¿Qué es la microsegmentación?

Por qué es importante la microsegmentación

La microsegmentación permite al departamento de TI basar las políticas y los permisos en la identidad de los recursos, lo que la convierte en el método ideal para crear agrupaciones inteligentes de cargas de trabajo basadas en las características de las cargas de trabajo individuales que se comunican dentro del centro de datos. Combinada con controles de acceso basados en el principio de privilegio mínimo, la microsegmentación protege mejor las aplicaciones y los datos críticos de una organización al tiempo que refuerza significativamente la postura general de seguridad.

Es más, la microsegmentación no depende de las redes que cambian dinámicamente ni de los requisitos empresariales o técnicos que se les imponen, por lo que es más sólida y fiable para la seguridad de la red. De hecho, es una parte fundamental de un marco de acceso a la red de confianza cero (ZTNA), que ha demostrado ser capaz de simplificar el control de acceso.

También es mucho más sencilla de gestionar: puede proteger un segmento con solo unas pocas políticas basadas en la identidad en lugar de tener cientos de políticas de firewall basadas en la dirección.

Microsegmentación o segmentación de red

Aunque la segmentación de la red y la microsegmentación se utilizan a menudo indistintamente, son conceptos completamente diferentes.

La segmentación de red se utiliza mejor para el tráfico norte-sur (dentro y fuera de una red). Las organizaciones suelen construir segmentos de red mediante VLAN o firewall, con los segmentos (zonas) basados en la región geográfica o los niveles de red existentes: datos, aplicaciones o red. Con la segmentación de red, se confía en una entidad como un usuario una vez que se encuentra dentro de una zona determinada.

La microsegmentación se utiliza mejor para el tráfico de este a oeste (a través del centro de datos o la red de la nube: de servidor a servidor, de aplicación a servidor, etc.). En pocas palabras, la segmentación de la red es como el muro exterior y el foso de un castillo, mientras que la microsegmentación son los guardias situados en cada una de las puertas interiores del castillo.

Cómo funciona la microsegmentación

Las soluciones de microsegmentación crean zonas seguras que permiten a las empresas aislar cargas de trabajo o máquinas virtuales (VM) entre sí y protegerlas individualmente. Están diseñados para permitir la partición granular del tráfico de red para proporcionar una mayor resistencia a los ataques  cibernéticos.

En nuestro mundo hiperconectado, la microsegmentación se ha convertido en un elemento central de cualquier estrategia de seguridad moderna y eficaz. Con un enfoque que incluya políticas de microsegmentación, los equipos de TI y de seguridad pueden adaptar las configuraciones a los distintos tipos de tráfico, creando controles que limiten los flujos de red y de aplicaciones entre las cargas de trabajo a aquellos que estén explícitamente permitidos.

La aplicación de reglas de segmentación a nivel de carga de trabajo o aplicación permite al departamento de TI reducir la superficie de ataque, disminuyendo el riesgo de que un atacante pase de una carga de trabajo o aplicación afectada a  otra.

Casos de uso de microsegmentación

La microsegmentación es esencial para el éxito de varios casos de uso empresarial comunes, que incluyen:

• Migración a la nube: La microsegmentación puede acelerar y simplificar la adopción de la nube al permitir una conectividad directa y segura para cargas de trabajo en la nube y garantizar comunicaciones seguras de las cargas de trabajo en toda la infraestructura multinube.
• Fusiones y adquisiciones: La microsegmentación agiliza los esfuerzos de integración posteriores a las fusiones y adquisiciones al permitir el acceso a las aplicaciones a través de la red sin conectar las redes. Los administradores pueden aplicar una postura de seguridad universal para proteger las cargas de trabajo en varias VPC, regiones y nubes públicas.
• Infraestructura de escritorio virtual: la microsegmentación ayuda a proteger la VDI entregada desde la infraestructura de la nube al permitir la aplicación de políticas de control de acceso precisas para sitios y aplicaciones privadas explícitamente permitidos.
• Segmentación de cargas de trabajo: La microsegmentación ofrece a las organizaciones un control granular sobre la conectividad de las cargas de trabajo en la nube ubicadas en diferentes VPC/VNets, regiones o nubes públicas.

