¿Qué es una arquitectura de red de confianza cero?

¿Qué es una Arquitectura de red de confianza cero?

Fundamentalmente, una arquitectura de red de confianza cero es una arquitectura de seguridad construida para reducir la superficie de ataque de una red y evitar el movimiento lateral de las amenazas basada en los principios básicos del enfoque de confianza cero, que John Kindervag esbozó por primera vez en Forrester Research.

En el modelo de seguridad de confianza cero, se deja de lado la noción del perímetro de red, dentro del cual se supone que todos los dispositivos y usuarios son fiables y se les da permisos de acceso amplio. En su lugar, sus datos confidenciales están protegidos detrás de controles de acceso de privilegios mínimos, microsegmentación granular y autenticación multifactor (MFA) que no otorgan confianza implícita al usuario ni al dispositivo. Esta estrategia de gestión de accesos mucho más estricta reduce significativamente el riesgo de que una organización sufra una infracción de datos.

Antes de analizar las diferentes arquitecturas de confianza cero con más detalle, resumamos los antecedentes del acceso a la red de confianza cero (ZTNA) como un marco de seguridad de red. Llamado perímetro definido por software (SDP) en su iteración temprana, ZTNA se ha vuelto popular porque las organizaciones necesitan ofrecer a los usuarios un acceso seguro a las aplicaciones y los datos cuando los usuarios o aquello a lo que desean acceder pueden no estar en un perímetro de seguridad tradicional (algo que los cortafuegos heredados no pueden hacer). Hoy en día, con más trabajadores a distancia que nunca, esto se ha vuelto especialmente importante. Para habilitar este acceso seguro, las organizaciones deben hacer que sus sistemas, servicios, API, datos y procesos estén accesibles en cualquier lugar y en cualquier momento, desde cualquier dispositivo a través de Internet.

Una arquitectura de red de confianza cero proporciona el acceso contextual preciso que el usuario necesita, al tiempo que protege los servicios de los hackers y el malware. En total, ofrece una experiencia de usuario mejorada, una mayor agilidad y adaptabilidad, y una gestión simplificada de las políticas. ZTNA basado en la nube ofrece aún más beneficios, entre los que se incluyen la escalabilidad masiva y la facilidad de adopción.

Gartner definió ZTNA con el fin de proporcionar un modelo que elimine la excesiva confianza que se otorga a los empleados y socios cuando se conectan a las aplicaciones y los datos mediante tecnologías tradicionales como las VPN. En ZTNA no se confía en nada hasta que se demuestra que es digno de confianza, e incluso entonces, la validación de la confianza se reevalúa en tiempo real a medida que cambia el contexto (la ubicación del usuario, el dispositivo, la aplicación, etc.).

Dos enfoques para implementar la arquitectura de red de confianza cero

Existen dos arquitecturas distintas a la hora de ofrecer ZTNA: la iniciada por el punto final y la iniciada por el servicio.

El ZTNA iniciado por el punto final, donde el punto final o usuario final inicia el acceso a una aplicación, se parece más a la especificación SDP original. Un agente (una aplicación de software ligera) instalado en los dispositivos del usuario final se comunica con un controlador, que autentica la identidad del usuario y proporciona conectividad a una aplicación a la que el usuario está autorizado a acceder. El ZTNA iniciado por puntos finales puede ser difícil o incluso imposible de implementar en dispositivos no gestionados (especialmente en dispositivos IoT) debido a la necesidad de instalar algún tipo de agente o software local.

En el ZTNA iniciado por el servicio, un agente ZTNA inicia las conexiones entre los usuarios y las aplicaciones. En este caso, un conector ligero se posiciona frente a las aplicaciones empresariales, ubicadas en el centro de datos o la nube de un cliente, y establece una conexión saliente desde la aplicación solicitada hasta el agente. Una vez que el proveedor identifica al usuario, el tráfico pasará a través del proveedor de servicios ZTNA, que aísla las aplicaciones del acceso directo a través de un proxy. Este enfoque no requiere un agente en el dispositivo del usuario final, lo que lo hace útil para proteger los dispositivos no gestionados (dispositivos de uso propio), así como para otorgar acceso a socios y clientes. Algunos servicios ZTNA iniciados por el servicio pueden utilizar el acceso basado en el navegador para las aplicaciones web.