¿Qué es la protección de cargas de trabajo? La protección de cargas de trabajo es la suma de controles y protocolos de seguridad en la nube que protegen las comunicaciones de cargas de trabajo entre entornos. Interrelacionada con la seguridad de las cargas de trabajo en la nube, la protección de las cargas de trabajo mitiga las vulnerabilidades causadas por riesgos inherentes a la seguridad, como las configuraciones erróneas. También es un elemento clave de la gestión de la postura de seguridad en la nube (CSPM).

¿Por qué es importante la protección de cargas de trabajo?

Las aplicaciones en la nube se han vuelto fundamentales para las operaciones comerciales y a los empleados les resultaría difícil hacer su trabajo si no tuviesen acceso a ellas. Para aumentar la productividad departamental, las empresas están adoptando servicios en la nube como la infraestructura en la nube de proveedores como Amazon Web Services (AWS), Microsoft Azure y Google Cloud Platform. A menudo, las organizaciones combinan servicios SaaS, PaaS e IaaS de una variedad de proveedores, creando un entorno multinube.

A medida que las organizaciones de todo el mundo han trasladado sus operaciones de sus instalaciones a la nube, la protección de las cargas de trabajo en la nube se ha convertido en una prioridad para los equipos de seguridad.

Centrados en la seguridad

Los proveedores de servicios en la nube mencionados anteriormente (especialmente los más grandes) tienen una ciberseguridad sólida e integrada, y a menudo promueven sus infraestructuras seguras como una ventaja competitiva. Sin embargo, estos proveedores de nube utilizan modelos de responsabilidad compartida, en los que los proveedores de nube son responsables de la seguridad de la propia infraestructura de nube, mientras que los clientes de nube tienen la responsabilidad de lo que reside en la nube y lo que se comunica, es decir, las aplicaciones, las cargas de trabajo y los datos.

Para ello, ahora hay una gran variedad de soluciones de seguridad en el mercado para proteger las cargas de trabajo que viajan hacia y desde la nube. Se han hecho cada vez más populares al quedar claro que las arquitecturas de seguridad tradicionales no pueden seguir el ritmo de las amenazas modernas. Para entender por qué es así, veamos brevemente cómo se protegían las cargas de trabajo en el pasado y cómo han cambiado con el tiempo sus necesidades de protección.

Cómo protegíamos tradicionalmente nuestras cargas de trabajo

Las tecnologías heredadas basadas en la red, como los cortafuegos o las máquinas virtuales, daban una protección adecuada de la carga de trabajo cuando los negocios se hacían en las instalaciones y los equipos de TI tenían un volumen de datos mucho menor del que preocuparse. Estos métodos resistieron relativamente bien porque los ciberataques no eran tan avanzados o intrusivos como ahora y, además, el uso de las aplicaciones en la nube aún no era omnipresente.

Ni que decir tiene que el mundo se ha transformado un poco desde el cambio de década. Ahora los empleados no solo trabajan desde todas partes, sino que la nube y las aplicaciones nativas en ella se han vuelto necesarias para la productividad diaria.

Los profesionales de la informática y la seguridad han descubierto que la tecnología heredada no se adapta bien a los entornos de la nube. Estos entornos son elásticos, están poco acoplados a la infraestructura y carecen de un perímetro estático en el que colocar los controles de seguridad. Además, la mayoría de las empresas utilizan una combinación de proveedores de servicios en la nube y el centro de datos para alojar aplicaciones y comunicar flujos de trabajo, lo que complica la tarea de obtener visibilidad consistente sobre ellos.

Esto significa que las aplicaciones y los servicios deben estar en el centro, y no en los márgenes, de la planificación de la seguridad.

La dinámica cambiante

En lugar de en las rutas de red por las que pasan las aplicaciones, los controles deben estar vinculados directamente a la identidad de las aplicaciones y los servicios que se comunican. Ya no basta con definir el software por su dirección o ruta de tráfico: los controles basados en la dirección son susceptibles de cambiar, especialmente en un entorno de nube, lo que obliga a los equipos de seguridad a crear más y más reglas para compensar.

La naturaleza efímera de la nube presenta múltiples desafíos para los equipos de seguridad. Las tecnologías de seguridad heredadas se basan en un modelo de confianza que ya no es válido en el panorama de amenazas actual. Los perímetros han casi desaparecido, el cifrado dificulta la inspección del tráfico y la clasificación de los datos distribuidos requiere abundantes recursos. Al mismo tiempo, todos estos desafíos hacen que la nube sea especialmente atractiva para los atacantes.

Amenazas comunes en la protección de la carga de trabajo

A medida que la nube crece, también lo hace la cantidad de amenazas a sus datos. El panorama actual de las amenazas contempla una amplia gama de ataques elusivos y potentes que, sin una protección adecuada de la carga de trabajo, pueden causar fácilmente estragos en una organización. Algunas de estas amenazas incluyen:

• Ransomware en la nube: los entornos de la nube no son inmunes a los ataques de malware y ransomware, que se infiltran en dichos entornos para retener datos confidenciales a cambio del pago de un rescate.
• Ataques a la cadena de suministro: estos ataques intentan obtener acceso mediante la implantación de una puerta trasera en los productos, normalmente de software, que las organizaciones objetivo utilizan. Esto permite a los atacantes aplicar revisiones automáticas o hacer actualizaciones de software "troyanizadas" que abren la puerta al malware y a otros ataques.
• Pérdida de datos: aunque no es una amenaza por definición, este es uno de los mayores riesgos de la informática en la nube. La pérdida de datos suele deberse a puntos ciegos en la protección, lo que puede provocar la exposición de dichos datos, ya sea por error del usuario o por una acción maliciosa.