La microsegmentación va más allá de la segmentación tradicional

La microsegmentación ofrece un enfoque dinámico y consciente del contexto para la seguridad de la red. Mientras que la segmentación de red tradicional se basa en reglas de firewall estáticas basadas en direcciones IP, la microsegmentación se centra en la capa de aplicación, la identidad del usuario y los atributos del dispositivo. Debido a que las políticas de microsegmentación no están vinculadas a direcciones IP específicas, son más adaptables a las redes modernas, ya sea en centros de datos locales o entornos multinube.

La segmentación tradicional requiere actualizaciones constantes de las reglas, mientras que la microsegmentación puede adaptarse dinámicamente a los cambios en la configuración de la red, los dispositivos y usuarios móviles y las amenazas en evolución. La microsegmentación, que tiene en cuenta el comportamiento del usuario, el contexto de la aplicación y mucho más, proporciona un marco de seguridad más sólido, flexible y eficaz para los entornos de TI actuales.

Por qué los modelos de segmentación heredados no funcionan

Los modelos de segmentación basados en direcciones de red no pueden identificar qué se está comunicando; por ejemplo, no pueden señalar la identidad del software. Solo pueden decirle cómo se comunica, por ejemplo, con la dirección IP, el puerto o el protocolo desde el que se originó la "solicitud". Esto significa que, siempre que se consideren "seguras", las comunicaciones están permitidas, aunque los equipos de TI y de seguridad no sepan exactamente qué está intentando  comunicarse.

Además, una vez que una entidad se encuentra dentro de una "zona segura" de la red, se confía en ella, lo que puede dar lugar a violaciones y, en una red plana, a movimientos laterales.

Características y beneficios de la microsegmentación

Algunas de las características técnicas y beneficios de la microsegmentación incluyen:

• Gestión y controles de seguridad centralizados en todas las redes: debido a que la microsegmentación gestiona el tráfico de este a oeste en lugar del tráfico de norte a sur, sus políticas resisten cualquier tráfico que se mueva a través de los segmentos que gobiernan. Como la política está más definida, se obtiene una visibilidad mucho mayor de la actividad de la red que con la segmentación de la red.
• Políticas de segmentación que se adaptan automáticamente: las políticas se aplican a las cargas de trabajo en lugar de al hardware, por lo que permanecen intactas independientemente de los cambios en la infraestructura. Esto significa que los equipos de seguridad de TI pueden extender un conjunto de controles en cualquier lugar, sin necesidad de que haya tiempo fuera de servicio.
• Protección sin violaciones: Las políticas de seguridad abarcan nubes públicas y privadas, contenedores, centros de datos locales, entornos de nube híbrida y sistemas operativos porque la política es específica de la carga de trabajo, no del segmento de la red.
• Auditorías simplificadas: debido a que la microsegmentación identifica de forma única cada recurso, ofrece una visibilidad significativamente mejor que otros modelos, lo que hace que las auditorías regulatorias sean mucho más rápidas y fáciles de realizar.

Ventajas comerciales de la microsegmentación

Seguridad proactiva de la red y de TI

La microsegmentación elimina los obstáculos de seguridad comunes con la segmentación tradicional mediante la creación de políticas conscientes de las aplicaciones que viajan con todas las aplicaciones y servicios. Como resultado, las posibles violaciones de datos se limitan a los activos afectados, no a toda la red. Los servicios de microsegmentación más eficaces ofrecen una funcionalidad que aprovecha la automatización para identificar todo el software que se comunica, recomendar políticas de confianza cero y permitirle aplicarlas con un solo clic.

