6 Requisitos de microsegmentación para aplicaciones modernas

La idea de segmentar la red como una forma de aumentar la seguridad no es nueva. Pero fue difícil lograr una segmentación granular porque la computación y la seguridad estuvieron atadas a la cadera. Eso significa que cualquier cambio realizado para lograr la postura de seguridad deseada requiere cambios en el transporte de red subyacente o sacrifica el detalle. Además, los equipos de TI y seguridad a menudo hacen malabarismos con prioridades en competencia, y la segmentación no siempre fue la estrategia más popular.

El aumento en la escala y el alcance de los ataques cibernéticos está cambiando eso.

"... Ahora no hay excusa para no habilitar la microsegmentación para cualquier compañía o infraestructura"

La microsegmentación es un gran elemento disuasorio para los hackers. Cada vez más organizaciones están implementando la microsegmentación como parte esencial de una estrategia de defensa en profundidad. Según una encuesta reciente a más de 300 profesionales de TI, el 45 por ciento tiene actualmente un proyecto de segmentación o está planeando uno. El reporte Zero Trust Wave de Forrester Research en el tercer trimestre de 2020 reforzó la importancia de afirmar "... Ahora no hay excusa para no activar la microsegmentación en ninguna compañía o infraestructura."

Pero como con cualquier control de seguridad, es importante equilibrar la estrategia de la compañía con la necesidad de protegerla. Segmentar su red es un proyecto importante y una forma completamente diferente de gestionar su red. Es posible que esté pasando de una infraestructura de red plana, donde las comunicaciones están muy abiertas, a una red que requiere conjuntos de reglas de firewall al igual que su infraestructura perimetral. Se necesita una planeación cuidadosa para lograr el resultado deseado de una red que es difícil para los atacantes pero que aún es manejable para usted.

Entonces, ¿cómo llegas allí?

Para implementaciones de microsegmentación efectivas, aquí hay una lista de seis funciones y capacidades clave que deben proporcionar las soluciones:

1. Visibilidad con contexto de aplicación

El adagio de que "no se puede proteger lo que no se puede ver" no podría ser más cierto. Las organizaciones ejecutan una variedad de aplicaciones para operar sus negocios, cada una de las cuales se comunica entre sí y comparte datos. Ahí radica el desafío. Sin visibilidad, un usuario no autorizado tiene una amplia oportunidad de infiltrar en un negocio, aterrizar en un activo desprotegido o vulnerable y mover lateralmente hacia activos críticos, todo antes de cualquier signo de detección.

La microsegmentación adecuada de los activos de la aplicación puede minimizar o prevenir la propagación de infracciones, pero necesita visibilidad en la capa de aplicación. Esto es diferente de obtener tráfico de flujo de red o tocar un puerto SPAN en el conmutador que proporciona información sobre los flujos de red en L2 y L3. Debe poder ver cómo los componentes de la aplicación se comunican entre sí en varios niveles (Sitio web, Procesamiento, Base de datos), así como cómo interactúan las aplicaciones entre sí.

Las aplicaciones no se quedan en una isla. Hablan entre ellos, y así es como funcionan los procesos comerciales. Por ejemplo, es probable que un sistema de punto de venta (POS) se comunique con una aplicación de gestión de inventario antes de cumplir con el pedido de un cliente. Esto tiene sentido. Se debe permitir que el tráfico del sistema POS se comunique con las aplicaciones de inventario. Por otro lado, un servidor sitio web público no debe comunicar directamente con una base de datos, sino pasar por el servidor de procesamiento de aplicaciones para completar una transacción o consulta.

Pero estos flujos no son necesariamente bien conocidos, ciertamente no para los equipos de red y tal vez ni siquiera para los equipos de seguridad. Los desarrolladores de aplicaciones pueden tener este nivel de claridad, pero no siempre. Las organizaciones necesitan visibilidad integrada que muestre las dependencias de las aplicaciones para obtener la microsegmentación correcta. Idealmente, esto aparecería en forma de un mapa que muestra cómo varias aplicaciones se comunican entre niveles y entre sí. Este mapa también debe representar cómo se distribuyen los diferentes entornos como Desarrollo, Puesta en escena, Producción y Regulación y qué tipo de comunicaciones fluyen entre ellos. Esto ayuda a las organizaciones a comprender "lo que está sucediendo" y "lo que debería suceder" en función de su postura de seguridad deseada.

