Resumen técnico: Confianza cero

可以看看general

Nota:

¿Nuevo en Zero Trust? Descubraqué es Zero Trust Securityy sobre lasolución Citrix para Zero Trust.

Los enfoques tradicionales basados en el perímetro para proteger los sistemas de información y los datos son inadecuados.

Durante muchos años, el paradigma de la ciberseguridad ha emulado una forma familiar de seguridad física de la Edad Media: el castillo y el foso. Es un enfoque que muchas empresas han adoptado y están encontrando insuficiente en el mundo de la nube.

En este clásico modelo de defensa, múltiples capas de protección con puntos de control y puertas de entrada firmemente asegurados rodean y protegen las joyas de la corona. Todo el acceso se controla y verifica en la puerta de enlace donde se otorgan autenticación y autorización. Sin embargo, una vez verificado, las personas reciben efectivamente riada libre del medio entorno.

El modelo presenta deficiencias, principalmente en lo que se refiere a la concesión de un acceso excesivo a partir de una autenticación y autorización inadecuadas. Los atacantes suelen utilizar subterfugio para eludir las puertas de enlace y herramientas superiores diseñadas para derribar las paredes.

Del mismo modo, en ciberseguridad, los datos valiosos están rodeados por múltiples capas de firewalls, segmentación, autenticación y autorización. Y si bien estos componentes son necesarios, son insuficientes debido a la “deperimetrización” causada por el traslado a la nube y móvil.

Un problema con este modelo de seguridad es la confianza implícita o implícita que se concede a personas o servicios dentro de los muros de la red. La ubicación o la red en la que reside un dispositivo o usuario nunca debe conceder implícitamente un nivel de confianza digno. Se debe suponer que ni la red privada ni ningún dispositivo en ella son intrínsecamente fiables.

¿Cómo aseguran las organizaciones las joyas de la corona con un modelo complejo que incorpora las siguientes variables?

• Usuarios: Ubicados en oficinas corporativas y ubicaciones públicas
• Dispositivos: Móvil, Traiga su propio dispositivo (BYOD), Elija su propio dispositivo (BYOD) y Personalmente habilitado para empresas (COPE)
• Aplicaciones: (Intranet/SaaS, explorador, virtualizado, móvil)
• Acceso y almacenamiento de datos (en las instalaciones y en la nube)

Teniendo en cuenta todas estas facetas del acceso, confiar en un foso a medida que el perímetro de seguridad se convierte en una responsabilidad.

Las VPN han sido durante mucho tiempo la forma tradicional de acceder a aplicaciones y datos empresariales cuando los usuarios están fuera de las ubicaciones corporativas. Este modelo ha funcionado para casos de uso en los que los usuarios finales obtienen acceso a la red corporativa solo desde dispositivos gestionados por la empresa aprobados.

Pero esta es la razón por la que el modelo VPN no satisface adecuadamente las necesidades de los casos de uso en evolución. Las aplicaciones se han modernizado para el acceso basado en la web y se han implementado en entornos multinube. Las aplicaciones, los datos y los servicios no están solo dentro de las paredes del centro de datos. Las ubicaciones se han movido, se han vuelto dinámicas, los usuarios acceden a recursos en todas partes y las organizaciones necesitan un marco que permita un fácil acceso a todos los recursos sin ralentizar la productividad. Obligar el acceso de los usuarios a través de una VPN corporativa en ruta a una aplicación en la nube no tiene nada que ver con la experiencia del usuario final.

La necesidad de una nueva estrategia se ha acelerado con la necesidad de trabajadores remotos. ¿Cómo crea una organización un muro alrededor de un recurso que existe en varias ubicaciones simultáneamente?

Principios rectores

Zero Trust funciona basándose en asumir “nunca confiar y verificar siempre” o una desconfianza innata (“denegar por defecto”). John Kindervag, acuñó el término “Zero Trust” como una forma de resolver el problema agravado de la “deperimetrización” — la expansión y la disolución del perímetro a medida que se vuelve más poroso.

