Llegamos a ustedes gracias a:



Noticias

La nueva especificación SDP 2.0 facilita la madurez de la confianza cero

[27/04/2022] La Cloud Security Alliance (CSA) ha publicado recientemente la especificación Software-Defined Perimeter (SDP) 2.0, creada por sus grupos de trabajo de SDP y de confianza cero. Teniendo en cuenta que la especificación original se publicó en el 2014, y que hemos visto el afán de todo el sector por adoptar la confianza cero, esta actualización es oportuna. El SDP está estrechamente vinculado a la búsqueda de la implementación de una arquitectura de confianza cero, y lo que sigue son los aspectos clave del SDP 2.0 en entornos de confianza cero que los CISO y otros líderes de seguridad deben conocer.

Este análisis de alto nivel de la especificación SDP 2.0 ayuda a los responsables de seguridad y tecnología a comprender los componentes y principios básicos de la implantación de un SDP. También destaca las sinergias entre esfuerzos como las arquitecturas nativas de la nube, las implementaciones de malla de servicios y la búsqueda más amplia de la confianza cero.

El SDP se centra en el software y los activos de red

A alto nivel, un SDP es esencialmente un perímetro centrado en el software, no en el hardware, y en los activos sobre las redes. Dada la adopción generalizada de la computación en la nube y el hecho de que todo esté definido por el software y el código, esta evolución parece lógica. Los SDP también ayudan a aplicar los principios fundamentales de la confianza cero, como el control de acceso menos permisivo, la asunción de la violación y las metodologías basadas en la confianza, pero la verificación.

Como proclamó una de las coautoras del SDP, Juanita Koilpillai, "El perímetro de la red ha muerto; larga vida al SDP". Con esta mentalidad, el SDP desplaza el foco de protección del perímetro de la red a la protección de los activos de la organización, lo que es clave para lograr con éxito la confianza cero. Incluso la estrategia federal de confianza cero pide que se rompan los perímetros de red tradicionales para que los sistemas sean accesibles de forma segura a través de Internet.

Componentes arquitectónicos del SDP 2.0

El SDP 2.0 incluye componentes arquitectónicos fundamentales para lograr sus resultados. Entre ellos se encuentran los hosts SDP y los controladores SDP. También incluye un plano de control y un plano de datos, que son omnipresentes tanto en los entornos nativos de la nube como en los que implementan una arquitectura de malla de servicios.

Un controlador SDP puede considerarse como un punto de decisión de políticas (PDP) en el contexto de confianza cero, donde se definirían las políticas de control de acceso. Un host SDP funciona como un punto de aplicación de políticas (PEP) en el contexto de confianza cero y ayuda a aplicar las políticas de acceso del controlador SDP. Los hosts SDP normalmente se sitúan delante de las aplicaciones y servicios para controlar el acceso tal y como se define en las políticas de la organización.

A partir de esta información, el controlador del SDP también se comunica con entidades internas, como los servicios de gestión de identidades y accesos (IAM), y posiblemente externas si las organizaciones utilizan opciones de identidad como servicio (IDaaS) basadas en la nube, por ejemplo.

En el contexto del SDP, los hosts son tanto iniciadores como aceptadores, alineados con el flujo de trabajo de las solicitudes de acceso. El host iniciador (IH) generalmente proporciona información relacionada con la identidad, pero en las organizaciones más maduras también señales como la postura del dispositivo o la ubicación geográfica.

Según el modelo de madurez de confianza cero de CISA, las organizaciones consideradas "avanzadas" en su pilar de dispositivos utilizan análisis de riesgo en tiempo real asociados a los dispositivos para facilitar las decisiones de control de acceso a los datos o recursos de la organización. Teniendo en cuenta esto, es obvio cómo el SDP 2.0 facilita este nivel de madurez de confianza cero.