Cómo ayuda Illumio: El mapa de dependencias de aplicaciones de Illumio muestra claramente cómo interactúan los componentes de la aplicación y cómo se comunican entre sí las diferentes aplicaciones. Este mapa, conocido como Iluminación, no solo proporciona una visibilidad inigualable, sino que también recomienda políticas basadas en el detalle deseado. Las políticas se definen en lenguaje natural usando etiquetas y no requieren información de la capa de red para definir políticas. Este enfoque hace el trabajo pesado y calcula las reglas precisas L2/L3/L4 basar en esas políticas de lenguaje natural. Esto facilita el desarrollo de una postura de seguridad alineada con los objetivos organizacionales.

2. Arquitectura escalable

Hay múltiples formas de lograr la microsegmentación. Si bien cada enfoque tiene sus méritos, debe considerar la escalabilidad, la eficacia y detalle de la solución, la facilidad de uso y, por último, pero no menos importante, la rentabilidad.

Los enfoques típicos incluyen:

• Segmentación usando la red: Programación de listas de control de acceso (ACLs) en dispositivos de red (switches, routers, firewall, etc.). Aunque este enfoque proporcionará cierta separación a niveles gruesos, es muy engorroso, propenso a errores y costoso. Las redes están diseñadas para transportar paquetes del punto A al punto B tan rápido como puedan, y asignar ACLs para segmentación es como detener cada paquete para ver si debe permitir. Estos dos son objetivos diametralmente opuestos y cuando los mezclamos, las cosas empiezan a romper.
• Segmentación con SDN: Automatizar lo anterior con redes definidas por software (SDN) permite a los usuarios acceder a un controlador centralizado para definir reglas que se envían a los dispositivos de red apropiados. Este enfoque proporciona cierto alivio en la configuración, pero en muchos aspectos no es mejor que usar dispositivos de red. Además, la mayoría de los sistemas SDN estaban diseñados para proporcionar automatización de red, no funciones de seguridad. Solo recientemente los proveedores comprendieron los casos de uso de seguridad e intentaron reutilizar sistemas SDN para ofrecer microsegmentación con un éxito marginal.
• Microsegmentación basada en el huésped: Arquitectónicamente, este enfoque es diferente. En lugar de que la aplicación de políticas se lleve a cabo en algún lugar de la red, las organizaciones pueden usar la potencia de firewall con estado integrados para hacer cumplir las reglas a velocidad de línea sin ninguna penalización de rendimiento. Además, esta es la única arquitectura escalable, lo que significa que agregas capacidad a medida que agregas cargas de trabajo. Se demostró que las arquitecturas de escalabilidad funcionan bien a medida que los componentes del sistema crecen sin sacrificar el rendimiento. Recuerda, para que la aplicación de la ley ocurra, la entidad que hace cumplir debe ver el tráfico. En el caso de firewall (o dispositivos de red que hacen el trabajo), tienen que ver el tráfico. En algún momento, la cantidad de tráfico superará la capacidad del ejecutor, dejando a una organización expuesta sin protección. La gestión del tráfico supone un gran desafío y a veces rompe cosas en la capa de red o introduce mucha complejidad.

Debido a que el borde de la red no está en el firewall perimetral, sino en los segmentos internos, cuanto más granulares sean los segmentos, mejor protección obtendrá. Si lleva este concepto más allá, se da cuenta de que el mejor segmento es un segmento de uno: la carga de trabajo se convierte en el nuevo beneficio. Todo lo que esté fuera de la carga de trabajo no es de confianza y toda la aplicación para permitir o detener el tráfico se produce en la carga de trabajo sin sacrificar el rendimiento. Los sistemas basados en host hacen exactamente eso.