El propósito de una arquitectura Zero Trust es proteger los datos. No se trata de una única arquitectura de red, sino de un conjunto de principios rectores en el diseño y operación de la infraestructura de red. El enfoque Zero Trust proporciona una estrategia de seguridad coherente para acceder a los datos que residen en cualquier lugar, desde cualquier lugar, desde cualquier dispositivo y de cualquier manera.

Con Zero Trust, no se concede confianza implícita a los sistemas en función de su ubicación física o de red. El enfoque requiere una autorización continua independientemente de la ubicación de la solicitud de origen; y aumenta la visibilidad y el análisis en toda la red.

La confianza cero se logra mediante la aplicación intencional del marco. El uso de una colección de productos integrados y con principios de Zero Trust incorporados proporciona un enfoque colectivo para lograr los resultados de negocio deseados.

Citrix ve Zero Trust como una estrategia que se aplica no solo a las redes, sino también a toda la organización en usuarios, dispositivos, redes, aplicaciones y cómo trabajan las personas.

La arquitectura Zero Trust de Citrix se centra en la protección de los recursos y está diseñada e implementada siguiendo principios inspirados en losprincipios de Zero Trustdel National Institute of Standards and Technology (NIST):

1. Todas las fuentes de datos y servicios informáticos se consideran recursos
2. Todas las comunicaciones están protegidas independientemente de la ubicación de la red porque cada red, tanto empresarial como remota, es innatamente hostil y no es fiable.
3. El acceso洛recursos individuales de la empresa se concede por sesión
4. El acceso洛recursos se impone mediante una directiva dinámica que incluye el estado observable de identidad, dispositivo, aplicación, red y puede incluir atributos de comportamiento
5. Dado que ningún dispositivo es inherentemente fiable, la empresa supervisa los activos para garantizar que permanezcan en el estado más seguro posible
6. Toda la autenticación y autorización de recursos son dinámicos y se aplican estrictamente antes de permitir el acceso
7. La empresa recopila tanta información como sea posible sobre el estado actual de la infraestructura de red y las comunicaciones. Utiliza los datos para mejorar su postura de seguridad

Pilares de Cero Trust

El viaje de la confianza empresarial零信任requiere una estrategia para crear un tejido de confianza. Las organizaciones deben identificar las preocupaciones actuales y definir su estructura de confianza para apoyar la transformación digital. El acceso debe estar alineado con la sensibilidad de los datos y la situación en la que se solicitan y utilizan los datos. Zero Trust debe identificar granularmente personas, dispositivos, datos y cargas de trabajo en la red.

Citrix llama a este acceso contextual. Las directivas de acceso examinan los elementos de confianza en los 5 W de Access para otorgar derechos de uso específicos. El acceso contextual es un proceso continuo. Se extiende desde el evento de solicitud hasta autorizaciones de uso de datos específicas y directivas dinámicas que rigen el ciclo de vida de la seguridad de los datos.

• ¿Qué datos deben protegerse?
• ¿De dónde provienen las solicitudes de datos y dónde se encuentran en la red?
• ¿Quién tiene acceso a los datos y durante cuánto tiempo?
• ¿Por qué estas personas necesitan privilegios de acceso?
• ¿Cuándo necesitan acceso a los datos?

Personas

La autenticación y autorización continuas de usuarios de confianza es fundamental para Zero Trust. Identity es el “Quién” que solicita acceso a un recurso. La autenticación de usuario es dinámica y se aplica estrictamente antes de permitir el acceso. Es un ciclo constante de acceso:

• Análisis y evaluación de amenazas
• Adaptación
• Autenticación continua
• Supervisión
• Validación de la fiabilidad del usuario

Identity abarca el uso de tecnologías como Identidad, Credencial y Administración de Acceso. Identity es el conjunto de usuarios y atributos desarrollados por la empresa. Los usuarios y atributos forman la base de las directivas para el acceso a los recursos. Las identidades de usuario pueden incluir una mezcla de identidad lógica, datos biométricos y funciones de comportamiento. Utilice atributos de identidad como el tiempo y la geolocalización para obtener puntuaciones de confianza para evaluar dinámicamente el riesgo y ajustar el acceso de forma adecuada.

