¿Qué es la microsegmentación? La microsegmentación es una técnica de ciberseguridad que permite a las organizaciones gobernar mejor el acceso a la red entre recursos (por ejemplo, el tráfico de servidor a servidor/este-oeste). Al identificar de forma exclusiva cada recurso (por ejemplo, un servidor, una aplicación, un host, un usuario), su organización puede configurar permisos que proporcionen un control detallado del tráfico de datos. Cuando se implementa utilizando los principios de confianza cero, la microsegmentación le permite evitar el movimiento lateral de las amenazas, el compromiso de la carga de trabajo y las infracciones de datos.

Microsegmentación frente a segmentación de red

Aunque la segmentación de la red y la microsegmentación se utilizan a menudo indistintamente, son conceptos completamente diferentes.

El uso más adecuado de la segmentación de la red es para el tráfico norte-sur, es decir, el tráfico que entra y sale de la red. Con la segmentación de red, una entidad, como por ejemplo un usuario, es de confianza una vez se encuentra dentro de una zona designada de la red.

La microsegmentación, por otro lado, se utiliza mejor para el tráfico este-oeste, o el tráfico que se mueve a través del centro de datos o de la red de la nube: de servidor a servidor, de aplicación a servidor, etc. En pocas palabras, la segmentación de la red es como las murallas exteriores y el foso de un castillo, mientras que la microsegmentación es como los guardias que se encuentran en cada una de las puertas interiores del castillo.

Cómo funciona la microsegmentación

Las soluciones de microsegmentación crean zonas seguras que permiten a las empresas aislar las cargas de trabajo entre sí y protegerlas individualmente. Están diseñadas para permitir la partición granular (de ahí el prefijo "micro") del tráfico de red a fin de brindar mayor resistencia a los ciberataques.

Con un enfoque que incluya políticas de microsegmentación, los equipos de TI y de seguridad pueden adaptar las configuraciones a los diferentes tipos de tráfico, creando controles que limiten los flujos de red y de aplicaciones entre las cargas de trabajo a los que están explícitamente permitidos.

La aplicación de reglas de segmentación hasta el nivel de la carga de trabajo o la aplicación permite a TI reducir la superficie de ataque, lo que disminuye el riesgo de que un atacante se mueva de una carga de trabajo o aplicación comprometida a otra.

Por qué los enfoques de segmentación heredados no funcionan

Las soluciones de segmentación de red heredadas se basan en cortafuegos que utilizan direcciones de red para aplicar las reglas. Pero debido a que las redes cambian constantemente, las políticas deben actualizarse continuamente a medida que las aplicaciones y los dispositivos se mueven, lo que plantea un reto para los centros de datos en las instalaciones, en entornos multinube y donde las direcciones IP son efímeras.

Además, los enfoques de segmentación basados en direcciones de red no pueden identificar lo que se está comunicando, por ejemplo, no pueden identificar la identidad del software. Solo pueden decirle cómo se está comunicando, por ejemplo, con la dirección IP, el puerto o el protocolo desde el que se originó la solicitud. Esto significa que, siempre que se consideren seguras, las comunicaciones están permitidas, aunque los equipos de TI y de seguridad no sepan exactamente lo que se intenta comunicar.

Más aún, una vez que una entidad está dentro de una zona segura en la red, la entidad es de confianza, lo que puede conducir a infracciones y, en una red plana, a movimiento lateral.

Por qué es importante la microsegmentación

La microsegmentación es única porque permite a TI basar las políticas y los permisos en la identidad de los recursos, lo que la convierte en el método ideal para crear agrupaciones inteligentes de cargas de trabajo basadas en las características de las cargas de trabajo individuales que se comunican dentro del centro de datos.

Asimismo, la microsegmentación no depende de redes que cambian dinámicamente o de los requisitos comerciales o técnicos que se les impongan, por lo que es más sólida y más fiable para la seguridad de la red. De hecho, es una parte fundamental de un marco de acceso a la red de confianza cero (ZTNA), que ha demostrado simplificar el control de acceso.

También es mucho más sencilla de gestionar: puede proteger un segmento con solo unas pocas políticas basadas en la identidad en lugar de tener cientos de políticas de cortafuegos basadas en la dirección.

