Cómo evitar que el etiquetado se devierta en un bloqueador de segmentación

Cero Confianza ha cambiado la forma en que las organizaciones piensan sobre la seguridad. Históricamente intentaríamos identificar todo lo que fuera “malo” y bloquearlo. Pero un enfoque Zero Trust consiste en identificar lo que es “bueno” verificando la fuente de comunicación y permitiéndola.

Para lograr Zero Trust, debe:

• Identifique y administre la identidad de cualquier entidad en la que desee confiar.
• Aplique las políticas que se aplican a esa identidad mediante la segmentación de confianza cero.

Pero uno de los desafíos percibidos con la implementación Segmentación de confianza cero y la aplicación de políticas gira en torno a cuán completo es el conocimiento para todas las entidades de la red.

En un encuesta reciente comisionado por Illumio, 19 por ciento de los encuestados dijo que no podía implementar Zero Trust porque no tenían datos perfectos.

Los asistentes a la serie de talleres virtuales Zero Trust de Illumino expresaron preocupaciones similares, destacando que luchan con Zero Trust debido a la falta de:

• Información precisa sobre sus sistemas.
• Conocimiento de qué servidores o cargas de trabajo existen.
• Comprensión de qué aplicaciones estaban conectadas a qué recurso.

En muchas organizaciones, una base de datos de administración de configuración (CMDB), un sistema de administración de direcciones IP, etiquetas en la nube, una hoja de cálculo o un sistema de repositorio similar deberían ser idealmente la “fuente de verdad” para esta información. Sin embargo, estos sistemas de repositorio de información pueden ser inexactos o no existir en absoluto.

Es importante poder utilizar la información que existe para construir un modelo de etiquetado estructurado. Porque sin él, tu entorno se verá así.

‍

Su CMDB no es el “todo” para el etiquetado

Uno de los principales problemas que enfrentan las organizaciones es nombrar higiene. A medida que los sistemas evolucionan y el personal cambia, las convenciones de nomenclatura también cambian.

Por ejemplo, lo que comienza como 'Producción' se convierte en 'Prod', luego 'prod.' Esto significa que las reglas para hacer cumplir la política de confianza cero pueden ser obsoletas desde el momento en que se escriben inicialmente hasta cuando cambian los nombres.

Un estilo de etiquetado de texto libre también puede dar lugar a muchas inconsistencias en la redacción de reglas. El etiquetado inexacto o limitado de los recursos sin duda dificulta la comprensión de su entorno.

La aplicación de políticas no debe estar limitada por la exactitud o integridad de la CMDB ni de cualquier otro repositorio de información. Si la nomenclatura es inconsistente, debería haber una manera de sortear esto.

Para aquellos sin una CMDB, no hay nada malo en usar algo mucho más sencillo. Por ejemplo, la mayoría de los sistemas pueden importar y exportar datos en formato.CSV, lo que lo convierte en un método muy portátil para administrar datos.

Cómo Illumino simplifica y automatiza el etiquetado de cargas de trabajo

Illumio ha desarrollado un sencillo conjunto de herramientas que simplifican radicalmente el proceso de nomenclatura y aplicación de políticas de segmentación Zero Trust. Hay que decir que contar con las herramientas es una parte de la solución — aplicarlas correctamente es lo que marca la diferencia.

La clave para implementar Zero Trust es la consistencia. Un esquema de nomenclatura estructurado hace que las políticas de seguridad sean portátiles entre diferentes entornos (como varios hipervisores y nube).

Por ejemplo, el modelo de dirección IP funciona porque siempre es el mismo. Todos los dispositivos conectados a la red esperan el formato AAA.BBB.CCC.DDD/XX. Sin esto, no tendríamos ninguna forma de comunicación. Lo mismo ocurre con el etiquetado de cargas de trabajo. Sin un modelo consistente, la seguridad de una organización puede verse comprometida.

Illumio agiliza el proceso de nomenclatura en unos sencillos pasos:

• Paso 1: Cada organización tendrá su “fuente de verdad”, ya sea una CMDB, una hoja de cálculo o una lista de etiquetas (o alguna combinación de todas estas). Incluso si no cree que sea completamente preciso, Illumio recopila metadatos de cada carga de trabajo y puede actualizar automáticamente los datos de la red y las cargas de trabajo.
• Paso 2: Utilice la información de la red. Es probable, por ejemplo, que los servidores de producción puedan existir en una subred diferente a la de los servidores de desarrollo. Si bien no es práctico comenzar a escribir reglas usando direcciones IP, la información de la red proporciona un buen punto de partida para generar nombres.
• Paso 3: Utilice los nombres de host. Si bien es posible que se hayan ido formando inconsistencias con el tiempo, identificar cualquier parte consistente de la cadena y analizarla para tantas cargas de trabajo como sea posible llenará los vacíos. Esta información puede provenir de casi cualquier fuente.

Hasta ahora, ha tomado la fuente de verdad existente, descubierto entornos potenciales y luego identificado información del nombre de host que podría resaltar el rol del servidor, como Web o Base de Datos.

Una vez que haya completado estos pasos, puede usar la información del flujo de tráfico para conocer e identificar los servicios principales y otras funciones que pueden haber faltado en los otros pasos. Esto podría ayudar a identificar un servidor desconocido pero esencial.

Con todo este conocimiento, entonces es sencillo aplicar etiquetas a cada carga de trabajo, que puede utilizar para visualizar las comunicaciones entre cargas de trabajo y aplicar políticas de segmentación Zero Trust.

Con etiquetado estructurado, el mapa de su entorno ahora se ve así.

Cuanto más fácil sea el proceso de etiquetar las cargas de trabajo, más sencillo será el mapa y más rápido obtendrá valor real de la segmentación.

Por supuesto, estos pasos podrían emprenderse en cualquier orden. Algunos proveedores posicionarán el aprendizaje del tráfico como el primer paso. El reto aquí es que existe el potencial de que la comunicación parezca legítima únicamente porque está generando un elevado número de flujos en puertos reconocidos. Entonces puede llevar mucho tiempo deshacer posibles inexactitudes en los resultados. Esto ralentizará el proceso de alcanzar valor ya que llevará tiempo limpiar el mapa. Es mucho más fácil y seguro usar primero la información fija.

Usando las herramientas simples en Núcleo de Illumio, puede recopilar fácilmente los datos requeridos y automatizar el proceso de etiquetado. Este enfoque elimina cualquier preocupación sobre la falta de datos y la posible complejidad en la identificación e implementación de sus políticas de seguridad.

Para obtener más información:

• Leer 5 consejos para simplificar el etiquetado para la microsegmentación.
• Descargar un descripción general de Illumio Core para obtener más información sobre el enfoque de Illumio para la segmentación Zero Trust.