El enfoque Zero Trust no es una tecnología sino una cultura de ciberseguridad, un estado de ánimo, que permite repensar la protección de accesos, datos, aplicaciones y es clave en la protección de bots, webs y APIs.
Zero Trust es una de las tres tendencias «más prometedoras» identificadas en un informe F5 y ha logrado consistentemente un alto puntaje de interés en Google Trends durante los últimos doce meses.
En consecuencia, el concepto de Zero Trust es uno de los enfoques de seguridad más discutidos (e incomprendidos) desde el surgimiento del «giro a la izquierda». Con demasiada frecuencia, la noción de Zero Trust se equipara con una tecnología específica, como Alcance definido por software (SDP)o a un segmento de mercado, como gestión de identidades y accesos (IDAM).
Vimos el mismo entusiasmo por comparar tecnologías o productos específicos cuando se introdujo la nube. Él » lavado de nubes era una práctica común, a menudo utilizada como una observación despectiva sobre la «nebulosidad» de un nuevo producto.
La seguridad Zero Trust es, en esencia, una mentalidad a partir de la cual surgen técnicas y tácticas y se aprovechan tecnologías específicas, que luego se pueden aplicar para abordar una amplia gama de amenazas a la seguridad.
Esta mentalidad se basa en un conjunto de suposiciones, y los usos de las tecnologías son las consecuencias de estas suposiciones.
El uso de tecnología como SDP o seguridad API no significa que haya adoptado Zero Trust. La instalación de un solo producto no significa que de repente sea «conforme a Zero Trust» y, por lo tanto, inmune a ataques, infracciones o exploits.
Lo que es cierto es que la seguridad SPD y API puede, de hecho, ser una respuesta táctica adecuada para adoptar un enfoque Zero Trust. Llegar allí requiere hacer algunas suposiciones básicas y luego determinar cuáles son las mejores herramientas y tecnologías que lógicamente implican.
Repasemos algunos ejemplos que, como sugiere el título, nos llevan a la conclusión de que la protección contra bots y la seguridad web y API son parte del conjunto de herramientas Zero Trust.
1/ Un enfoque del tipo “Zero Trust” implica un compromiso.
Los usuarios legítimos con acceso autorizado pueden, de hecho, estar en riesgo y, por lo tanto, representar una amenaza no deseada y muy costosa. Los atacantes saben que suele ser más fácil entrar por ventanas (usuarios) que por la puerta principal (red corporativa). Los usuarios corren constantemente el riesgo de ser atacados, por lo que asumir que ya lo son es lo más seguro.
La gama de operaciones posibles desde una computadora portátil o teléfono móvil corporativo comprometido es amplia e incluye lanzar ataques contra sitios web y aplicaciones que intentan compartir software malicioso (incluido malware, ransomware y lo que venga después) o explotar vulnerabilidades para obtener acceso.
En la medida en API son cada vez más utilizados por aplicaciones móviles y web para acceder a aplicaciones y sistemas empresariales, es esencial inspeccionar el contenido de usuarios legítimos y autenticados para determinar si es malicioso o no. Por lo tanto, la seguridad web y API es una opción lógica para implementar la protección contra este riesgo.
2/ El enfoque Zero Trust asume que las credenciales no son suficientes.
Ya sea que se trate de un usuario humano, de una máquina o de software, un enfoque de Confianza Cero asume que incluso si se proporcionan credenciales legítimas, es posible que el usuario real no sea legítimo. El relleno de credenciales, después de todo, es un problema continuo que explota las credenciales legítimas pero robadas. Es bien sabido que, en promedio, un millón de nombres de usuario y contraseñas se pierden o se roban todos los días.
El análisis de F5 concluye que Del 0,5 % al 2 % de cualquier lista de identificaciones pirateadas será válida en un sitio web o una aplicación móvil objetivo. Por lo tanto, un enfoque Zero Trust implica tomar medidas para verificar no solo las credenciales de inicio de sesión, sino también la identidad misma del usuario. Esto implica exponer bots que se hacen pasar por usuarios legítimos. Desde un punto de vista táctico, la protección contra bots (que también puede llamarse detección de bots) juega un papel importante en un enfoque de Zero Trust.
3/ El principio Zero Trust asume que el cambio es un fenómeno constante.
Zero Trust rechaza la suposición de que una vez que se verifica un usuario y se otorga acceso a un recurso, no hay riesgo. Cada transacción se considera riesgosa y se evalúa según el contenido que transmite y el usuario que la envía. Después de todo, el secuestro de sesión es un método real de ataque.
La vigilancia constante es (o debería ser) el lema de Zero Trust, que requiere estar constantemente atento a contenido malicioso. Por lo tanto, la seguridad del sitio web y de la API, así como la detección de bots, son elementos esenciales del enfoque de «confianza cero».
Hoy en día, este enfoque también conduce a otras herramientas y tecnologías, como SDP y control de identidad y acceso, firewalls de red y CASB, así como una serie de otras soluciones que mitigan los riesgos conocidos que resultan naturalmente de estas suposiciones. Pero no es posible implementar solo uno de ellos y luego considerar completa la iniciativa Zero Trust. Es como tomar un ibuprofeno para una pierna rota en lugar de ir al médico. Sí, alivia el dolor, pero no soluciona la raíz del problema. No existe el método perfecto para adoptar el principio Zero Trust, pero los elementos indicados anteriormente permiten ser más flexibles y poder afrontar nuevos ataques con mayor rapidez y eficacia.
___________________
Par Lori Mac VittieIngeniero emérito en F5
Lea también:
Conciliar riesgo e innovación: ¿la misión imposible de la seguridad?
Fraude: menos es más…
¡Siempre es el DNS!
Proteja las aplicaciones contra ataques modernos y complejos
[
