Lo que necesita saber para una confianza cero efectiva en la nube

Políticas de confianza cero en la nube

Para que un modelo de confianza cero funcione de manera efectiva en la nube, los equipos de seguridad y operaciones deberán integrar las políticas de seguridad directamente en las instancias de carga de trabajo tanto en sus centros de datos como en los entornos de nube. Al crear una capa de aplicación de políticas que viaja con cargas de trabajo donde sea que vayan, las organizaciones tienen una posibilidad mucho mayor de proteger los datos, independientemente de dónde se ejecute la instancia.

De alguna manera, esto desplaza la política de seguridad y el control de acceso a las instancias individuales en lugar de hacerlo dentro de la propia red, pero los diseños de arquitectura de nube híbrida no se adaptan fácilmente a los modelos tradicionales de segmentación de redes. Los activos dinámicos como instancias virtuales, que se ejecutan en tecnología como VMware internamente o en AWS o Azure, y los contenedores son difíciles de colocar detrás de los puntos de aplicación de red fijos. Por lo tanto, las organizaciones pueden adoptar una estrategia de microsegmentación de cero confianza que solo permite que el tráfico fluya entre los sistemas aprobados y las conexiones, independientemente del entorno en el que se encuentren.

Un aspecto completamente nuevo de la estrategia de cero confianza en la nube complementa el enfoque de la red: la administración de identidades y los permisos. Como todos los activos en un entorno de nube son esencialmente objetos definidos por software que se comunican a través de un plano posterior de un proveedor uniforme, un plano de control que impone atributos de identidad como la asignación de privilegios y la política funciona en conjunto con comportamientos y definiciones de red para aislar y controlar las interacciones de la carga de trabajo.

El uso de herramientas como imágenes de instancia y agrupación de contenedores, junto con herramientas de orquestación como Kubernetes o las disponibles de los principales proveedores de IaaS y PaaS, los equipos pueden crear políticas de confianza de afinidad basadas en las definiciones de identidad y privilegios evaluadas y aplicadas por el hipervisor del proveedor y la infraestructura definida por software.

Desafortunadamente, la forma en que se crea y aplica esta capa de control de identidad es específica del entorno del proveedor individual y rara vez se traduce de un entorno a otro. Donde los controles basados ​​en la red pueden aplicarse mediante un enfoque unificado para acceder a las reglas de control que permiten o restringen puertos, protocolos y servicios, y pueden habilitarse con un dispositivo central de firewall u otra plataforma, las definiciones de identidad y las políticas generalmente se adaptan al proveedor ya que sus permisos se adaptan específicamente al entorno de nube en sí.

Para lograr una verdadera confianza cero en el modelo de nube, debe existir una combinación de políticas de permisos de identidad e red, preferiblemente con el perfil de comportamiento de la aplicación habilitado. Ninguna opción de proveedor en la nube lo habilita por completo, lo que puede llevar a algunas organizaciones a herramientas de terceros que generalmente se basan en agentes e incluyen un controlador de políticas independiente que evalúa la configuración de la red, la identidad y los comportamientos de las aplicaciones al tomar decisiones de control de acceso. En el futuro, esta capacidad probablemente se integrará más en los entornos de proveedores de nube individuales, pero habilitar esto para implementaciones de múltiples nubes probablemente llevará algún tiempo.