¿Qué es la protección de cargas de trabajo?

¿Por qué es importante la protección de cargas de trabajo?

Las aplicaciones en la nube se han vuelto fundamentales para las operaciones comerciales y a los empleados les resultaría difícil hacer su trabajo si no tuviesen acceso a ellas. Para aumentar la productividad de los departamentos, las empresas están adoptando servicios en la nube como la infraestructura en la nube de proveedores como Amazon Web Services (AWS), Microsoft Azure y Google Cloud Platform. Frecuentemente, las organizaciones combinarán los servicios SaaS, PaaS e IaaS de una variedad de proveedores, creando un entorno multinube.

Dado que las organizaciones del mundo entero han cambiado de las operaciones en las instalaciones a la nube, la protección de cargas de trabajo en la nube se está convirtiendo en una prioridad para los equipos de seguridad.

Centrarse en la seguridad

Los proveedores de servicios en la nube mencionados anteriormente (especialmente los más grandes) tienen una ciberseguridad sólida e integrada, y a menudo promueven sus infraestructuras seguras como una ventaja competitiva. Sin embargo, estos proveedores de nube utilizan modelos de responsabilidad compartida, en los que los proveedores de nube son responsables de la seguridad de la propia infraestructura de nube, mientras que los clientes de nube tienen la responsabilidad de lo que reside en la nube y lo que se comunica, es decir, las aplicaciones, las cargas de trabajo y los datos.

Para lograrlo, ahora hay una gran variedad de soluciones de seguridad en el mercado para proteger las cargas de trabajo que se trasladan hacia y desde la nube. Se han hecho cada vez más populares al quedar claro que las arquitecturas de seguridad tradicionales no pueden seguir el ritmo de las amenazas modernas. Para entender por qué es así, veamos brevemente cómo se protegían las cargas de trabajo en el pasado y cómo han cambiado con el tiempo sus necesidades de protección.

Cómo protegíamos tradicionalmente nuestras cargas de trabajo

Las tecnologías heredadas basadas en la red, como firewalls o máquinas virtuales, proporcionaban una protección adecuada de las cargas de trabajo cuando la empresa funcionaba en las instalaciones y los equipos de TI tenían un volumen de datos mucho menor de qué preocuparse. Estos métodos eran relativamente adecuados porque los ciberataques no eran tan avanzados o intrusivos como ahora, y además, el uso de aplicaciones en la nube aún no era generalizado.

Es evidente que el mundo se ha transformado desde el cambio de década. Ahora los empleados no solo trabajan desde todas partes, sino que la nube y sus aplicaciones nativas se han vuelto necesarias para la productividad diaria.

Los profesionales de TI y de seguridad han descubierto que la tecnología heredada no se adapta bien a los entornos de la nube. Estos entornos son elásticos, están poco vinculados a la infraestructura y carecen de un perímetro estático en donde puedan establecerse controles de seguridad. Además, la mayoría de las empresas utilizan una combinación de proveedores de servicios en la nube y el centro de datos para alojar aplicaciones y comunicar las cargas de trabajo, lo que complica la tarea de obtener una visibilidad uniforme de ellas.

Esto significa que las aplicaciones y los servicios deben estar en el centro, y no en los márgenes, de la planificación de la seguridad.

La dinámica cambiante

Los controles deben estar vinculados directamente a la identidad de las aplicaciones y los servicios que se comunican, y no a las rutas de red por las que pasan las aplicaciones. Ya no basta con definir el software por su dirección o ruta de tráfico: los controles basados en la dirección son susceptibles de cambiar, especialmente en un entorno de nube, lo que obliga a los equipos de seguridad a crear más y más reglas para contrarrestar esta situación.

La naturaleza efímera de la nube les ocasionan múltiples problemas a los equipos de seguridad. Las tecnologías de seguridad heredadas se basan en un modelo de confianza que ya no es válido en el panorama de amenazas actual. Los perímetros han desaparecido, el cifrado dificulta la inspección del tráfico y la clasificación de los datos distribuidos requiere abundantes recursos. Al mismo tiempo, todos estos desafíos hacen que la nube sea especialmente atractiva para los atacantes.

Amenazas comunes en la protección de la carga de trabajo

A medida que la nube crece, también lo hace la cantidad de amenazas a sus datos. El panorama actual de las amenazas contempla una amplia gama de ataques elusivos y potentes que, sin una protección adecuada de la carga de trabajo, pueden causar fácilmente estragos en una organización. Algunas de estas amenazas incluyen:

• Ransomware en la nube: los entornos de la nube no son inmunes a los ataques de malware y ransomware, que se infiltran en dichos entornos para retener datos confidenciales a cambio del pago de un rescate.
• Ataques a la cadena de suministro: estos ataques intentan obtener acceso mediante la implementación de una puerta trasera en los productos, normalmente de software, que utilizan las organizaciones en la mira. Esto permite a los atacantes poner parches automáticos o hacer actualizaciones de software "troyanizadas" que abren la puerta al malware y a otros ataques.
• Pérdida de datos: aunque no es una amenaza por definición, este es uno de los mayores riesgos de la informática en la nube. La pérdida de datos suele estar causada por los puntos ciegos en la protección, que pueden provocar la exposición de dichos datos, ya sea por error del usuario o por una acción maliciosa.

Además de prevenir estos y otros riesgos de la nube, la protección de la carga de trabajo ofrece otras ventajas importantes, que trataremos en la siguiente sección.