Además de prevenir estos y otros riesgos de la nube, la protección de la carga de trabajo ofrece otros beneficios sustanciales, que trataremos en la siguiente sección.

Beneficios de seguridad de la protección de cargas de trabajo

Al añadir controles en torno a aplicaciones específicas, en lugar de en torno a cada dispositivo o usuario, la protección de la carga de trabajo le ayuda a responder a preguntas como:

• ¿Qué aplicaciones se están comunicando?
• ¿Cuáles deben comunicarse?
• ¿Los sistemas adecuados se comunican entre sí sin permitir el tráfico malicioso?

Al conocer la respuesta a estas cuestiones, puede permitir que únicamente las cargas de trabajo verificadas se comuniquen en su entorno de nube pública, privada o híbrida, mitigando el riesgo y ofreciendo el máximo nivel de protección frente a la infracción de datos. Estas son algunas de las formas en las que la protección eficaz de la carga de trabajo proporciona a su equipo una ventaja de seguridad:

Menor complejidad

El seguimiento de activos e inventarios de políticas es un proceso difícil, y asignar flujos de datos en una nube es una tarea compleja, porque los servicios pueden cambiar de ubicación, aumentando el número de puntos de datos que se deben supervisar y administrar. La protección de la carga de trabajo simplifica el seguimiento y la protección, y anticipa el impacto del cambio al centrarse en las aplicaciones y no en el entorno en el que se comunican.

Protección consistente independientemente de la ubicación

Las herramientas de seguridad tradicionales que utilizan direcciones IP, puertos y protocolos como plano de control no son adecuadas para los entornos en la nube. La naturaleza dinámica de la nube hace que estos controles de seguridad estáticos no sean fiables, ya que pueden cambiar en cualquier momento y varias veces a lo largo de un día. Para contrarrestar este problema, las plataformas de protección de cargas de trabajo designan la protección en función de las propiedades del propio software.

Evaluación continua de los riesgos

La mayoría de los profesionales de la seguridad saben que sus redes corporativas son endebles y pueden verse vulneradas, pero la mayoría no puede cuantificar el nivel de riesgo que estas redes representan para la organización, particularmente en relación con la exposición a las aplicaciones. La solución de protección de carga de trabajo adecuada puede medir su superficie de ataque de red visible en tiempo real para comprender cuántas vías de comunicación de aplicaciones posibles están en uso.

Mejores prácticas para la protección de la carga de trabajo

La protección de las cargas de trabajo comienza con la selección de la plataforma adecuada. A continuación, le ofrecemos algunos consejos que le ayudarán a orientarse hacia un potente software de protección de la carga de trabajo:

• Integre prácticas de DevSecOps: una estrategia de DevSecOps integra la seguridad en todo el ciclo de vida del desarrollo de software (SDLC). Esto garantizará que los equipos de DevOps no tengan que preocuparse por las posibles vulnerabilidades a la hora de crear y desplegar aplicaciones.
• Utilice segmentación con confianza cero: la segmentación ya es una estrategia probada para ayudar a frenar la infiltración y el movimiento de las amenazas cibernéticas, y la segmentación con políticas de confianza cero implementadas servirá para eliminar dicho movimiento basándose en principios de privilegios mínimos y autenticación basada en el contexto.
• Adopte una plataforma de protección de cargas de trabajo en la nube (CWPP): una CWPP eficaz puede ofrecer control y visibilidad uniformes para máquinas físicas, máquinas virtuales, contenedores como Kubernetes y cargas de trabajo sin servidor, estén donde estén.

El papel de una plataforma de protección de la carga de trabajo en la nube (CWPP)

La segmentación de la carga de trabajo es una estrategia de protección central para las cargas de trabajo, ya que elimina el acceso excesivo que permiten las redes planas. Estas redes permiten a los atacantes moverse lateralmente y comprometer las cargas de trabajo en entornos de nube y centros de datos. Al segmentar (o aislar) las aplicaciones y eliminar las vías innecesarias, cualquier compromiso potencial se limitará al activo afectado, lo que hace que se reduzca esencialmente el "radio de explosión".

La segmentación de aplicaciones y cargas de trabajo (también conocida como microsegmentación) le permite crear grupos inteligentes de cargas de trabajo basados en las características de las cargas de trabajo que se comunican entre sí. Como tal, la microsegmentación no depende de las redes que cambian dinámicamente ni de los requisitos empresariales o técnicos que se les imponen, lo que significa que es una seguridad más sólida y fiable.

Cómo puede ayudar Zscaler

Zscaler Workload Segmentation (ZWS) es una forma nueva y mucho más sencilla de segmentar cargas de trabajo de aplicaciones con un solo clic. ZWS aplica protección basada en la identidad a sus cargas de trabajo, sin ningún cambio en la red. Zscaler Workload Segmentation proporciona lo siguiente:

• Evita el movimiento lateral del malware y el ransomware en los servidores, las cargas de trabajo en la nube y los ordenadores de sobremesa, y detiene las amenazas con una seguridad de confianza cero.
• Microsegmentación genuinamente sencilla, impulsada por el aprendizaje automático, que automatiza la creación de políticas y la gestión continua.
• Visibilidad unificada de las aplicaciones que se comunican en sus instalaciones y en las nubes públicas

También cuantifica la exposición al riesgo en función de cuán crítico es el software que se comunica, y utiliza el aprendizaje automático para recomendar el menor número de políticas de seguridad de confianza cero, lo que reduce drásticamente la probabilidad de que se produzca una filtración de datos, a la vez que resulta fácil de gestionar.