El modelo de arquitectura de confianza cero (Zero Trust Architecture, ZTA)

Hoy en día el modelo de Arquitectura de Confianza Cero (ZTA, por sus siglas en inglés) es el nuevo paradigma de defensa al que las empresas deben aspirar para garantizar la seguridad de sus infraestructuras de TI. El concepto de “perímetro a defender” ha sido superado.

Por qué la Arquitectura de Confianza Cero (ZTA)

La infraestructura de TI de las empresas se ha vuelto cada vez más compleja.
Una sola empresa puede gestionar varias redes internas y oficinas remotas con su infraestructura local, conexiones remotas y/o móviles y servicios en la nube.
Las técnicas de protección tradicionales, que hasta ahora habían adoptado las empresas, resultan obsoletas y ya no son eficaces para contrarrestar las amenazas provenientes de la web.
Por lo tanto, es necesario un cambio en el enfoque de defensa de los sistemas de TI de las empresas, con un cambio radical de paradigma.
Es por esto que hoy en día se habla cada vez más del modelo de Arquitectura de Confianza Cero (ZTA), un término que se ha vuelto habitual. No es una “moda”, como algunos podrían pensar, sino una necesidad.

El “Teorema del Fuerte” ya no es válido

Hasta hace poco, la empresa – con sus sistemas de TI – se percibía y representaba como un “fuerte” rodeado de murallas de protección: los buenos estaban dentro mientras que los malos permanecían fuera.
Es por esto que podíamos hablar de “perímetro a defender”: las murallas del fuerte eran el perímetro que representaba una barrera de separación entre la empresa y los atacantes. El concepto de “seguridad perimetral” (la lógica del fuerte) recuerda estrechamente a la doctrina del “frente” de la Primera Guerra Mundial: líneas continuas que limitan lo que está dentro y protegido, de lo que está fuera y es inseguro y amenazante.

El epígono de esta estrategia (aunque no es el único ejemplo) es la tristemente célebre línea Maginot.
Hoy este modelo ha sido superado y, de hecho, se habla de “Desperimetralización”.
La creciente complejidad de las redes y sistemas empresariales ha superado los métodos tradicionales de seguridad de red basados en el perímetro, ya que para la empresa ya no existe un perímetro único y fácilmente identificable. La seguridad de red basada en el perímetro también ha demostrado ser insuficiente, ya que una vez que los atacantes rompen el perímetro, el movimiento lateral dentro de la red no tiene más obstáculos.

En otras palabras: los sistemas de protección perimetral, aunque cada vez más sofisticados y eficientes, siguen estando expuestos a ser eludidos por adversarios lo suficientemente avanzados, financiados y decididos.

Este cambio radical en el modelo de defensa se ha vuelto aún más necesario dada la práctica del “lugar de trabajo en cualquier lugar”, que ha anulado literalmente los perímetros de defensa tradicionales, que ya no son estáticos y cerrados dentro de los muros de la empresa, sino que pueden estar en cualquier lugar.
Esto es aún más notable en una era de trabajo remoto, con los empleados accediendo a aplicaciones y datos de la empresa utilizando diferentes dispositivos, estén donde estén. A esto podemos añadir también el uso cada vez más extendido de recursos en la nube y de recursos ubicados en centros de datos remotos.
El perímetro que habría que defender – si quisiéramos intentar delinearlo – sería el mundo entero.

Más vale prevenir que curar

Esta simple frase contiene la esencia de la Arquitectura de Confianza Cero.
Es necesario pasar del modelo del fuerte al del sistema inmunológico, que utiliza anticuerpos para contrarrestar al agresor.
La defensa debe pasar del perímetro (¡que ya no existe!) a los dispositivos y usuarios que se conectan a la web.
La red de origen de la conexión no es importante, sino más bien QUIÉN se conecta y cuán confiable es.
“Dentro” y “Fuera” ya no tienen ningún significado en términos de seguridad.