La autenticación (tanto usuario como dispositivo) se realiza antes de establecer una conexión y el acceso a los recursos se minimiza solo para aquellos usuarios finales validados. Las personas se autentican continuamente para determinar la identidad y la postura de seguridad de cada solicitud de acceso. Una vez cumplidos estos requisitos, el acceso a los recursos de datos solo se concede cuando el recurso es necesario.

Dispositivos

Las organizaciones necesitan una forma coherente de administrar directivas en todos los dispositivos y modelos de propiedad. Los administradores deben poder determinar qué nivel de confianza pueden tener en el dispositivo. Los dispositivos son una parte de la pregunta “Dónde”. ¿De dónde proviene la solicitud y cuál es el nivel de riesgo del dispositivo? La postura de seguridad en tiempo real y la fiabilidad de los dispositivos son atributos fundamentales del enfoque Zero Trust.

Tradicionalmente, al mirar los dispositivos de punto final, hay tres modelos de propiedad populares (propiedad corporativa, BYOD/CDOD, COPE), cada uno con diferentes factores de confianza inherentes, factores de confianza y necesidad de validación. Con Zero Trust, esa confianza inherente se elimina y cada dispositivo, independientemente de su propiedad, requiere validación.

Red

Una arquitectura Zero Trust se centra en proteger los recursos, no los segmentos de red. La ubicación de red del usuario, dispositivo o recurso ya no se ve como el componente principal de la postura de seguridad. Sin embargo, la capacidad de segmentar, aislar y controlar la red sigue siendo un pilar de seguridad y esencial para una red Zero Trust. Y la capacidad de seleccionar el modelo de entrega de aplicaciones y espacios de trabajo adecuados es la segunda parte de la pregunta “Dónde”.

Las redes Zero Trust se describen a veces como “sin perímetro”. Algunos argumentan que las protecciones perimetrales son cada vez menos importantes para las redes y las operaciones. En realidad, el perímetro sigue ahí, pero de una manera mucho más granular. Las redes Zero Trust realmente intentan mover perímetros desde el borde de la red y crear segmentos para aislar los datos críticos de otros datos. El perímetro debe acercarse más a los datos para reforzar las protecciones y los controles. De ahí la razón por la que el enfoque tradicional de castillo y foso no es suficiente.

Durante las transiciones, las tecnologías basadas en Internet, es fundamental considerar cómo:

1. Control del acceso privilegiado a la red
2. Administrar flujos de datos internos y externos
3. Evitar el movimiento lateral en la red
4. Tomar directivas dinámicas y decisiones de confianza sobre el tráfico de red y datos

Carga de trabajo

Proteger y administrar adecuadamente la capa de aplicaciones, los contenedores informáticos y las máquinas virtuales es fundamental para la adopción de Zero Trust. Ser capaz de identificar y controlar la pila de tecnología facilita decisiones de acceso más detalladas y precisas. Como era de esperar, MFA es una parte cada vez más crítica de proporcionar un control de acceso adecuado a las aplicaciones en entornos Zero Trust.

Un aspecto importante del modelo Zero Trust es otorgar acceso solo a aplicaciones específicas necesarias para que los usuarios finales realicen su trabajo. No se proporciona acceso a la propia red, lo que mejora significativamente la postura de seguridad de la organización al reducir la superficie de ataque.

Datos

Los clientes, empleados y socios son cada vez más móviles y consumen aplicaciones y datos de otros recursos de todas las redes a las que se conectan. Cuando alguien quiere acceder a los datos, un modelo de Zero Trust pesa el valor de los datos con la garantía de que la persona correcta está allí y está autorizada para acceder a los datos mientras utiliza un dispositivo seguro.

