Zpedia / ¿Qué es la microsegmentación?

¿Qué es la microsegmentación?

La microsegmentación es una técnica de ciberseguridad que permite a las organizaciones gobernar mejor el acceso a la red entre recursos (por ejemplo, el tráfico de servidor a servidor/este-oeste). Al identificar de forma exclusiva cada recurso (por ejemplo, un servidor, una aplicación, un host, un usuario), su organización puede configurar permisos que proporcionen un control detallado del tráfico de datos. Cuando se implementa utilizando los principios de confianza cero, la microsegmentación le permite evitar el movimiento lateral de las amenazas, el compromiso de la carga de trabajo y las infracciones de datos.

Lea "Microsegmentación 101"

Por qué es importante la microsegmentación

La microsegmentación es única porque permite a TI basar las políticas y los permisos en la identidad de los recursos, lo que la convierte en el método ideal para crear agrupaciones inteligentes de cargas de trabajo basadas en las características de las cargas de trabajo individuales que se comunican dentro del centro de datos.

Asimismo, la microsegmentación no depende de redes que cambian dinámicamente o de los requisitos comerciales o técnicos que se les impongan, por lo que es más sólida y más fiable para la seguridad de la red. De hecho, es una parte fundamental de un marco de acceso a la red de confianza cero (ZTNA), que ha demostrado simplificar el control de acceso.

También es mucho más sencilla de gestionar: puede proteger un segmento con solo unas pocas políticas basadas en la identidad en lugar de tener cientos de políticas de cortafuegos basadas en la dirección.

Microsegmentación frente a segmentación de red

Aunque la segmentación de la red y la microsegmentación se utilizan a menudo indistintamente, son conceptos completamente diferentes.

El uso más adecuado de la segmentación de la red es para el tráfico norte-sur, es decir, el tráfico que entra y sale de la red. Con la segmentación de red, una entidad, como por ejemplo un usuario, es de confianza una vez se encuentra dentro de una zona designada de la red.

La microsegmentación, por otro lado, se utiliza mejor para el tráfico este-oeste, o el tráfico que se mueve a través del centro de datos o de la red de la nube: de servidor a servidor, de aplicación a servidor, etc. En pocas palabras, la segmentación de la red es como las murallas exteriores y el foso de un castillo, mientras que la microsegmentación es como los guardias que se encuentran en cada una de las puertas interiores del castillo.

Cómo funciona la microsegmentación

Las soluciones de microsegmentación crean zonas seguras que permiten a las empresas aislar las cargas de trabajo entre sí y protegerlas individualmente. Están diseñadas para permitir la partición granular (de ahí el prefijo "micro") del tráfico de red a fin de brindar mayor resistencia a los ciberataques.

Con un enfoque que incluya políticas de microsegmentación, los equipos de TI y de seguridad pueden adaptar las configuraciones a los diferentes tipos de tráfico, creando controles que limiten los flujos de red y de aplicaciones entre las cargas de trabajo a los que están explícitamente permitidos.

La aplicación de reglas de segmentación hasta el nivel de la carga de trabajo o la aplicación permite a TI reducir la superficie de ataque, lo que disminuye el riesgo de que un atacante se mueva de una carga de trabajo o aplicación comprometida a otra.

Por qué los enfoques de segmentación heredados no funcionan

Las soluciones de segmentación de red heredadas se basan en cortafuegos que utilizan direcciones de red para aplicar las reglas. Pero debido a que las redes cambian constantemente, las políticas deben actualizarse continuamente a medida que las aplicaciones y los dispositivos se mueven, lo que plantea un reto para los centros de datos en las instalaciones, en entornos multinube y donde las direcciones IP son efímeras.

Además, los enfoques de segmentación basados en direcciones de red no pueden identificar lo que se está comunicando, por ejemplo, no pueden identificar la identidad del software. Solo pueden decirle cómo se está comunicando, por ejemplo, con la dirección IP, el puerto o el protocolo desde el que se originó la solicitud. Esto significa que, siempre que se consideren seguras, las comunicaciones están permitidas, aunque los equipos de TI y de seguridad no sepan exactamente lo que se intenta comunicar.

Más aún, una vez que una entidad está dentro de una zona segura en la red, la entidad es de confianza, lo que puede conducir a infracciones y, en una red plana, a movimiento lateral.