Cómo ayuda Illumio: Desde el principio, reconocimos que la única forma escalable de lograr tanto segmentación de grano grueso como microsegmentación granular era mediante una arquitectura basada en host. Este enfoque acerca mucho la seguridad a donde está la acción, y los controles son independientes de la red. Aprovechando las capacidades y la capacidad del host para hacer cumplir el uso del firewall con estado de tasa de línea del núcleo del sistema operativo, desacoplamos la segmentación de la red y te ofrecemos una forma escalable de segmentar eliminando los puntos de estrangulamiento presentes en los firewall y agregando capacidad a medida que se activan nuevas cargas de trabajo.

3. Políticas de seguridad abstractas

Tradicionalmente, la seguridad estuvo ligada a la red, pero ambas entidades tienen objetivos diferentes. Las redes tienen que ver con la velocidad y el rendimiento. La seguridad tiene que ver con el aislamiento y la prevención. Cuando mezclamos los dos, obtenemos lo peor de ambos mundos. Es como estar en una carrera de tres patas donde ambos participantes se dirigen en diferentes direcciones. No hace falta decir que el escenario no termina bien. Las políticas de seguridad deben abstraer de la red para que se pueda lograr una postura de seguridad deseada independientemente de la infraestructura subyacente.

Cómo ayuda Illumio: Al desacoplar la segmentación de la red, proporcionamos un flujo de trabajo para que las organizaciones construyan políticas basadas en etiquetas centradas en el negocio que sean fácilmente comprensibles. Las cargas de trabajo se organizan en función de cuatro dimensiones de etiquetas, y las políticas se escriben usando estas etiquetas. Todo el trabajo pesado de mapear las políticas abstractas a la aplicación a nivel de red se realiza mediante un modelo que permite probar políticas antes de aplicarlas. Esto garantiza que puedas lograr el resultado deseado – microsegmentación – sin romper ninguna aplicación.

4. Controles granulares

Las organizaciones tienen muchas aplicaciones con diferentes criticidades comerciales. Como tal, los requisitos de seguridad difieren según la importancia y, a veces, los requisitos reglamentarios asociados con esa aplicación. Necesita un mecanismo para definir diferentes posturas de seguridad para entornos informáticos únicos. A veces, puede estar bien simplemente separar diferentes entornos (por ejemplo, separar el desarrollo de la producción o separar los activos regulatorios dentro del alcance de todo lo demás). Para controles más estrictos, es posible que tenga que bloquear los niveles de aplicación (Sitio web, Procesamiento, Base de datos) y controlar qué nivel puede comunicar con cuál. Estas opciones deben formar parte del flujo de trabajo de la directiva y deben ser fáciles de implementar sin realizar ningún cambio en la red.

Cómo ayuda Illumio: Nuestro modelo de política es sencillo, pero poderoso y fácil de usar. El mapa de dependencias de la aplicación no solo proporciona visibilidad a nivel de aplicación, sino que también impulsa la creación de políticas recomendando diferentes opciones, desde el simple ringfecing hasta la separación por niveles o la segmentación basada en puertos, procesos y servicios.

5. Marco de políticas coherente en todo el patrimonio informático

Las compañías se están convirtiendo cada vez más en multinube híbrida, y la huella de una aplicación ahora a menudo se dispersa en varias ubicaciones locales, instalaciones de alojamiento y nubes públicas en función de los requisitos de resiliencia, funcionalidad, rendimiento y residencia de datos. Debe desarrollar un mecanismo de seguridad coherente que trascienda las soluciones incompatibles individuales aplicables a un entorno determinado.

Los modelos de seguridad son diferentes en las nubes públicas en comparación con las implementaciones locales. Las nubes públicas operan con un modelo de seguridad compartido. Los proveedores de la nube proporcionarán seguridad básica de la infraestructura y los clientes son responsables de proteger sus activos y aplicaciones. Además, las herramientas empleadas para proteger las implementaciones locales son diferentes de las que están disponibles en la nube pública. La mayoría de las nubes públicas ofrecen grupos de seguridad (tienen varios nombres según el proveedor) que ofrecen firewall básico por red privada virtual. Estos grupos de seguridad tienen una escala limitada, tienen los mismos problemas que los firewalls en términos de complejidad de configuración y no son compatibles entre nubes. Esto puede ser un desafío para los clientes que son verdaderamente híbridos de múltiples nubes y necesitan un mecanismo de seguridad consistente.

