4 razones por las que sus firewalls y VPN están exponiendo a su organización a violaciones de seguridad

Aunque en el pasado quizá haya sido aceptable, confiar en los firewalls y las VPN para la seguridad ahora solo aumenta el riesgo para las organizaciones modernas. Esto se debe a que el uso de estas herramientas implica intrínsecamente el uso de redes hub-and-spoke y modelos de seguridad de tipo castle-and-moat. Estas arquitecturas de la vieja escuela se centraban en proporcionar acceso y seguridad a la red corporativa en su conjunto: el objetivo era mantener lo bueno "adentro" y lo malo "afuera". Lógicamente, este enfoque se diseñó para una época en la que los usuarios, las aplicaciones y los datos residían en las instalaciones, y las cosas rara vez salían del perímetro de la red. 

Hoy en día ya no es así. Ya sea que las organizaciones recién estén comenzando a experimentar una transformación digital o ya tengan aplicaciones en la nube y trabajadores híbridos bien asentados, depender de herramientas como firewalls y VPN en realidad las expone a violaciones. ¿Quiere saber cómo? Siga leyendo para conocer las cuatro razones clave.

1. Amplían su superficie de ataque

A medida que crecen las organizaciones con las arquitecturas del ayer, invariablemente amplían sus redes hub-and-spoke a más sucursales, fábricas, recursos basados en la nube, usuarios remotos, etc. Para asegurar esta red en continua expansión, los firewalls y las VPN suelen considerarse las herramientas a las que recurrir para establecer un perímetro "seguro" (es decir, para construir un foso ("moat") alrededor del castillo ("castle"). Lamentablemente, esta solución crea un problema importante.

Los firewalls y las VPN tienen direcciones IP públicas que se encuentran en la Internet pública. Esto está diseñado para que los usuarios autorizados previstos puedan recorrer la web y encontrar los puntos de entrada a la red. Sin embargo, cualquiera puede encontrar estas puertas de entrada, incluidos los ciberdelincuentes que están ansiosos por derribarlas. A medida que las organizaciones crecen e implementan cada vez más de estas herramientas, inevitablemente están dando a los atacantes cada vez más objetivos. En otras palabras, el uso de firewalls y VPN aumenta drásticamente la superficie de ataque. 

2. No logran impedir el compromiso

Para evitar que las ciberamenazas comprometan a una organización es necesario inspeccionar el tráfico en busca de todas y cada una de las actividades maliciosas y aplicar políticas en tiempo real que bloqueen las tácticas maliciosas de los ciberdelincuentes. Sin embargo, esta es una tarea que requiere una gran potencia informática y, como resultado, exige soluciones de seguridad con una escalabilidad masiva. Dado que en la actualidad más del 95 % del tráfico web está cifrado y el hecho de que inspeccionar el tráfico cifrado es una tarea particularmente tediosa en cuanto a computación, estos requisitos de escalabilidad son más críticos que nunca. 

Lamentablemente, los dispositivos de seguridad (ya sean hardware o virtuales) tienen dificultades para impedir el compromiso. Esto se debe a que tienen capacidades fijas para dar servicio a volúmenes concretos de tráfico y no pueden ampliarse infinitamente para satisfacer las crecientes demandas de ancho de banda de las organizaciones para la inspección de contenidos en tiempo real y la aplicación de políticas, especialmente cuando se trata de tráfico cifrado. Como resultado, estas herramientas a menudo terminan constituyendo una arquitectura de paso que simplemente genera alertas una vez que las amenazas ya han penetrado con éxito en la organización. Acumular más dispositivos para aumentar la escalabilidad es un ciclo interminable que, en última instancia, desperdicia dinero y no resuelve los problemas arquitectónicos subyacentes. 