Características de la microsegmentación

Algunas de las ventajas técnicas de la microsegmentación son:

  • Controles de seguridad y gestión centralizados en todas las redes: dado que la microsegmentación gestiona el tráfico este-oeste en lugar del tráfico norte-sur, sus políticas se mantienen ante cualquier tráfico que pase por los segmentos que gobiernan. Y, puesto que la política está más definida, se obtiene una visibilidad mucho mayor de la actividad de la red que con la segmentación de la misma.
  • Políticas de segmentación que se adaptan automáticamente: las políticas se aplican a las cargas de trabajo en lugar de al hardware, por lo que permanecen intactas independientemente de los cambios en la infraestructura. Esto significa que los equipos de seguridad de TI pueden extender un conjunto de controles en cualquier lugar, sin necesidad de que haya tiempo fuera de servicio.
  • Protección sin fisuras: las políticas de seguridad abarcan la nube, los contenedores, los centros de datos locales y los entornos de nube híbrida. Esto se debe a que la política es específica para la carga de trabajo, no para el segmento de la red, lo que bloquea todas y cada una de las posibles vulnerabilidades en la cobertura de seguridad.

Algunos proveedores se centran exclusivamente en la microsegmentación. En todos los casos, la solución debe ser compatible con el creciente requisito de "microsegmentación" basada en la identidad (una segmentación más granular y definida por software, también denominada segmentación de red de confianza cero) del tráfico este/oeste en los centros de datos.

Neil MacDonald y Tom Croll, Gartner Market Guide to Cloud Workload Protection (Guía de mercado para la protección de cargas de trabajo en la nube), abril de 2020

Ventajas comerciales de la microsegmentación

Seguridad proactiva de la red y de TI

La microsegmentación elimina los obstáculos de seguridad comunes en la segmentación tradicional mediante la creación de políticas basadas en aplicaciones que viajan con todas las aplicaciones y servicios. Como resultado, las posibles infracciones de datos quedan contenidas en los activos afectados, no en toda la red. Algunos servicios de microsegmentación ofrecen incluso una funcionalidad que aprovecha la automatización para identificar todo el software que se comunica, recomendar políticas de confianza cero y permitirle aplicarlas con un solo clic.

Reducción de la vulnerabilidad

En lugar de los controles estáticos que se basan en las direcciones IP, los puertos y los protocolos, los equipos pueden tomar una huella digital criptográfica de cada carga de trabajo para proporcionar una protección uniforme a las cargas de trabajo que operan en un centro de datos interno o en la nube. La toma de huella digital desvincula la seguridad de su carga de trabajo de las construcciones de direcciones IP para evitar problemas con los controles basados en IP.

Evaluación continua de riesgos

La microsegmentación le permite cuantificar la exposición al riesgo midiendo automáticamente la superficie visible de ataque de red para comprender cuántas vías de comunicación de aplicaciones posibles están en uso. Algunos servicios incluso verifican las identidades del software que se comunica cada vez que el software solicita una comunicación, lo que mitiga el riesgo, respalda los mandatos de cumplimiento normativo y proporciona informes de riesgo visualizados.

Best Practices for Successful Microsegmentation

So, how do you realize those benefits? The specifics are going to look different depending on your industry, regulatory obligations, and more, but a few general best practices should be part of any successful microsegmentation plan:

  • Create detailed, granular least-privileged access policies based on application-level awareness, user identities, and device attributes, limiting access to resources to only what each user or entity requires to do their work.
  • Integrate with identity and access management (IAM) systems to ensure your policies align with user roles and permissions.
  • Implement real-time, continuous monitoring and auditing of network traffic and policy enforcement to detect anomalies or policy violations.
  • Utilize automated tools to deploy and adjust policies in response to changes in your network configuration or security posture.
  • Conduct regular security audits and penetration testing, and keep thorough documentation, to ensure your policies remain effective as well as support compliance reporting and troubleshooting.

Segmentación de confianza cero

Como se mencionó anteriormente, un modelo de seguridad de confianza cero se basa en principios de microsegmentación. La política se aplica a las cargas de trabajo, no a los segmentos de red, lo que le permite controlar granularmente el acceso a cualquier recurso en cualquier ubicación si no se puede establecer un contexto suficiente para ninguna conexión.

Por ejemplo, con un modelo de confianza cero (especialmente uno basado en la nube), una empresa podría establecer una política que establezca que los dispositivos médicos solo pueden interactuar con otros dispositivos médicos. Si un dispositivo de punto final o una carga de trabajo se movieran, las políticas de seguridad y los atributos se moverían con ellos en tiempo real.

