¿Qué es la “confianza cero”?

Imagina que trabajas en una gran oficina (quizás no hace falta que lo imagines). Puede ser corporativo, gubernamental, legal, sin fines de lucro, no importa. Ahora imagine que necesita algún documento entregado en mano a un colega, firmado y devuelto. El motivo de este procedimiento no es importante, así que invente un escenario. Sin embargo, sean cuales sean las circunstancias, este documento debe entregarse en formato impreso y firmado físicamente. Ok, ¿tienes todo esto en mente? Pensemos en tres formas en que esto podría desarrollarse:

Escenario 1: 100% de confianza

Imagine que usted personalmente toma este documento en sus manos, camina por el pasillo hasta el escritorio de su colega, le entrega el documento, lo ve firmarlo y luego lo recibe de vuelta. Así es tener 100% de confianza en un proceso: no hay intermediarios, el documento nunca estuvo fuera de tu vista, no hay lugar para la ambigüedad o la incertidumbre.

Escenario 2: Confianza razonablemente buena

Ahora agreguemos una pequeña complicación: eres un pez gordo. No lo camina por el pasillo usted mismo (¿quién tiene tiempo para eso?), se lo entrega a su asistente administrativo. Se llevan el documento por el pasillo. Tal vez incluso se lo pasen al administrador de su colega. Luego, ese proceso se invierte después de que se firma.

En este escenario, tenemos algunos intermediarios. Pero esos intermediarios son bastante confiables: son sus administradores siempre presentes y altamente competentes. Y el documento nunca sale de su piso o edificio, por lo que está bastante seguro de que nada podría salir mal. Este es un escenario de confianza “razonablemente buena”. En seguridad cibernética, podríamos comparar esto con lo que ahora se conoce como el "modelo de seguridad perimetral". En ese modelo, las redes informáticas están diseñadas para funcionar como sistemas internos cerrados como la oficina que hemos descrito anteriormente. La información pasa entre sistemas individuales en la red utilizando una serie de intermediarios internos, pero nunca abandonan el edificio (virtual). Siempre que la red interna sea segura, esa información también lo será. ¿Podrías tener un administrador malvado en secreto que en realidad te esté espiando para un rival? Seguro, esa es una posibilidad teórica. De manera similar, en el modelo de seguridad perimetral, podría tener dispositivos comprometidos dentro de la red. Pero si hace un buen trabajo protegiendo ese perímetro (un buen trabajo contratando a sus administradores, en nuestra analogía), el riesgo es bajo y puede operar con una confianza razonable de que la red es segura (al igual que confiaría razonablemente en que sus administradores entregar el documento). O al menos, esa es la teoría. Volveremos a eso en unos pocos. esa es la teoria Volveremos a eso en unos pocos. esa es la teoria Volveremos a eso en unos pocos.

Escenario 3: Confianza Cero

Ahora vamos a complicarnos mucho más. El colega que necesita que firme este documento no trabaja en su edificio. Trabajas para una organización gigante con muchas oficinas en toda la región/país/mundo. Su colega está en otra instalación por completo. Para llevar el documento a esa instalación, su administrador llama a un servicio de mensajería. El servicio de mensajería llega a su edificio, toma el documento de su administrador y se va. Eventualmente, otro representante del servicio de mensajería aparece en el edificio donde trabaja su colega. Llevan el documento a través del punto de control de seguridad del edificio, hasta el piso donde trabaja su colega, a través de la recepcionista, hasta el administrador de su colega. Ahora volvemos al “sistema interno”. Cuando se firma el documento, revertimos el proceso a través del servicio de mensajería, la seguridad de su edificio y la recepcionista de su piso. Muchas más manos han tocado este documento e insertado una caja negra gigante en medio del proceso: ¿qué sucede mientras el documento está en posesión del servicio de mensajería? No es que no confíes en absoluto en este servicio de mensajería (si no, ¿para qué contratarlos?). Pero a pesar de la confianza que pueda tener en ellos, no tiene visibilidad de su proceso interno. ¿Cómo ordenan, priorizan, y manejar las entregas? ¿Lo hacen todo ellos mismos o hay intermediarios o subcontratistas adicionales? ¿Cuántas personas en el servicio de mensajería tienen acceso a su documento mientras está en su poder? ¿Cuáles son sus políticas internas sobre el manejo de documentos? ¿Cuál es su proceso de selección/contratación? Tal vez su administrador sepa algo de esto o tal vez su equipo legal o de relaciones con socios lo sepa, pero supongo que usted no.