洛杉矶requisitos缩印版对位el acceso recurso项目al pueden incluir niveles de garantía del autenticador, como MFA o solicitudes de configuración del sistema. El hecho de que esa persona se encuentre dentro o fuera de la red corporativa no es un indicador fiable de ninguna de esas tres garantías. Sin embargo, marque ubicaciones de red obvias inusuales o no autorizadas, como denegar el acceso desde direcciones IP extranjeras o dentro de plazos inesperados.

Visibilidad, análisis y orquestación

Las arquitecturas Zero Trust requieren una mayor visibilidad del acceso. Está incompleto sin herramientas como administración de información de seguridad, plataformas avanzadas de análisis de seguridad y análisis de comportamiento de los usuarios de seguridad. Estos sistemas supervisan y registran continuamente las solicitudes de acceso y los cambios de directivas a lo largo del tiempo. Los expertos en seguridad necesitan estas herramientas para observar en tiempo real lo que está sucediendo y orientar las defensas de manera más inteligente.

Analytics es el sistema responsable de habilitar, supervisar y terminar las conexiones entre un sujeto y un recurso empresarial. El motor de directivas de análisis es responsable de la decisión final de conceder acceso a un recurso para un cliente o sujeto determinado. Puede utilizar la directiva empresarial y la entrada de fuentes externas.

Los datos de análisis se pueden analizar por separado o combinarse con otros conjuntos de datos de registro y supervisión de seguridad. Varios servicios toman datos de varias fuentes externas y proporcionan información sobre ataques o vulnerabilidades recién descubiertos. Los datos incluyen listas de bloqueo DNS, malware detectado o sistemas de comando y control a los que el motor de directivas desea denegar el acceso desde sistemas empresariales. Mediante el uso de fuentes de inteligencia de amenazas, el motor de directivas puede ayudar a desarrollar medidas de seguridad proactivas antes de que ocurra un incidente real. Analytics puede utilizar una puntuación basada en criterios que asume un conjunto de atributos cualificados que deben cumplirse antes de otorgar acceso a un recurso.

Arquitectura Citrix Zero Trust

Al pasar de un modelo de seguridad basado en perímetro y límite a uno basado en recursos, Citrix Workspace utiliza un enfoque holístico sin VPN consciente del contexto.

Citrix Workspace actúa como punto de aplicación para controlar el acceso a aplicaciones y datos. El acceso comienza con una “denegación predeterminada” en lugar de basarse en la confianza inherente. El acceso solo se concede después de verificar una entidad mediante credenciales de usuario y dispositivo y otros factores, como la hora, la ubicación y la postura del dispositivo. Citrix Zero Trust mitiga la complejidad en torno a estos factores al eliminar la confianza asumida y confirmarla en cada paso del ruta.

Citrix Endpoint Management

Citrix Endpoint Management proporciona datos para evaluar la confianza del dispositivo. Ayuda a responder a la pregunta del nivel de riesgo/confianza del dispositivo a través de la evaluación continua de la postura del dispositivo para apoyar la autorización. La evaluación de dispositivos pre y posterior a la autenticación admite la autorización necesaria para realizar el trabajo de forma segura. Además, se realizan más evaluaciones para cada solicitud de acceso. Citrix Endpoint Management examina si el dispositivo se ha visto comprometido, su versión del software, el estado de protección y la habilitación de cifrado. Citrix Endpoint Management se puede utilizar para realizar análisis de Endpoint Analysis para comprobar si hay certificados de plataforma e incluye funciones para dispositivos unidos a dominios y no unidos a un dominio. Se pueden asignar diferentes niveles de confianza a la administración completa de dispositivos, la aplicación o el acceso desde un explorador con los tres requisitos diferentes.

Citrix Gateway

Citrix Gateway proporciona un enfoque mejorado y flexible de la seguridad. TI está habilitado para configurar varios pasos de autenticación para acceder a datos confidenciales en función de la función del usuario, la ubicación, el estado del dispositivo y mucho más. Citrix Gateway determina el mecanismo de autenticación que se va a utilizar para cada sesión. Utiliza factores como la ubicación de un usuario y el perfil de riesgo del usuario o dispositivo.

