Zero Trust: algo más que un concepto de moda

El concepto Zero Trust viene cobrando cada vez mayor relevancia a lo largo de los últimos meses entre los responsables de seguridad IT corporativa, proveedores de tecnología, consultores, etc. Podríamos decir que se está poniendo de moda para usarlo de comodín en cualquier ocasión en la que sale a relucir la necesidad de mejorar los niveles de seguridad de nuestras empresas y AAPP. Como suele pasar cada vez que un término salta del mundo técnico al lenguaje “marketiniano” -y de ahí a las charlas de pasillo-, el resultado es que en muchas ocasiones no queda muy claro a qué nos estamos refiriendo con Zero Trust…

Hace poco el CISO (Chief Information Security Officer o Responsable de la Seguridad de la Información) de una gran empresa comentaba cómo su CEO (Chief Executive Officer o Máximo Ejecutivo de la empresa), al parecer ejemplo típico de la gerencia de la “vieja escuela” y por tanto total desconocedor de todo lo relacionado con la tecnología, le había preguntado si disponían en la empresa de una estrategia Zero Trust. A esta pregunta, el CISO, sabedor de su desconocimiento, le contestó con rotundidad: «sí, por supuesto, estamos avanzando en su implementación rápidamente», dejándole de esta manera tranquilo.

El CISO sabía perfectamente que dicha estrategia se encontraba aún «en pañales» y que llevaría años hasta poder implantarse de forma efectiva y completa. Pero también sabía la imposibilidad de explicarle al CEO los pormenores de su estrategia, el grado de implantación o los frenos existentes a la misma pues probablemente éste ni siquiera entendía realmente qué significa el concepto Zero Trust y se limitaba a repetir una pregunta procedente de las hojas salmón de algún periódico dominical.

¿Qué es Zero Trust?

Aplicado al mundo de la Seguridad de Sistemas se refiere al hecho de desconfiar por defecto de cualquier conexión, dispositivo, dato o usuario independientemente de que éste se encuentre dentro o fuera de nuestra red corporativa.

Hasta ahora, el paradigma habitual era que el usuario de una red corporativa que se conectaba de forma interna en la red desde su puesto de trabajo o incluso en remoto mediante una VPN clásica lograba acceso a todos los recursos de dicha red por defecto. Para tratar de evitar este evidente problema de seguridad tradicionalmente se ha intentado micro segmentar o dividir la red corporativa en diferentes subredes haciendo más complicado el acceso de los elementos que están en una red hacia o desde los elementos de otra red. Todo ello es complejo de implementar, pero también de mantener pues da lugar a multitud de problemas de gestión y soporte en el entorno de red del cliente.

El concepto Zero Trust viene cobrando cada vez mayor relevancia a lo largo de los últimos meses entre los responsables de seguridad IT corporativa

Sin embargo, en un modelo de red Zero Trust este mismo usuario solo conseguiría acceso a aquellos recursos para los que contara con autorización y siempre después de haber sido correctamente identificado. La solución validaría la identidad del usuario, su contexto y sus permisos (entre otros, se valorarían parámetros como su ubicación, el nivel de seguridad del dispositivo o su estado…) de manera que se limitan considerablemente los daños derivados de un mal uso de los elementos de red y datos por parte del usuario.

También se limitan de manera muy efectiva los efectos de un ataque de suplantación de la identidad de este usuario o una posible infección por malware o ransomware, la cual no podría extenderse indiscriminadamente por la red sino únicamente, y como mucho, tener acceso a los recursos especificados para este usuario. Y puede que ni siquiera a esos recursos pues pueden establecerse medidas de seguridad adicionales para evitar el acceso de un usuario comprometido o infectado con algún malware.

Principales retos del modelo Zero Trust

La implantación de un modelo Zero Trust supone un cambio importante de paradigma en cuanto a cómo operan los usuarios de una red e interactúan entre ellos y con sus aplicaciones y datos. Por lo tanto, es importante ser conscientes del impacto que la adopción de este modelo puedes llegar a tener. Por destacar algunos elementos importantes a considerar podríamos citar los siguientes:

Planificación: implantar un modelo Zero Trust en una organización exige una planificación detallada que incluya los diferentes escenarios tecnológicos de la empresa, sus entornos, tipologías de datos, perfiles de usuarios, medios técnicos, estrategia de adopción “cloud”, fases del proyecto…

Dirección: como en cualquier otro cambio tecnológico es clave involucrar en el mismo a la dirección de la empresa, asegurándonos de que entiende y comparte las metas del proyecto y está dispuesta a colaborar y comprometer los recursos necesarios en su desarrollo.

