Zero trust: qué es la confianza cero, sus principios y el papel del cortafuegos

Zero trust, en español confianza cero, es un modelo de seguridad que parte de una idea: estar dentro de la red de la empresa no da permiso para nada. INCIBE lo resume como desconfiar de cualquier usuario o dispositivo que intente acceder a un recurso de la empresa desde fuera de su infraestructura, aunque ya haya accedido antes. En palabras de INCIBE, ya no se trata de confiar y después verificar, sino de no confiar nunca y comprobar siempre.

Por qué nace

El modelo clásico protege la red como un castillo: un cortafuegos en la entrada y, dentro, todo el mundo se fía de todo el mundo. NIST explica en su publicación SP 800-207 por qué eso ya no basta:

• Las empresas tienen varias redes internas, oficinas remotas, gente que trabaja desde fuera y servicios en la nube. Ya no hay un único perímetro fácil de identificar.
• Cuando un atacante cruza el perímetro, el modelo clásico no le pone freno para moverse de un equipo a otro dentro de la red.

INCIBE lo cuenta con un vigilante de seguridad: antes conocía a cada empleado que entraba en la oficina, pero no puede teletransportarse para comprobar quién se conecta desde casa o desde otro país.

Los siete principios según NIST

NIST define la confianza cero por los principios que debe cumplir, no por los productos que usa. Son siete:

1. Todo es un recurso: los datos y los servicios, desde un servidor hasta un pequeño sensor o una aplicación en la nube.
2. Toda comunicación se protege, esté donde esté. Estar en la red de la empresa no implica confianza: una petición desde dentro debe cumplir los mismos requisitos que una desde fuera.
3. El acceso se da por sesión y con el mínimo privilegio necesario para la tarea.
4. El acceso lo decide una política dinámica, que tiene en cuenta la identidad, la aplicación, el estado del equipo y otros datos como la hora o la ubicación.
5. Se vigila el estado de seguridad de todos los equipos. Ninguno es de fiar por defecto, tampoco los de la empresa.
6. La autenticación y la autorización son dinámicas y se aplican de forma estricta antes de cada acceso, en un ciclo continuo.
7. Se recoge toda la información posible sobre los equipos, la red y las comunicaciones, y se usa para mejorar la seguridad.

NIST reconoce que son el objetivo ideal y que no siempre se pueden aplicar en su forma más pura.

Las piezas de una arquitectura de confianza cero

Según NIST, hay tres componentes lógicos en el centro:

• Motor de políticas: decide si un usuario o un equipo puede acceder a un recurso.
• Administrador de políticas: abre o cierra el camino entre los dos, según lo que decida el motor.
• Punto de aplicación de políticas: la puerta por la que pasa la conexión. La permite, la vigila y la corta cuando toca.

El motor se apoya en otras fuentes de datos: el sistema de gestión de identidades, el estado de los equipos, la información sobre amenazas, los registros de actividad de la red y un SIEM, entre otras.

El papel del cortafuegos: la microsegmentación

Es habitual leer que la confianza cero «elimina el perímetro». NIST matiza que la mayoría de definiciones siguen hablando de perímetros, solo que mucho más pequeños, alrededor de cada recurso.

Una de las formas de aplicarla que describe NIST es la microsegmentación: poner cada recurso, o cada grupo pequeño de recursos, en su propio segmento de red, protegido por un equipo que hace de punto de aplicación de políticas. NIST cita para ese papel los switches o routers inteligentes, los cortafuegos de nueva generación (NGFW) y las pasarelas específicas.

NIST añade una advertencia: se puede hacer algo parecido con equipos menos avanzados, incluso con cortafuegos sin estado, pero el coste de administrarlos y la dificultad para adaptarse a los cambios lo convierten en una opción muy mala.

El modelo de madurez de CISA muestra el camino en la red. En la fase tradicional, la red se divide en pocos segmentos grandes, con pocas restricciones dentro de cada uno, y se usan túneles VPN que llevan todo el tráfico. En la fase óptima, la red está formada por microperímetros distribuidos y una microsegmentación amplia basada en el perfil de cada aplicación.

El modelo de madurez de CISA

CISA, la agencia de ciberseguridad de Estados Unidos, publicó en abril de 2023 la versión 2.0 de su modelo de madurez de confianza cero. Lo organiza en cinco pilares: identidad, dispositivos, redes, aplicaciones y cargas de trabajo, y datos. Por encima de todos van tres capacidades comunes: visibilidad y análisis, automatización y orquestación, y gobierno.

CISA avisa de que el esfuerzo y los beneficios crecen mucho a medida que se avanza, y que cada organización debe elegir qué pilares mejorar según sus necesidades.

Por dónde empezar en una pyme

NIST insiste en que pasar a la confianza cero es un camino, no la compra de una tecnología, y que la mayoría de las empresas vivirán durante un tiempo en un modelo híbrido. Esto es criterio de esta web, a partir de los principios anteriores y de lo que propone INCIBE:

• Identidades primero: autenticación multifactor en el correo, el acceso remoto y los paneles de administración, y cuentas con los permisos justos.
• Separar la red: aunque no sea microsegmentación, dividir en VLAN los equipos de trabajo, los servidores, las cámaras y los invitados, con reglas en el cortafuegos entre ellas, ya frena el movimiento de un atacante.
• Acceso remoto a lo justo: dar acceso a aplicaciones concretas en lugar de a toda la red, que es lo que hace ZTNA.
• Registrar y revisar: guardar los registros del cortafuegos y de los accesos, y mirarlos. INCIBE destaca el análisis del comportamiento, como un inicio de sesión desde un país en el que nunca ha estado ese usuario.