Muchos proveedores de seguridad en la nube prometen una confianza cero basada en la nube que no pueden mantener. Solo un proveedor ofrece seguridad de confianza cero integral desde la nube que puede proteger su red, aplicaciones y datos confidenciales de las sofisticadas amenazas cibernéticas de la actualidad.

Cómo puede ayudar Zscaler

Zscaler Workload Segmentation (ZWS) se creó desde cero para automatizar y simplificar el proceso de microsegmentación en cualquier entorno de nube o centro de datos. Desarrollado en base a políticas fáciles de entender y basadas en la identidad, con un solo clic puede mejorar la seguridad permitiendo a ZWS revelar el riesgo y aplicar la protección a sus cargas de trabajo, sin hacer ningún cambio en su red o aplicaciones.

Zscaler Workload Segmentation utiliza tecnología basada en identidad de software para brindar protección sin complicaciones con políticas que se adaptan automáticamente a los cambios ambientales. Nunca ha sido tan sencillo eliminar la superficie de ataque de su red y adoptar una protección eficaz de confianza cero.

¿Desea ver cómo funciona la segmentación de carga de trabajo de Zscaler de primera mano? Visita nuestra página de productos para solicitar una demostración personalizada.

Recursos sugeridos

FAQs

What Is a Workload?

A workload is a process, resource, or group of these (e.g., communications, processing, management, execution) related to an application and its use. In the cloud, workloads also encompass applications themselves. Understanding and managing workloads is a key part of finding and resolving vulnerabilities, securing data and access points, implementing authentication and encryption, and monitoring and mitigating potential threats.

What Is an Example of Microsegmentation?

As a simple example of microsegmentation, suppose a company were to microsegment its hybrid cloud architecture to isolate and protect critical assets (e.g., databases, servers, workstations). Each segment has its own access controls, firewalls, and intrusion detection systems, limiting lateral movement and reducing the blast radius of a breach. A hacker who compromised a user endpoint would have access only to that endpoint’s segment, not to sensitive data or critical infrastructure.

What Are the Disadvantages of Microsegmentation?

Implementing and managing microsegmentation can be complex, especially in large and dynamic networks. Moreover, routing complexity and traffic inspection at segment boundaries can impact performance if your network and security architecture aren’t able to sufficiently scale. To overcome these issues, it’s crucial to invest in the right tools, and the right vendor, for your workloads and their needs.

Why Do We Need Microsegmentation?

Organizations need microsegmentation to protect critical assets in today’s complex digital landscape. Isolated microsegments in a broader network and security infrastructure allow for granular control over communication between network segments, helping to limit lateral movement, reduce the attack surface, and keep breaches contained. With the proliferation of remote work, IoT, and the cloud, microsegmentation offers control and stronger security posture where traditional perimeter-based security falls short.

Who Needs to Segment Networks or Environments?

Microsegmentation is especially important for organizations that deal with sensitive data or operate critical infrastructure, or are subject to regulations like HIPAA and GDPR—including healthcare, finance, government, e-commerce, and many others—but organizations of any size, in any industry, can benefit. Microsegmentation helps them can strengthen security, reinforce data integrity, and minimize the blast radius of breaches.

Will Microsegmentation Reduce Costs?

Microsegmentation can help organizations reduce both capex and opex. By making your infrastructure more secure, it helps prevent data breaches and downtime, ultimately saving on potential financial losses associated with security incidents. Moreover, it can streamline network management, reduce the need for extensive hardware investments, and lower administrative overhead, resulting in operational cost savings.

Why Is Getting Microsegmentation Right Key to Zero Trust?

Effective microsegmentation lets you enforce granular least-privileged access—a key component of a zero trust approach—limiting the potential for lateral movement of threats and reduces the overall attack surface. Because each connection must be verified before it’s allowed, it’s far more difficult for attackers to escalate privileges. This approach aligns with zero trust, strengthening security in a way traditional “assumed trust” perimeter defenses simply aren’t built to do.

What's the Difference Between Firewalls and Microsegmentation?

At the highest level, firewalls are a perimeter security technology, while microsegmentation is an internal security strategy. Firewalls focus on controlling traffic going into or out of a network. Microsegmentation divides the network into isolated segments and enforces granular security policies, often at the individual workload or device level. Microsegmentation controls traffic between these segments, limiting lateral movement and providing fine-grained control over access to resources, especially in complex, cloud-centric environments.