Usuarios: en muchos casos este modelo simplemente va a hacer más sencilla su actividad diaria y facilitará su acceso a recursos e información, al mismo tiempo que les dota de mayor seguridad. No obstante, es importante que ellos también estén informados y formados sobre el cambio de paradigma que este modelo supone, de manera que colaboren con el mismo y lo adopten dentro sus pautas de trabajo habituales. Un cambio como este no puede hacerse de espaldas al usuario.

Interdependencia: la adopción de Zero Trust va a influir de muy diversas maneras en muchos otros proyectos tecnológicos que simplemente tendrán que adaptarse o modificarse para poder encajar correctamente. Es importante que se tenga en cuenta el impacto que el modelo Zero Trust va a tener sobre las herramientas tecnológicas actuales y futuras de cara al garantizar el normal funcionamiento de todas ellas.

Complejidad y medios técnicos: probablemente mover toda la infraestructura IT de una organización para que funcione bajo un paradigma de Zero Trust conlleva una serie de cambios, recursos técnicos, HW y licencias de SW específicas o personal que pueden no estar al alcance de todas las empresas. Una adecuada planificación y el establecimiento de una estrategia clara con fases bien definidas es crítica para reducir costes y simplificar el proceso al máximo.

Escenario Zero Trust limitado – Accesos remotos

Pero quizás, no es necesario llevarnos toda nuestra infraestructura IT a un modelo de funcionamiento Zero Trust de manera inmediata o de una sola vez. Una muy buena forma de empezar a conocer el concepto y aplicarlo al entorno de cada organización puede ser escoger un uso concreto como puede ser el acceso remoto VPN de los teletrabajadores, ahora tan en boga. El impacto será muy limitado y el coste -tanto en medios técnicos como en tiempo- perfectamente asumible mientras que el beneficio desde el punto de vista de la seguridad es enorme.

Zero Trust, aplicado a los accesos remotos, permite evitar multitud de ataques que han proliferado durante la pandemia como consecuencia del teletrabajo. Recordemos que en un acceso VPN el usuario, una vez identificado en su dispositivo remoto, es ‘teletransportado’ a la red de la empresa junto con su dispositivo y cualquier tipo de malware, ransomware o amenaza que éste pueda contener. Sin embargo, en un acceso Zero Trust el usuario, una vez se valida en su dispositivo, consigue acceso limitado únicamente a aquellas aplicaciones a las que su perfil tiene acceso, pero no a la red corporativa como tal. Por poner un ejemplo muy claro, en el primer escenario con VPN si el dispositivo del usuario contiene un ransomware basado en un gusano, éste llegará a la empresa y se extenderá por toda ella mientras que en el segundo escenario con Zero Trust el ransomware muy probablemente no podrá extenderse pues no tendrá acceso a la red.

Otros ataques que hemos visto crecer de manera exponencial durante la pandemia han sido los que han aprovechado las debilidades en la autenticación multifactor de los accesos remotos VPN mediante

técnicas como SIM swap o Proxy MFA (ataques que permiten la suplantación de identidad de usuarios remotos de VPN incluso aunque estos utilicen sistemas de autenticación multifactor, en teoría más seguros). De nuevo vemos cómo con un acceso Zero Trust la exposición a este tipo de ataques también baja notablemente pues el atacante necesitaría tener acceso a un dispositivo “permitido”, al cual se estará monitorizando constantemente la seguridad.

Por otro lado, una ventaja importante del modelo Zero Trust de acceso remoto es su independencia de la estructura de cortafuegos existente por lo que no se encuentra limitado por ella. Muchas organizaciones pasaron de tener unos pocos usuarios remotos que se conectaban mediante VPN a través de su cortafuegos a multiplicar por 5, 10 o 100 el número de conexiones remotas; lo que conllevó múltiples problemas de rendimiento que no hubieran sucedido de haberse desplegado estos usuarios con una nueva infraestructura Zero Trust de acceso remoto independiente de su cortafuegos.

Como hemos visto, la implementación de un modelo Zero Trust a escala completa en una organización es un proceso complejo que requiere una adecuada planificación para poder acometerse con éxito. No obstante, para muchas organizaciones es perfectamente posible implementar proyectos de Zero Trust parciales en determinados elementos de su red o infraestructura como, por ejemplo, los accesos remotos, de forma sencilla, rápida económica y segura.

Miguel López, country manager de Barracuda Networks