Así es como se ve Zero Trust. Depende de las partes que son una especie de caja negra: sabes que les das un mensaje y aparece del otro lado, pero no tienes idea de lo que sucede en el medio. En seguridad informática, esto es análogo a los sistemas que se ejecutan en la nube o al tráfico que necesita atravesar Internet abierto. A medida que más y más trabajo se realiza de forma remota, más y más sistemas se ajustan a esta descripción, desde correo electrónico hasta bases de datos internas o CRM, herramientas de gestión de proyectos o unidades de documentos, etc., especialmente si los empleados deben acceder a ellos desde ubicaciones remotas. Los servicios de mensajería en esta analogía son los proveedores de servicios en la nube e Internet que alojan estos servicios o transportan información hacia y desde ellos.

¿Por qué llamamos a esto confianza cero? Obviamente, confiamos al menos un poco en algunos de estos proveedores de servicios de nube e Internet (de lo contrario, no usaríamos sus servicios). Pero hay algunas advertencias a esa confianza: es posible que ni siquiera sepamos que estamos utilizando algunos proveedores (imagínese que nuestro servicio de mensajería tiene subcontratos para los tramos entre ciudades que desconocemos) y aún otros, es posible que no tengamos más remedio que uso (es decir, su proveedor local de Internet podría tener el monopolio). Incluso cuando tenemos cierto grado de confianza en un proveedor, no controlamos ni entendemos completamente sus procesos internos, y ese efecto de caja negra debería dejarnos con algunas preocupaciones. Pensando en nuestra analogía del servicio de mensajería, aquí hay algunas "amenazas" que podrían surgir:

1. Alguien en el curso del manejo de nuestro documento por parte del servicio de mensajería lo lee y obtiene información confidencial. Podrían hacerlo para su propio beneficio (traficantes de información privilegiada, tal vez) o para el de otra persona (espionaje corporativo).
2. Alguien en el curso del manejo de nuestro documento por parte del servicio de mensajería realiza un cambio nefasto en el documento que altera su intención o efecto. Por ejemplo, si el documento contiene instrucciones para enviar dinero a algún lugar, cambian esas instrucciones para incluir su propia cuenta bancaria como destino.
3. Alguien que sabe que usamos este servicio de mensajería envía un mensaje a través de ellos a su colega haciéndose pasar por usted (u otro colega) y les pide que tomen medidas. En otras palabras, una estafa clásica (pero quizás más sofisticada).

Las dos primeras preocupaciones tienen mitigaciones bastante sencillas. En nuestra analogía del servicio de mensajería, si el documento contiene algo confidencial o sensible, podemos sellar nuestro documento de una manera que revele la manipulación o escribir el documento en algún tipo de código. Sabemos cómo hacer ambas cosas con documentos físicos desde la antigüedad, y cualquiera de estas tácticas, o ambas, hacen que sea mucho más difícil leer o modificar el documento mientras está en tránsito sin que el destinatario se dé cuenta. Estas ideas también se traducen fácilmente en seguridad informática: el cifrado es el equivalente a escribir en código y la "firma" criptográfica es el equivalente a colocar un sello en un documento para revelar la manipulación.

El escenario final, alguien que finge ser nosotros, es una de las principales preocupaciones de las redes de confianza cero. En la analogía del documento, nuestra empresa probablemente desarrollaría prácticas que brindarían cierto grado de protección contra esto: alertar al destinatario para que espere una entrega en tal o cual día de tal o cual persona, llamar al remitente para verificar los detalles de un documento y sus instrucciones, iniciar y cerrar sesión para crear un registro de custodia, solicitar una identificación con foto en cada extremo para confirmar el remitente y el destinatario, etc. Algunas de estas pueden ser medidas empleadas por el propio servicio de mensajería para mejorar la seguridad y elevar nuestro nivel de confianza.

En una red informática Zero Trust, confiamos en métodos sólidos de "autenticación mutua". Cuando alguien inicia sesión en un sistema protegido por Zero Trust, no confiamos en su palabra de que es quien dice ser, hacemos que lo demuestre mediante la autenticación multifactor y buscamos indicadores sospechosos, como iniciar sesión desde una ubicación en el otro lado del país/mundo desde donde normalmente trabajan. Tampoco les hacemos creer nuestra palabra de que el sistema al que se están conectando es el que creen que es, el sistema proporciona "pruebas" (usualmente usando algo llamado certificado) para mostrarle al usuario que es el sistema correcto. Por lo general, esto sucede de manera "transparente", lo que significa que el usuario solo recibe una notificación si algo anda mal. Seguimos un proceso similar cuando los sistemas hablan entre sí, haciendo que cada uno demuestre al otro su identidad (nuevamente, utilizando certificados). Esto nos da la confianza de que nadie está sentado entre esos dos sistemas leyendo y/o alterando la información que fluye entre ellos.