Ventajas de seguridad de la protección de cargas de trabajo

Al añadir controles en torno a aplicaciones específicas, en lugar de en torno a cada dispositivo o usuario, la protección de la carga de trabajo le ayuda a responder a preguntas como:

• ¿Qué aplicaciones se están comunicando?
• ¿Cuáles deben comunicarse?
• ¿Los sistemas adecuados se comunican entre sí sin permitir el tráfico malicioso?

Al conocer la respuesta a estas cuestiones, puede permitir que únicamente las cargas de trabajo verificadas se comuniquen en su entorno de nube pública, privada o híbrida, mitigando el riesgo y ofreciendo el máximo nivel de protección frente a la infracción de datos. Estas son algunas de las formas en las que la protección eficaz de la carga de trabajo proporciona a su equipo una ventaja de seguridad:

Menor complejidad

El seguimiento de activos e inventarios de políticas es un proceso difícil, y asignar flujos de datos en una nube es una tarea compleja, porque los servicios pueden cambiar de ubicación, aumentando el número de puntos de datos que se deben supervisar y administrar. La protección de la carga de trabajo simplifica el seguimiento y la protección, y anticipa el impacto del cambio al centrarse en las aplicaciones y no en el entorno en el que se comunican.

Protección uniforme independientemente de la ubicación

Las herramientas de seguridad tradicionales que utilizan direcciones IP, puertos y protocolos como plano de control no son adecuadas para los entornos en la nube. La naturaleza dinámica de la nube hace que estos controles de seguridad estáticos no sean fiables, ya que pueden cambiar en cualquier momento y varias veces a lo largo de un día. Para contrarrestar este problema, las plataformas de protección de cargas de trabajo designan la protección en función de las propiedades del propio software.

Evaluación continua de los riesgos

La mayoría de los profesionales de la seguridad saben que sus redes corporativas son vulnerables y pueden verse comprometidas, pero la mayoría no puede cuantificar el nivel de riesgo que estas redes representan para la organización, particularmente en relación con la exposición a las aplicaciones. La solución adecuada de protección de carga de trabajo puede medir su superficie de ataque de red visible en tiempo real para comprender cuántas vías de comunicación de aplicaciones posibles están en uso.

Mejores prácticas para la protección de cargas de trabajo

La protección de las cargas de trabajo comienza con la selección de la plataforma adecuada. A continuación, le ofrecemos algunos consejos que le facilitarán la adopción de un potente software de protección de la carga de trabajo:

• Integre prácticas de DevSecOps: una estrategia de DevSecOps integra la seguridad en todo el ciclo de vida del desarrollo de software (SDLC). Esto garantizará que los equipos de DevOps no tengan que preocuparse por las posibles vulnerabilidades a la hora de crear y desplegar aplicaciones.
• Utilice la segmentación con zero trust: la segmentación ya es una estrategia probada para ayudar a limitar la infiltración y el movimiento de las ciberamenazas, y la segmentación con políticas zero trust implementadas servirá para eliminar dicho movimiento con principios de privilegios mínimos y autenticación basada en el contexto.
• Adopte una plataforma de protección de cargas de trabajo en la nube (CWPP): una CWPP eficaz puede ofrecer un control y una visibilidad uniformes a los dispositivos físicos, máquinas virtuales, contenedores como Kubernetes y cargas de trabajo sin servidor, estén donde estén.

El papel de una plataforma de protección de la carga de trabajo en la nube (CWPP)

La segmentación de la carga de trabajo es una estrategia de protección central para las cargas de trabajo, ya que elimina el acceso excesivo que permiten las redes planas. Estas redes permiten a los atacantes desplazarse lateralmente y comprometer las cargas de trabajo en entornos de nube y centros de datos. Al segmentar (o aislar) las aplicaciones y eliminar las vías innecesarias, cualquier amenaza potencial se limitará al elemento afectado, reduciendo el "radio de explosión".

La segmentación de aplicaciones y cargas de trabajo (también conocida como microsegmentación) permite crear grupos inteligentes de cargas de trabajo basados en las características de las cargas de trabajo que se comunican entre sí. Como tal, la microsegmentación no depende de las redes que cambian dinámicamente ni de los requisitos empresariales o técnicos que se les imponen, lo que significa que es una seguridad más sólida y fiable.

Cómo puede ayudar Zscaler

Zscaler Workload Segmentation (ZWS) es una forma nueva y mucho más sencilla de segmentar cargas de trabajo de aplicaciones con un solo clic. ZWS aplica protección basada en la identidad a sus cargas de trabajo, sin ningún cambio en la red. Zscaler Workload Segmentation:

• Evita el desplazamiento lateral del malware y el ransomware en los servidores, las cargas de trabajo en la nube y las computadoras de escritorio y detiene las amenazas con una seguridad de zero trust.
• Ofrece microsegmentación muy sencilla, basada en el aprendizaje automático para automatizar la creación de políticas y la administración continua.
• Ofrece visibilidad unificada de las aplicaciones que se comunican en sus instalaciones y en las nubes públicas

También cuantifica la exposición al riesgo en función de cuán crítico es el software que se comunica, y utiliza el aprendizaje automático para recomendar el menor número de políticas de seguridad de zero trust, lo que reduce drásticamente la probabilidad de que se produzca una filtración de datos, a la vez que resulta fácil de administrar.