3. Permiten el movimiento lateral de las amenazas.

Cuando una amenaza logra superar las defensas de una organización, las deficiencias de los firewalls y las VPN se vuelven aún más evidentes. Como se mencionó anteriormente, el uso de estas herramientas indica que una organización confía en un estilo de seguridad de castle-and-moat en un intento de proteger una red hub-and-spoke altamente interconectada. En otras palabras, las defensas se concentran en establecer un perímetro seguro alrededor de la red y hay poca o ninguna protección dentro de la misma. Como resultado, una vez que una amenaza ingresa con éxito a la red, es libre de moverse lateralmente a través de los recursos conectados, acceder a lo que desea y aumentar las consecuencias de la violación. Intentar implementar más y más herramientas como firewalls para la microsegmentación es, una vez más, una búsqueda sin fin que aumenta el costo, la complejidad y la carga administrativa, al tiempo que no resuelve las debilidades arquitectónicas fundamentales. 

4. No logran evitar la pérdida de datos

En última instancia, un ciberdelincuente no busca vulnerar una organización solo por su interés. Normalmente, tiene un objetivo más específico en mente, y ese objetivo son los datos. Los datos robados pueden venderse por un beneficio considerable en la web oscura o, en el caso del ransomware,utilizarse para extorsionar directamente a una organización (o a individuos) por dinero. Lamentablemente (y por las mismas razones explicadas en la sección de "compromiso" anterior), las arquitecturas estándar de firewalls y VPN tienen dificultades para inspeccionar el tráfico cifrado, por lo que los datos confidenciales suelen ser robados. Esto se debe a que la inspección SSL/TLS requiere muchos recursos, tanto para el hardware como para los dispositivos virtuales, que pueden carecer de los niveles necesarios de rendimiento y escalabilidad. Además del problema anterior, las herramientas heredadas diseñadas para el mundo exclusivamente local no son capaces de asegurar las vías modernas de fuga de datos. Considere, por ejemplo, una aplicación SaaS como Google Drive que permite compartir datos con terceros que pueden suponer un riesgo, o una instancia de AWS con un bucket S3 configurado erróneamente que expone públicamente información confidencial. 

4 razones para adoptar una arquitectura Zero Trust

Zero Trust es una arquitectura fundamentalmente diferente a las basadas en firewalls y VPN. Ofrece seguridad como servicio desde la nube y en el perímetro, en lugar de exigirle que redirija el tráfico a complejas pilas de dispositivos (ya sean hardware o virtuales). Proporciona conectividad segura entre todos de manera individualizada; por ejemplo, conectar cualquier usuario directamente a cualquier aplicación. No coloca a ninguna entidad en el conjunto de la red y se adhiere al principio del acceso con privilegios mínimos. En otras palabras, con Zero Trust, la seguridad y la conectividad se desvinculan satisfactoriamente de la red, lo que le permite eludir los problemas mencionados anteriormente relacionados con los enfoques basados en el perímetro. Arquitectura Zero Trust:

• Minimiza la superficie de ataque al eliminar firewalls, VPN y direcciones IP públicas, no permitir conexiones entrantes y ocultar aplicaciones detrás de una nube Zero Trust. 
• Evita el riesgo aprovechando la potencia de la nube para inspeccionar todo el tráfico, incluido el cifrado a escala, con el fin de aplicar las políticas y detener las amenazas en tiempo real. 
• Evita el movimiento lateral de amenazas al conectar entidades a recursos de TI individuales en lugar de extender el acceso a la red en su conjunto. 
• Bloquea la pérdida de datos aplicando políticas en todas las posibles rutas de fuga (incluido el tráfico cifrado), protegiendo los datos en movimiento, los datos en reposo y los datos en uso. 

Y por si fuera poco, la arquitectura Zero Trust resuelve otros innumerables problemas de firewalls, VPN y arquitecturas basadas en el perímetro al mejorar las experiencias de los usuarios, disminuir la complejidad operativa, ahorrar dinero a su organización, permitir el dinamismo organizativo y mucho más. 

Si desea obtener más información, vea nuestro seminario web que sirve como introducción a Zero Trust y proporciona información básica sobre el tema. 

O, si desea profundizar un poco más, considere inscribirse gratuitamente en uno de nuestros talleres técnicos interactivos.