El enfoque de identidad de Citrix permite a las empresas conservar sus inversiones. Les permite utilizar las capacidades de seguridad nativas del IdP como MFA, biometría para proteger al usuario dentro del espacio de trabajo. Soporta mecanismos de autenticación LDAP, RADIUS, TACACS, Diámetro y SAML 2.0, entre otros.

Citrix Gateway proporciona directivas SmartAccess y SmartControl que proporcionan flexibilidad para equilibrar la conveniencia del usuario con el riesgo. Según el resultado de un análisis SmartAccess, se puede conceder a un usuario acceso completo, acceso reducido, cuarentena o ningún acceso. Por ejemplo, un usuario que falla una comprobación de conformidad de dispositivos puede obtener acceso a un conjunto reducido de aplicaciones. Las aplicaciones sensibles pueden tener una funcionalidad restringida, como bloquear la impresión y la descarga. SmartControl centraliza la administración de directivas en Citrix Gateway, fortaleciendo el control de acceso en la capa de red antes de que el usuario llegue al recurso back-end.

Consulte elresumen técnico de Citrix Gatewaypara obtener información adicional sobre Citrix Gateway.

Citrix Secure Private Access

Secure Private Access proporciona acceso instantáneo de inicio de sesión único (SSO) a aplicaciones web y SaaS, políticas de seguridad granulares y adaptables, políticas de protección de aplicaciones para todas las aplicaciones y aislamiento del navegador web. Secure Private Access combina elementos de varios servicios de Citrix Cloud para ofrecer una experiencia integrada para los usuarios finales y los administradores:

• MFA y confianza en dispositivos
• SSO Web y SaaS
• Gateway
• Control de aplicaciones en la nube
• Secure Browser
• Protección de aplicaciones
• Análisis

Consulte elresumen técnico de Citrix Secure Private Accesspara obtener información adicional sobre Citrix Secure Private Access.

Citrix安全上网

Citrix Workspace ofrece un enfoque integrado para asegurar el acceso a Internet. Además de administrar los dispositivos de los usuarios, Secure Internet Access se centra en proteger el espacio de trabajo del usuario. La información del usuario siempre está protegida, ya sea que acceda a direcciones URL de listas permitidas, listas de bloqueo o categorías de URL.

Citrix上网ofrece联合国de filtrado电动机de URL integrado con el servicio de aislamiento del navegador. Aborda las “URL de estado gris” ofreciendo el navegador aislado. Los usuarios pueden acceder de forma segura a sitios que se encuentran entre direcciones URL incluidas en la lista de bloqueados o en la lista de permitidos. Juntos, dan a un administrador la opción de bloquear completamente una URL o acceder a cualquier URL en un entorno de entorno limitado. Además, los administradores pueden adoptar un enfoque cauteloso incluso para acceder a las URL de listas permitidas.

Este enfoque garantiza que los usuarios tengan acceso a la información que necesitan. No afecta a la productividad al tiempo que proporciona protección contra amenazas imprevistas o contenido malicioso suministrado desde Internet.

Motor de filtrado de URL tradicional que asume confianza para una URL de lista permitida. Secure Internet Access no confía implícitamente en una URL de lista de permitidos, ya que las páginas web, consideradas seguras por los motores de filtrado de URL, pueden alojar enlaces maliciosos. Con Secure Internet Access, también se prueban las URL dentro de la URL de confianza.

Consulte elresumen técnico de Citrix Secure Internet Accesspara obtener información adicional sobre Citrix Secure Internet Access.

Citrix Content Collaboration

Citrix Content Collaboration es una solución de software como servicio (SaaS) basada en la nube que permite el intercambio seguro de archivos empresariales confidenciales. Content Collaboration protege tanto los archivos en tránsito como en reposo.

