¿Qué es la microsegmentación?

Definición de microsegmentación

La microsegmentación es una técnica de ciberseguridad que permite a las organizaciones gobernar mejor el acceso a la red entre recursos (por ejemplo, el tráfico de servidor a servidor/este-oeste). Al identificar de forma exclusiva cada recurso (por ejemplo, un servidor, una aplicación, un host, un usuario), su organización puede configurar permisos que proporcionen un control detallado del tráfico de datos. Cuando se implementa utilizando principios de confianza cero, la microsegmentación le permite detener el movimiento lateral de las amenazas, evitar el compromiso de la carga de trabajo y detener las filtraciones de datos.

Microsegmentación frente a segmentación de red

Aunque la segmentación de la red y la microsegmentación se utilizan a menudo indistintamente, son conceptos completamente diferentes.

El uso más adecuado de la segmentación de la red es para el tráfico norte-sur, es decir, el tráfico que entra y sale de la red. Con la segmentación de red, una entidad, como por ejemplo un usuario, es de confianza una vez se encuentra dentro de una zona designada de la red.

La microsegmentación, por otro lado, se utiliza mejor para el tráfico este-oeste, o el tráfico que se mueve a través del centro de datos o de la red de la nube: de servidor a servidor, de aplicación a servidor, etc. En pocas palabras, la segmentación de la red es como las murallas exteriores y el foso de un castillo, mientras que la microsegmentación es como los guardias que se encuentran en cada una de las puertas interiores del castillo.

Cómo funciona la microsegmentación

Las soluciones de microsegmentación crean zonas seguras que permiten a las empresas aislar las cargas de trabajo entre sí y protegerlas individualmente. Están diseñadas para permitir la partición granular (de ahí el prefijo "micro") del tráfico de red a fin de brindar mayor resistencia a los ciberataques.

Con un enfoque que incluya políticas de microsegmentación, los equipos de TI y de seguridad pueden adaptar las configuraciones a los diferentes tipos de tráfico, creando controles que limiten los flujos de red y de aplicaciones entre las cargas de trabajo a los que están explícitamente permitidos.

La aplicación de reglas de segmentación hasta el nivel de la carga de trabajo o la aplicación permite a TI reducir la superficie de ataque, lo que disminuye el riesgo de que un atacante se mueva de una carga de trabajo o aplicación comprometida a otra.

Por qué los enfoques de segmentación heredados no funcionan

Las soluciones de segmentación de red heredadas se basan en cortafuegos que utilizan direcciones de red para aplicar las reglas. Pero debido a que las redes cambian constantemente, las políticas deben actualizarse continuamente a medida que las aplicaciones y los dispositivos se mueven, lo que plantea un reto para los centros de datos en las instalaciones, en entornos multinube y donde las direcciones IP son efímeras.

Además, los enfoques de segmentación basados en direcciones de red no pueden identificar lo que se está comunicando, por ejemplo, no pueden identificar la identidad del software. Solo pueden decirle cómo se está comunicando, por ejemplo, con la dirección IP, el puerto o el protocolo desde el que se originó la solicitud. Esto significa que, siempre que se consideren seguras, las comunicaciones están permitidas, aunque los equipos de TI y de seguridad no sepan exactamente lo que se intenta comunicar.

Más aún, una vez que una entidad está dentro de una zona segura en la red, la entidad es de confianza, lo que puede conducir a infracciones y, en una red plana, a movimiento lateral.

¿Por qué es importante la microsegmentación?

La microsegmentación es única porque permite a TI basar las políticas y los permisos en la identidad de los recursos, lo que la convierte en el método ideal para crear agrupaciones inteligentes de cargas de trabajo basadas en las características de las cargas de trabajo individuales que se comunican dentro del centro de datos. 

Asimismo, la microsegmentación no depende de redes que cambian dinámicamente o de los requisitos comerciales o técnicos que se les impongan, por lo que es más sólida y más fiable para la seguridad de la red. De hecho, es una parte fundamental de un marco de acceso a la red de confianza cero (ZTNA), que ha demostrado simplificar el control de acceso.

También es mucho más sencilla de gestionar: puede proteger un segmento con solo unas pocas políticas basadas en la identidad en lugar de tener cientos de políticas de cortafuegos basadas en la dirección.

Características de la microsegmentación

Algunas de las ventajas técnicas de la microsegmentación son:

• Controles de seguridad y gestión centralizados en todas las redes: dado que la microsegmentación gestiona el tráfico este-oeste en lugar del tráfico norte-sur, sus políticas se mantienen ante cualquier tráfico que pase por los segmentos que gobiernan. Y, puesto que la política está más definida, se obtiene una visibilidad mucho mayor de la actividad de la red que con la segmentación de la misma.
• Políticas de segmentación que se adaptan automáticamente: las políticas se aplican a las cargas de trabajo en lugar de al hardware, por lo que permanecen intactas independientemente de los cambios en la infraestructura. Esto significa que los equipos de seguridad de TI pueden extender un conjunto de controles en cualquier lugar, sin necesidad de que haya tiempo fuera de servicio.
• Protección sin fisuras: las políticas de seguridad abarcan la nube, los contenedores, los centros de datos locales y los entornos de nube híbrida. Esto se debe a que la política es específica para la carga de trabajo, no para el segmento de la red, lo que bloquea todas y cada una de las posibles vulnerabilidades en la cobertura de seguridad.