La elección del modelo de Arquitectura de Confianza Cero es importante también porque hoy debemos ser conscientes de que el peligro puede provenir también desde dentro, de los propios usuarios.
Considerar a todos los usuarios internos como confiables es un error de facto que ya no podemos permitirnos.
Los ciberataques y los incidentes también pueden ser causados – y con mucha más frecuencia de lo que se podría pensar – por acciones intencionales llevadas a cabo por usuarios malintencionados (los llamados “insiders maliciosos”), que actúan con el objetivo de dañar a la empresa o robar datos.
Pero también podrían ser causados por simples errores cometidos por los propios empleados (los “inconscientes”), que por falta de atención o de conocimiento llevan a cabo acciones que abren una puerta al atacante (ingeniería social, phishing, etc.). A partir de ese momento, ese usuario se convierte en una amenaza para la empresa.

Un primer paso hacia la seguridad de la empresa es formar a los empleados sobre los peligros relacionados con Internet y adoptar un sistema de inteligencia basado en la nube como el que ofrece FlashStart, que filtra a nivel de DNS el acceso a sitios web maliciosos y peligrosos y es capaz de proteger también las conexiones remotas de sus empleados. Más adelante veremos qué más implica el modelo de Arquitectura de Confianza Cero a nivel estructural.

El modelo de seguridad de confianza cero implica que no existe una confianza implícita hacia los recursos o las cuentas de usuario basada exclusivamente en su posición física o de red (es decir, redes locales en comparación con Internet) o basada en la propiedad de los recursos (empresarial o personal). La autenticación y la autorización (tanto del sujeto como del dispositivo) son funciones distintas que se ejecutan antes de que se establezca una sesión con un empleado.

La confianza cero es una respuesta a la tendencia de incluir trabajadores remotos, el uso de dispositivos personales (BYOD, Bring Your Own Device) y recursos basados en la nube que no están dentro de una red empresarial.
La Arquitectura de Confianza Cero se centra en la protección de los recursos (recursos, servicios, flujos de trabajo, cuentas de red, etc.), no en los segmentos de red, ya que la posición de la red ya no se considera el principal requisito para la protección de los recursos.

Por estas razones, ningún usuario o dispositivo puede tener acceso ilimitado a los recursos de la empresa: incluso después de la etapa de autenticación, sus privilegios de acceso se proporcionan de manera granular y se verifican continuamente.
Por lo tanto, una arquitectura de confianza cero correctamente implementada traslada la carga de la protección de datos desde el interior de la empresa hacia cada usuario, dispositivo y aplicación que intenta acceder a la red empresarial.

Arquitectura de Confianza Cero: las directrices del NIST

Al hablar de ZTA, no podemos ignorar las directrices proporcionadas por el NIST sobre este tema.
El NIST (Instituto Nacional de Estándares y Tecnología) es una agencia del gobierno de los Estados Unidos de América que se ocupa de la gestión de la tecnología. Forma parte del DoC, Departamento de Comercio. Nació en 1901 como “National Bureau of Standards” (NBS) y se convirtió en el “National Institute of Standards and Technology” en 1988.
Tiene la tarea institucional de desarrollar estándares y es el primer instituto del mundo en la producción de estándares en los ámbitos de la tecnología, la informática y la ciberseguridad.
Las publicaciones del NIST no son vinculantes en Europa, pero dada la autoridad del instituto, con mucha frecuencia se convierten en estándares de facto.

El documento del NIST que trata sobre la Arquitectura de Confianza Cero es la Publicación Especial SP 800-207 “Zero Trust Architecture”, publicada en agosto de 2020 y que se puede descargar gratuitamente en inglés en este enlace.

Esta publicación examina y describe la ZTA, sus componentes lógicos, los posibles escenarios de implementación y las amenazas.
Además, presenta una hoja de ruta general para las organizaciones que deseen avanzar hacia un enfoque de diseño de confianza cero.
Se destaca que la ZTA no es una arquitectura única, sino un conjunto de principios rectores para el diseño del sistema de TI de la empresa y para los proyectos que se pueden implementar para mejorar la postura de seguridad de todo tipo de organizaciones.