En el otro extremo de un IH vive un host aceptante (AH), que esencialmente funcionan como PEP para controlar el acceso a los recursos o servicios de la organización. Reciben instrucciones de los controladores SDP para facilitar y hacer cumplir las decisiones de control de acceso.

Aunque hay muchos más detalles de los que se exponen aquí, ahora se puede empezar a entender cómo estos componentes arquitectónicos del SDP 2.0 empiezan a tomar forma y se alinean con los principios de la confianza cero, tal y como se acepta ampliamente en la industria.

Arquitectura SDP 2.0.

Modelos de implantación de SDP 2.0

SDP 2.0 admite seis modelos de implantación. Algunos de los aspectos clave a tener en cuenta son los componentes principales, como los clientes, los servidores y los gateways. Los clientes son seres humanos o entidades no personales (NPE) que solicitan acceso a los recursos. Un gateway SDP funciona como un AH, tal y como se ha comentado anteriormente, operando como un PEP para los recursos y datos de la organización. En los modelos en los que se requiere una protección de extremo a extremo, el AH y el servidor funcionan como un único host y aplican las políticas de control de acceso de la organización directamente sin un gateway. Las organizaciones deben examinar estos distintos modelos de despliegue para utilizar los que mejor se ajusten a sus necesidades.

Flujos de trabajo SDP 2.0

Un aspecto clave del éxito de las implementaciones de SDP son los flujos de trabajo asociados. Esto incluye el flujo de trabajo de los controladores iniciales y posteriores del SDP, así como los de la incorporación de los AH y los IH, tal y como se ha comentado anteriormente, para implementar la arquitectura más amplia del SDP.

A estas alturas debería ser evidente la importancia de los controladores de SDP para una arquitectura de SDP funcional, y por esta razón muchas organizaciones desplegarán varios controladores de SDP para facilitar tanto el equilibrio de la carga, como la resistencia general para mitigar las preocupaciones de un único punto de fallo (SPoF). Entender estos flujos de trabajo de SDP es clave, así que asegúrese de profundizar en la especificación SDP 2.0 para obtener más detalles.

Reducción de la superficie de ataque

Otro aspecto fundamental de SDP 2.0 es la búsqueda de minimizar la superficie de ataque de la organización reduciendo la visibilidad de los recursos a entidades no autorizadas. SDP utiliza la Autorización de Paquete Único (SPA). SPA hace que los recursos sean invisibles para las entidades no autorizadas mediante el uso de la criptografía. Los dispositivos con un secreto criptográfico pueden establecer conexiones de red con componentes SDP, mientras que los que no tienen el secreto criptográfico simplemente no pueden establecer esas conexiones. Tómese un segundo para pensar en lo drásticamente diferente que es este escenario de las protecciones de red tradicionales, como las VPN. Los vectores de ataque de los actores maliciosos, como la fuerza bruta, las credenciales comprometidas y otros, están severamente limitados debido a este concepto.

Autenticación mutua

Otro aspecto clave del SDP 2.0 es la implementación de la autenticación mutua entre los componentes del SDP. Volviendo a citar tanto la estrategia federal de confianza cero como el modelo de madurez de confianza cero de CISA, los entornos maduros de confianza cero cifran todo el tráfico siempre que sea posible, no solo hacia ubicaciones externas sino también internas. El TLS mutuo (mTLS) se enfatiza en todos los modelos de implementación del SDP y se apoya en pasos adicionales como la validación de la identidad y del dispositivo.

La especificación SDP 2.0 sienta las bases para proteger los datos y recursos de la organización de una forma mucho más madura de lo que se suele hacer en la mayoría de las empresas. Como cualquier sistema tecnológico, no es infalible. Las organizaciones deben tomarse el tiempo necesario para comprender tanto los conceptos de la arquitectura como las implementaciones y los modelos de amenazas asociados a las arquitecturas SDP. Hacerlo permitirá a las organizaciones adoptar los SDP de forma segura y resistente.

Primer Contacto

Más »

Casos de éxito

Más »