Características de la microsegmentación

Algunas de las ventajas técnicas de la microsegmentación son:

• Controles de seguridad y gestión centralizados en todas las redes: dado que la microsegmentación gestiona el tráfico este-oeste en lugar del tráfico norte-sur, sus políticas se mantienen ante cualquier tráfico que pase por los segmentos que gobiernan. Y, puesto que la política está más definida, se obtiene una visibilidad mucho mayor de la actividad de la red que con la segmentación de la misma.
• Políticas de segmentación que se adaptan automáticamente: las políticas se aplican a las cargas de trabajo en lugar de al hardware, por lo que permanecen intactas independientemente de los cambios en la infraestructura. Esto significa que los equipos de seguridad de TI pueden extender un conjunto de controles en cualquier lugar, sin necesidad de que haya tiempo fuera de servicio.
• Protección sin fisuras: las políticas de seguridad abarcan la nube, los contenedores, los centros de datos locales y los entornos de nube híbrida. Esto se debe a que la política es específica para la carga de trabajo, no para el segmento de la red, lo que bloquea todas y cada una de las posibles vulnerabilidades en la cobertura de seguridad.

Ventajas comerciales de la microsegmentación

Seguridad proactiva de la red y de TI

La microsegmentación elimina los obstáculos de seguridad comunes en la segmentación tradicional mediante la creación de políticas basadas en aplicaciones que viajan con todas las aplicaciones y servicios. Como resultado, las posibles infracciones de datos quedan contenidas en los activos afectados, no en toda la red. Algunos servicios de microsegmentación ofrecen incluso una funcionalidad que aprovecha la automatización para identificar todo el software que se comunica, recomendar políticas de confianza cero y permitirle aplicarlas con un solo clic.

Reducción de la vulnerabilidad

En lugar de los controles estáticos que se basan en las direcciones IP, los puertos y los protocolos, los equipos pueden tomar una huella digital criptográfica de cada carga de trabajo para proporcionar una protección uniforme a las cargas de trabajo que operan en un centro de datos interno o en la nube. La toma de huella digital desvincula la seguridad de su carga de trabajo de las construcciones de direcciones IP para evitar problemas con los controles basados en IP.

Evaluación continua de riesgos

La microsegmentación le permite cuantificar la exposición al riesgo midiendo automáticamente la superficie visible de ataque de red para comprender cuántas vías de comunicación de aplicaciones posibles están en uso. Algunos servicios incluso verifican las identidades del software que se comunica cada vez que el software solicita una comunicación, lo que mitiga el riesgo, respalda los mandatos de cumplimiento normativo y proporciona informes de riesgo visualizados.

Segmentación de confianza cero

Como se mencionó anteriormente, un modelo de seguridad de confianza cero se basa en principios de microsegmentación. La política se aplica a las cargas de trabajo, no a los segmentos de red, lo que le permite controlar granularmente el acceso a cualquier recurso en cualquier ubicación si no se puede establecer un contexto suficiente para ninguna conexión.

Por ejemplo, con un modelo de confianza cero (especialmente uno basado en la nube), una empresa podría establecer una política que establezca que los dispositivos médicos solo pueden interactuar con otros dispositivos médicos. Si un dispositivo de punto final o una carga de trabajo se movieran, las políticas de seguridad y los atributos se moverían con ellos en tiempo real.

Muchos proveedores de seguridad en la nube prometen una confianza cero basada en la nube que no pueden mantener. Solo un proveedor ofrece seguridad de confianza cero integral desde la nube que puede proteger su red, aplicaciones y datos confidenciales de las sofisticadas amenazas cibernéticas de la actualidad.

Cómo puede ayudar Zscaler

Zscaler Workload Segmentation (ZWS) se creó desde cero para automatizar y simplificar el proceso de microsegmentación en cualquier entorno de nube o centro de datos. Desarrollado en base a políticas fáciles de entender y basadas en la identidad, con un solo clic puede mejorar la seguridad permitiendo a ZWS revelar el riesgo y aplicar la protección a sus cargas de trabajo, sin hacer ningún cambio en su red o aplicaciones.

Zscaler Workload Segmentation utiliza tecnología basada en identidad de software para brindar protección sin complicaciones con políticas que se adaptan automáticamente a los cambios ambientales. Nunca ha sido tan sencillo eliminar la superficie de ataque de su red y adoptar una protección eficaz de confianza cero.