Limitaciones de confianza cero

Un buen resumen de confianza cero podría ser este: cifrar y firmar todo, autenticar fuertemente a todos. Esto da como resultado una red que es extremadamente resistente a los intentos de malos actores externos de usar nuestros "servicios de mensajería" en nuestra contra. Esta arquitectura Zero Trust no es infalible (dado un adversario con suficiente tiempo y determinación, eventualmente encontrará una forma de entrar), pero es muy sólida contra la mayoría de los ataques externos.

Esto viene con un inconveniente potencial: podría hacer que las amenazas internas sean más potentes. Imagine que su colega en la otra instalación es el mal actor. Están tratando de robar de su empresa. Dado que conocen muy bien el proceso y tienen los permisos necesarios para iniciar una transacción, pueden usar sus propios procesos internos en su contra. Dadas todas las medidas de seguridad que ha implementado, cuando recibe su mensaje, tiene mucha confianza en que es genuino (como, de hecho, lo es; también es nefasto). Entonces, siempre que la solicitud no sea obviamente de naturaleza maliciosa, esa confianza puede hacer que sea más probable que la firme. En otras palabras, el proceso Zero Trust en realidad puede otorgar credibilidad a las acciones de un infiltrado malicioso debido a todas las casillas que marcan en el camino.

Desde una perspectiva de seguridad cibernética, esto requiere lo que llamamos “defensa en profundidad”. No solo confiamos en nuestras protecciones de Zero Trust, también implementamos la separación de funciones (también conocida como el "Principio de privilegio mínimo"), la aprobación de varias partes para ciertas acciones y el monitoreo de actividades inusuales o anómalas (incluso si proviene de información privilegiada). Las empresas también hacen cosas similares en el mundo físico, porque cada sistema tiene sus debilidades, por lo que colocarlos uno encima del otro da como resultado una protección general más sólida.

¿Por qué tener confianza cero en todas partes?

Lo que nos hemos dado cuenta en seguridad cibernética es que el modelo de perímetro de "confianza razonable" que discutimos en el escenario dos anterior en realidad no existe. Incluso cuando pensamos que las cosas están completamente contenidas dentro de nuestras propias redes privadas, con frecuencia hay aberturas en la armadura de las que no somos conscientes (ya sea cosas que se abrieron accidentalmente o cosas que tienen debilidades que no conocemos). Una vez que se explotan esas aperturas, el modelo basado en el perímetro hace que sea muy, muy fácil que los malos actores se vuelvan locos.

Sin embargo, cada vez más, la mayoría de las cosas no están contenidas en nuestras propias redes privadas. Durante años, las empresas han trasladado cada vez más sus servicios de TI “a la nube” en lugar de gestionarlos en centros de datos internos. Eso comienza a introducir el efecto de "caja negra" que discutimos. Agregue a eso trabajadores remotos, un sector de la fuerza laboral que se ha disparado durante la pandemia, y tiene más "cajas negras" de las que preocuparse. Cada vez más, todo lo que hace el personal de su organización pasa por múltiples redes que usted no controla y se ejecuta en una infraestructura que no es suya.

El punto no es lanzar calumnias sobre esos proveedores. Es de esperar que haya elegido un proveedor de nube en el que confíe razonablemente. Esperemos que sus proveedores de Internet no sean malvados. Pero incluso en el mejor de los casos, confía en ellos. ¿Qué sucede si se violan? ¿Qué sucede si no se dan cuenta de que han sido violados? Zero Trust es una forma de mitigar no solo cualquier preocupación que pueda tener sobre sus propios proveedores, sino también de protegerlo contra cualquier actividad maliciosa dirigida hacia ellos en la que pueda verse atrapado. Combinado con una defensa en profundidad, crea una postura de seguridad muy robusta.

Resumen

Las arquitecturas de red Zero Trust están motivadas por el efecto de "caja negra" de depender de proveedores que no controla (es decir, servicios en la nube o la Internet pública). Debido a que carecemos de visibilidad y control sobre estos servicios, no podemos saber quién podría estar leyendo o interfiriendo con nuestras actividades. Para protegernos contra esto, implementamos una combinación de encriptación (transmitiendo nuestra actividad en código), firma criptográfica (permitiéndonos detectar manipulaciones) y mecanismos robustos para verificar mutuamente las identidades de ambos lados en una interacción virtual. Esto nos da una confianza muy alta de que la actividad en nuestra red es "genuina", proporcionando una seguridad sólida contra todos, excepto los atacantes externos más decididos. Esa confianza podríaser explotados por amenazas internas, por lo que todavía necesitamos otras medidas de seguridad, lo más importante, el Principio de privilegio mínimo y el monitoreo de comportamiento inusual, para completar nuestra postura de seguridad.