El paso hacia la ZTA es, por lo tanto, un camino que debe diseñarse en su totalidad, ya que se trata de cómo una organización percibe y afronta los riesgos.
No puede realizarse simplemente como una mera sustitución de tecnologías, es un proceso.
Es por esto que el NIST sugiere intentar implementar de forma incremental los principios de la ZTA, los cambios en el proceso y las soluciones tecnológicas que protegen los recursos de datos en las actividades de una empresa.

La sección 2 de la SP 800-207 enumera los principios básicos de la ZTA:

• Toda la red privada de la empresa no se considera implícitamente un área confiable. Los recursos deben comportarse siempre como si hubiera un agresor presente en la red de la empresa, y la comunicación debe llevarse a cabo de la manera más segura posible. Esto implica acciones como la autenticación de todas las conexiones y el cifrado de todo el tráfico.
• Los dispositivos de la red pueden no ser propiedad de la empresa ni ser configurables por ella. Los visitantes externos y/o colaboradores pueden considerar recursos que no son propiedad de la empresa y que necesitarán acceder a la red para llevar a cabo su función. Esto incluye las políticas BYOD (bring-your-own-device), que permiten a los empleados de una empresa usar dispositivos personales para acceder a los recursos de la empresa.
• Ningún recurso es intrínsecamente confiable. Todos los recursos deben evaluarse mediante un PEP (Policy Enforcement Point) antes de que se les permita acceder a los recursos de la empresa. Esta evaluación debe continuar durante toda la duración de la sesión. Las credenciales del sujeto por sí solas no son suficientes para autenticar el dispositivo como perteneciente a un empleado de la empresa.
• No todos los recursos de la empresa se encuentran en infraestructuras que pertenecen a la empresa. Los recursos incluyen sujetos remotos de la empresa así como servicios en la nube.
• Los sujetos remotos y los activos de la empresa no pueden confiar completamente en su conexión de red local. Los recursos deben considerar que todo el tráfico está siendo monitorizado y potencialmente modificado. Todas las solicitudes de conexión deben autenticarse y autorizarse, y todas las comunicaciones deben llevarse a cabo de la manera más segura posible.
• Los recursos y flujos de trabajo que se mueven dentro y fuera de la infraestructura de la empresa deben respetar una política y una postura de seguridad adecuada. Los recursos y las cargas de trabajo deben mantener su postura de seguridad cuando se mueven hacia o desde las propiedades de la empresa. Esto incluye los dispositivos que se mueven entre redes de la empresa y redes ajenas a ella (por ejemplo, usuarios remotos) y también los flujos de trabajo que pasan de centros de datos locales a la nube o a otros servicios ubicados fuera de la empresa.

La siguiente imagen, tomada de la SP 800-207, representa el modelo de acceso que debería aplicarse en una ZTA.

El acceso al recurso se permite a través de un punto de decisión de políticas (PDP) y un correspondiente punto de aplicación de políticas (PEP).
El sistema debe garantizar la autenticidad del sujeto y la validez de la solicitud. El PDP y el PEP proporcionan un juicio adecuado para permitir que el sujeto acceda al recurso.
Esto implica un concepto fundamental: la confianza cero se aplica a dos áreas distintas: autenticación y autorización:

• Autenticación: qué le da a usted el derecho de acceder a los recursos de la empresa.
• Autorización: a qué recursos se le permite acceder.

En general, las empresas deben desarrollar y mantener políticas dinámicas basadas en el riesgo para el acceso a los recursos y establecer un sistema que garantice que estas políticas se apliquen de manera correcta y coherente en cada solicitud individual de acceso a los recursos.
Esto significa que una empresa no debe confiar en la fiabilidad implícita, según la cual, si un sujeto satisface un nivel básico de autenticación (como el acceso a un recurso), todas las solicitudes posteriores de recursos se consideran igualmente válidas.