Cómo ayuda Illumio: Nuestra solución es independiente de la ubicación y la carga de trabajo. Tus cargas de trabajo pueden estar en cualquier sitio. Ofrecemos visibilidad total así como un modelo de seguridad coherente aplicable a todo el entorno de cálculo.

6. Integración con su ecosistema de seguridad

Definir una postura de seguridad y hacer cumplir sus reglas ayuda a mantener el negocio de una organización en funcionamiento. Esta pieza debe integrar firmemente con los procesos y herramientas que emplea una organización para crear nuevos activos, implementar aplicaciones, poner en funcionamiento los sistemas y más. La mayoría de las organizaciones empresariales tienen sistemas que los ayudan con las operaciones diarias. Como ejemplo, SecOps puede usar Splunk como su centro de control principal, y otros sistemas deben alimentar notificaciones y alertas a este sistema. Es poco probable que SecOps monitoree múltiples herramientas a diario para mantener las cosas en funcionamiento. A menos que la seguridad se integre con estos procesos, siempre será un desafío y creará aislamiento y complejidad.

Cómo ayuda Illumio: Nuestra solución está completamente impulsada por API, lo que significa que se integra fácilmente con el ecosistema más amplio de una organización. Todo lo que puedas hacer con la interfaz gráfica de Illumio se puede hacer mediante llamadas a la API desde tu sistema preferido. Además, soportamos integraciones que permiten una funcionalidad mejorada. Integraciones destacadas incluyen:

• ServiceNow: Illumio puede ingerir atributos del host de ServiceNow y usarlos para crear etiquetas que se asignan a cada carga de trabajo y se usan para definir políticas. Además, Illumio puede enviar información sobre cualquier discrepancia (basada en un mapa en tiempo real) a ServiceNow y corregir la información para que el CMDB sea más preciso.
• Splunk: Illumio puede enviar todas las alertas y notificaciones a SIEM como Splunk, informando sobre cosas como tráfico bloqueado, eventos de manipulación, violaciones de reglas, etc.
• Escáneres de vulnerabilidades (Qualys, Tenable, Rapid7): Algo único de Illumio, podemos ingerir información de vulnerabilidades y superponerla en un mapa de dependencias de aplicaciones para visualizar y cuantificar el riesgo, proporcionándote un mapa de vulnerabilidades. Esa información puede usar para derivar políticas de microsegmentación que tengan en cuenta vulnerabilidades, empleando esencialmente la microsegmentación como un control compensatorio cuando no es una opción de parchear de inmediato.
• Centro de seguridad de AWS: Al igual que Splunk, Illumio se integra con AWS Security Hub, que proporciona funcionalidad SIEM para implementaciones en la nube.
   

En resumen, estas son los principales beneficios de la microsegmentación:

• Mayor seguridad: El tráfico de red puede aislar y/o filtrar para limitar o impedir el acceso entre segmentos de red.
• Mejor contención: Cuando se produce un problema de red, su efecto se limita a la subred local.
• Mejor control de acceso: Permitir que los usuarios solo accedan a recursos de red específicos.
• Conformidad: Las organizaciones bajo requisitos de cumplimiento normativos o exigidos por el cliente pueden demostrar que se tomaron las medidas adecuadas y pasar las auditorías de manera oportuna.
• Monitoreo mejorado: Proporciona la oportunidad de registrar eventos, monitorear las conexiones internas permitidas y denegadas y detectar comportamientos sospechosos.

La microsegmentación es un enfoque muy eficaz para evitar el movimiento lateral no autorizado dentro de su organización, y no es casualidad que se convirtió en un principio clave de un marco de confianza cero. Las infracciones pueden ser perjudiciales, pero la ausencia de una red segmentada internamente puede ser igual de perjudicial.

La mayoría de las infracciones de alto perfil dejan a las organizaciones paralizadas porque un intruso atravesó la red sin ser detectado durante semanas o meses, mover lateralmente para acceder a activos de alto valor. La microsegmentación evita ese movimiento para que su organización no se convierta en la próxima compañía que rompa los titulares en sufrir un ataque.

¿Listo para dar el primer paso en tu camino de segmentación? Apúntate para una prueba gratis de 30 días.