Reducción de la vulnerabilidad

En lugar de los controles estáticos que se basan en las direcciones IP, los puertos y los protocolos, los equipos pueden tomar una huella digital criptográfica de cada carga de trabajo para proporcionar una protección uniforme a las cargas de trabajo que operan en un centro de datos interno o en la nube. La toma de huella digital desvincula la seguridad de su carga de trabajo de las construcciones de direcciones IP para evitar problemas con los controles basados en IP.

Evaluación continua de riesgos

La microsegmentación le permite cuantificar la exposición al riesgo midiendo automáticamente la superficie visible de ataque de red para comprender cuántas vías de comunicación de aplicaciones posibles están en uso. Algunos servicios incluso verifican las identidades del software que se comunica cada vez que el software solicita una comunicación, lo que mitiga el riesgo, respalda los mandatos de cumplimiento normativo y proporciona informes de riesgo visualizados.

Mejores prácticas para una microsegmentación exitosa

Entonces, ¿cómo se obtienen esos beneficios? Los detalles serán diferentes dependiendo de su industria, obligaciones regulatorias y otros factores, pero hay algunas mejores prácticas generales que deberían ser parte de cualquier plan de microsegmentación exitoso:

• Cree políticas de acceso detalladas y granulares con privilegios mínimos basadas en el conocimiento de la aplicación, las identidades de los usuarios y los atributos del dispositivo, limitando el acceso a los recursos solo a lo que cada usuario o entidad necesita para realizar su trabajo.
• Intégrese con los sistemas de gestión de identidades y accesos (IAM) para garantizar que sus políticas se ajustan a las funciones y permisos de los usuarios.
• Implemente monitoreo y auditoríacontinuos en tiempo real del tráfico de red y la aplicación de políticas para detectar anomalías o violaciones de políticas.
• Utilice herramientas automatizadas para implementar y ajustar políticas en respuesta a cambios en la configuración de su red o en su postura de seguridad.
• Realice auditorías de seguridad y pruebas de penetración periódicas, y mantenga una documentación exhaustiva para garantizar que sus políticas sigan siendo efectivas, así como para respaldar los informes de cumplimiento y la resolución de problemas.

Segmentación de confianza cero

Un modelo de seguridad de confianza cero se basa en principios de microsegmentación. La política se aplica a cargas de trabajo, no a segmentos de red, lo que le permite controlar de forma granular el acceso a cualquier recurso en cualquier ubicación si no se puede establecer un contexto suficiente para alguna conexión.

Por ejemplo, con un modelo de confianza cero (especialmente uno basado en la nube), una empresa podría establecer una política que establezca que los dispositivos médicos solo pueden interactuar con otros dispositivos médicos. Si un dispositivo de punto final o una carga de trabajo se movieran, las políticas de seguridad y los atributos se moverían con ellos en tiempo real.

Muchos proveedores de seguridad en la nube hacen promesas de confianza cero basadas en la nube que no pueden cumplir. Solo un proveedor ofrece seguridad de confianza cero integral, nativa de la nube, que puede proteger su red, sus aplicaciones y sus datos confidenciales de las sofisticadas ciberamenazas de la actualidad.

Cómo puede ayudar Zscaler

Zscaler Workload Communications es el modelo moderno para proteger sus aplicaciones y cargas de trabajo en la nube. Con una conectividad segura de confianza cero en la nube para las cargas de trabajo, puede eliminar la superficie de ataque de su red, detener el movimiento lateral de amenazas, evitar el compromiso de la carga de trabajo y prevenir la pérdida de datos sensibles.

Workload Communications utiliza la plataforma Zscaler Zero Trust Exchange™ para proteger las cargas de trabajo en la nube, lo que permite a su organización detener el acceso malicioso con seguridad explícita basada en la confianza que evalúa la identidad, los perfiles de riesgo, la ubicación y los análisis de comportamiento.

La prevención de amenazas con inspección SSL profunda refuerza aún más sus defensas cibernéticas. Con la protección cibernética siendo provista desde la nube, las políticas de seguridad son fáciles de configurar, administrar y mantener. Nunca ha sido tan sencillo eliminar la superficie de ataque de su red y adoptar una protección eficaz de confianza cero.