Dentro de esta arquitectura ZTA, un papel importante lo desempeña lo que el NIST define como un “punto de aplicación de políticas” (PEP), es decir, el punto de aplicación de las políticas.
Este sistema es responsable de habilitar, monitorizar y, en caso necesario, terminar las conexiones entre un sujeto y los recursos de la empresa.
El PEP se comunica con el PA (Administrador de Políticas, quien define las políticas de seguridad de la empresa) para reenviar las solicitudes y/o recibir las actualizaciones de políticas del PA.
Por encima del PEP, se encuentra la “zona de confianza”, que alberga el recurso de la empresa.
Otros factores fundamentales contribuyen a la aplicación de la Arquitectura de Confianza Cero:

• Infraestructura de clave pública empresarial (PKI): este sistema es responsable de la generación y el registro de los certificados emitidos por la empresa para recursos, sujetos, servicios y aplicaciones. Incluye también el ecosistema global de las autoridades de certificación, que puede estar integrado o no con la PKI de la empresa.
• Sistema de gestión de identidades: es responsable de la creación, gestión y baja de las cuentas de los usuarios de la empresa y de los registros de identidad (por ejemplo, un servidor LDAP – Light Directory Access Protocol).
  Este sistema incluye la información necesaria sobre el sujeto (por ejemplo, nombre, dirección de correo electrónico, certificados) y otros detalles de la empresa, como el rol, los atributos de acceso y los recursos asignados. A menudo utiliza otros sistemas (como una PKI) para los artefactos asociados con las cuentas de usuario y puede formar parte de una comunidad federal más amplia, pudiendo incluir también a empleados externos a la empresa o conexiones con recursos externos con fines de colaboración.

En conclusión, la Arquitectura de Confianza Cero es un proceso complejo que implica actividades coordinadas.
El objetivo es que los recursos de la empresa no puedan ser alcanzados sin pasar por un PEP. Los recursos de la empresa no pueden aceptar conexiones aleatorias procedentes de Internet. Los recursos aceptan conexiones personalizadas solo después de que un cliente haya sido autenticado y autorizado. Estas rutas de comunicación son establecidas por el PEP.

Esto impide que los agresores identifiquen sus objetivos mediante el escaneo y/o el lanzamiento de ataques DoS contra recursos ubicados detrás de los PEP.

El autor

Giorgio Sbaraglia, ingeniero, es consultor y formador en temas de ciberseguridad y privacidad.
Imparte cursos de formación sobre estos temas para numerosas empresas italianas importantes, incluyendo ABIFormazione y la 24Ore Business School.
Es el coordinador científico del Máster “Ciberseguridad y Protección de Datos” de la 24Ore Business School.

Es miembro del Comité Científico de CLUSIT (Asociación Italiana para la Ciberseguridad) y Innovation Manager certificado por RINA.
Ocupa puestos de DPO (Delegado de Protección de Datos) en empresas y colegios profesionales.

Es autor de los siguientes libros:

• “GDPR kit di sopravvivenza” – “Kit de supervivencia del RGPD” (Editado por goWare)
• “Cybersecurity kit di sopravvivenza. Il web è un luogo pericoloso. Dobbiamo difenderci!” – “Kit de supervivencia de ciberseguridad. La web es un lugar peligroso. ¡Debemos defendernos!” (Editado por goWare)
• “iPhone. Come usarlo al meglio. Scopriamo insieme tutte le funzioni e le app migliori” – “iPhone. Cómo usarlo al máximo. Descubramos juntos todas las funciones y las mejores aplicaciones” (Editado por goWare)

Colabora con CYBERSECURITY360, una revista digital especializada del grupo Digital360 centrada en la Ciberseguridad.
También escribe para ICT Security Magazine, para Agenda Digitale y para la revista CLASS.

Puede activar la protección FlashStart® Cloud en cualquier tipo de router y firewall para proteger dispositivos de escritorio y móviles, así como dispositivos IoT, en redes locales.