueven, lo que plantea un reto para los centros de datos en las instalaciones, en entornos multinube y donde las direcciones IP son efímeras.
Además, los enfoques de segmentación basados en direcciones de red no pueden identificar lo que se está comunicando, por ejemplo, no pueden identificar la identidad del software. Solo pueden decirle cómo se está comunicando, por ejemplo, con la dirección IP, el puerto o el protocolo desde el que se originó la solicitud. Esto significa que, siempre que se consideren seguras, las comunicaciones están permitidas, aunque los equipos de TI y de seguridad no sepan exactamente lo que se intenta comunicar.
Más aún, una vez que una entidad está dentro de una zona segura en la red, la entidad es de confianza, lo que puede conducir a infracciones y, en una red plana, a movimiento lateral.
La microsegmentación es única porque permite a TI basar las políticas y los permisos en la identidad de los recursos, lo que la convierte en el método ideal para crear agrupaciones inteligentes de cargas de trabajo basadas en las características de las cargas de trabajo individuales que se comunican dentro del centro de datos.
Asimismo, la microsegmentación no depende de redes que cambian dinámicamente o de los requisitos comerciales o técnicos que se les impongan, por lo que es más sólida y más fiable para la seguridad de la red. De hecho, es una parte fundamental de un marco de acceso a la red de confianza cero (ZTNA), que ha demostrado simplificar el control de acceso.
También es mucho más sencilla de gestionar: puede proteger un segmento con solo unas pocas políticas basadas en la identidad en lugar de tener cientos de políticas de cortafuegos basadas en la dirección.
Algunas de las ventajas técnicas de la microsegmentación son:
Neil MacDonald y Tom Croll, Gartner Market Guide to Cloud Workload Protection (Guía de mercado para la protección de cargas de trabajo en la nube), abril de 2020
La microsegmentación elimina los obstáculos de seguridad comunes en la segmentación tradicional mediante la creación de políticas basadas en aplicaciones que viajan con todas las aplicaciones y servicios. Como resultado, las posibles infracciones de datos quedan contenidas en los activos afectados, no en toda la red. Algunos servicios de microsegmentación ofrecen incluso una funcionalidad que aprovecha la automatización para identificar todo el software que se comunica, recomendar políticas de confianza cero y permitirle aplicarlas con un solo clic.
En lugar de los controles estáticos que se basan en las direcciones IP, los puertos y los protocolos, los equipos pueden tomar una huella digital criptográfica de cada carga de trabajo para proporcionar una protección uniforme a las cargas de trabajo que operan en un centro de datos interno o en la nube. La toma de huella digital desvincula la seguridad de su carga de trabajo de las construcciones de direcciones IP para evitar problemas con los controles basados en IP.
La microsegmentación le permite cuantificar la exposición al riesgo midiendo automáticamente la superficie visible de ataque de red para comprender cuántas vías de comunicación de aplicaciones posibles están en uso. Algunos servicios incluso verifican las identidades del software que se comunica cada vez que el software solicita una comunicación, lo que mitiga el riesgo, respalda los mandatos de cumplimiento normativo y proporciona informes de riesgo visualizados.
Como se mencionó anteriormente, un modelo de seguridad de confianza cero se basa en principios de microsegmentación. La política se aplica a las cargas de trabajo, no a los segmentos de red, lo que le permite controlar granularmente el acceso a cualquier recurso en cualquier ubicación si no se puede establecer un contexto suficiente para ninguna conexión.
Por ejemplo, con un modelo de confianza cero (especialmente uno basado en la nube), una empresa podría establecer una política que establezca que los dispositivos médicos solo pueden interactuar con otros dispositivos médicos. Si un dispositivo de punto final o una carga de trabajo se movieran, las políticas de seguridad y los atributos se moverían con ellos en tiempo real.
Muchos proveedores de seguridad en la nube prometen una confianza cero basada en la nube que no pueden mantener. Solo un proveedor ofrece seguridad de confianza cero integral desde la nube que puede proteger su red, aplicaciones y datos confidenciales de las sofisticadas amenazas cibernéticas de la actualidad.
Zscaler Workload Segmentation (ZWS) se creó desde cero para automatizar y simplificar el proceso de microsegmentación en cualquier entorno de nube o centro de datos. Desarrollado en base a políticas fáciles de entender y basadas en la identidad, con un solo clic puede mejorar la seguridad permitiendo a ZWS revelar el riesgo y aplicar la protección a sus cargas de trabajo, sin hacer ningún cambio en su red o aplicaciones.
Zscaler Workload Segmentation utiliza tecnología basada en identidad de software para brindar protección sin complicaciones con políticas que se adaptan automáticamente a los cambios ambientales. Nunca ha sido tan sencillo eliminar la superficie de ataque de su red y adoptar una protección eficaz de confianza cero.
¿Desea ver cómo funciona la segmentación de carga de trabajo de Zscaler de primera mano? Visita nuestra página de productos para solicitar una demostración personalizada.
Microsegmentación de confianza cero para la nube híbrida
Visite la página webZscaler Workload Segmentation
Leer la hoja de datosMicrosegmentación de confianza cero: todo se trata de los datos
Leer el blogZscaler Private Access
Visite nuestra página web