Content Collaboration emplea protocolos de seguridad TLS para proteger la autenticación, la autorización y las transferencias de archivos. Los archivos se cifran en tránsito con cifrado de hasta 256 bits. Se emplea un código de autenticación de mensajes con hash con clave (HMAC) para autenticar y garantizar la integridad de las comunicaciones dentro del sistema.

Citrix Content Collaboration proporciona controles configurables a los administradores. Los administradores protegen los documentos corporativos con controles de acceso, registros de auditoría, bloqueo de cuentas y umbrales de tiempo de espera de sesión. Con Citrix Security Analytics, los clientes pueden detectar anomalías en las actividades relacionadas con archivos, identificar infracciones y tomar las medidas apropiadas.

Citrix Analytics

Citrix安全分析苏监督y国际化程度ación continuas de las puntuaciones de riesgo apoyan la filosofía de Zero Trust de “nunca confiar, verificar siempre”. Antes de proporcionar acceso a los recursos, se calcula el nivel adecuado de riesgo /postura de seguridad.

Citrix Security Analytics agrega eventos de todos los servicios de Citrix. Los indicadores de riesgo de soluciones de seguridad de terceros como Microsoft Security Graph se ingieren para emitir puntuaciones de riesgo de usuario. Líneas base de Citrix Security Analytics, ayuda a visualizar y asignar relaciones de confianza. Correlaciona eventos y actividades para identificar anomalías y proporcionar información por usuario, grupo y aplicación.

Citrix Security Analytics también ofrece supervisión continua e información sobre el acceso a sitios web. Las acciones supervisadas incluyen visitar sitios web maliciosos, peligrosos o desconocidos, ancho de banda consumido, descargas arriesgadas y actividad de carga. Si un usuario está descargando cantidades excesivas de datos, se puede activar una acción para solicitar una respuesta del usuario para validar su identidad. En función de la respuesta del usuario, se puede activar una acción secundaria.

Las reglas se configuran para activar acciones específicas en cuentas de usuario mediante la evaluación continua de los umbrales de puntuación de riesgo. Por ejemplo, las sesiones autenticadas en Citrix Workspace pueden cerrarse en un cambio en la puntuación de riesgo.

洛杉矶administradores de seguridad含量回归一个habilitar el acceso una vez que los niveles de riesgo del usuario sean inferiores a los niveles aceptables. Estas capacidades se activan en función de factores contextuales durante el inicio de sesión o de forma continua en función de los desencadenadores de Citrix Security Analytics. Supervisa continuamente los eventos y los indicadores de riesgo de los servicios Citrix y las soluciones de seguridad de terceros, como la protección de Azure AD de Microsoft.

Conclusión

Los modelos de seguridad tradicionales asumen que todos los datos y transacciones son fiables en función de supuestos. Incidentes como compromisos, pérdida de datos, actores maliciosos o comportamiento de usuario poco característico degradarían esa confianza. Zero Trust invierte la postura de confianza asumiendo que todos los datos y transacciones no son de confianza desde el principio.

Para las organizaciones, la promesa de Zero Trust y mitigar el acceso excesivo ha sido un objetivo durante muchos años. Pero su aplicación ha sido difícil de alcanzar. Todos los elementos necesarios han sido excesivamente difíciles de construir y administrar como una solución de seguridad integral. Estos incluyen autenticación multifactor (MFA), administración dinámica de identidades, análisis de dispositivos de punto final, cifrado, administración de derechos de información (IRM), redes específicas de aplicaciones y directivas de uso de datos.

Con Citrix Workspace, los clientes no necesitan implementar productos de terceros para SSO, MFA, SSL VPN, proxy web y aislamiento del explorador. Con Workspace, el acceso sin VPN a los recursos confidenciales está protegido no solo proporcionando directivas de acceso en el momento de la autenticación, sino durante toda la sesión. El acceso está protegido en todos los tipos de aplicaciones y recursos implementados en cualquier lugar de la nube, en las instalaciones o en un modelo de implementación híbrido.