El gran experimento de Trabajo Remoto, impulsado por la pandemia, ha madurado mucho durante los 18+ meses y se han aprendido muchas lecciones. La necesidad de adaptarse a las nuevas condiciones laborales también impulsó el crecimiento de la transformación digital. Todo esto ha remodelado la trayectoria del trabajo y la seguridad empresarial en el futuro.

En el apresurado impulso para ir a distancia y permitir la productividad en los primeros meses de la pandemia, las mejores prácticas de seguridad se relajaron o simplemente se ignoraron. A los trabajadores se les otorgaron derechos de acceso privilegiado que excedían el nivel requerido para el trabajo, hinchando la superficie de ataque. Las tecnologías de acceso remoto, como VPN y RDP, con frecuencia se extendían mucho más allá de sus casos de uso seguro y, a menudo, estaban mal configuradas. Muchas de estas deficiencias de seguridad persisten en la actualidad y los ciberdelincuentes están atacando activamente.

Este blog discutirá cómo varios modelos y tecnologías de control de acceso pueden ayudar a garantizar la seguridad adecuada en torno al acceso remoto para respaldar un modelo comercial de trabajo desde cualquier lugar.

Controles de acceso

Las soluciones para la gestión de derechos de acceso, IAM (gestión de identidades y accesos), son una pieza de seguridad fundamental. La configuración e implementación correctas de los controles de acceso también es fundamental para permitir un entorno de trabajo remoto seguro.

En ausencia de altos niveles de automatización para los sistemas de control de acceso, las empresas no pueden escalar adecuadamente la seguridad y marcar los derechos de acceso de los usuarios incluso en entornos modestamente complejos que pueden abarcar la computación en la nube o híbrida, y una combinación de identidades y cuentas de empleados, proveedores y máquinas.

Revisemos algunas tecnologías y enfoques fundamentales de control de acceso y cómo pueden desempeñar un papel en la seguridad del acceso remoto.

Role model

La estructura predefinida de control de acceso basado en roles (RBAC) se usa a menudo en soluciones de administración de identidades. RBAC ayuda a administrar el control de acceso según el principio de privilegio mínimo (PoLP). Esta estructura también es muy útil para proporcionar acceso remoto a datos almacenados en servidores corporativos. Los roles de usuario prescritos en sistemas de información específicos determinan con qué puede trabajar un empleado de forma remota y prohíben el acceso a información no relacionada con su función laboral.

Por ejemplo, el rol de Tom, que es un empleado del departamento de TI, sugiere la capacidad de realizar cambios en ciertas bibliotecas y archivos del sistema A. Pero este rol no puede ser utilizado por empleados con un nivel de acceso más bajo, por ejemplo, del departamento de contabilidad.

Por el contrario, la contadora Kate puede recibir derechos en el sistema A que le permiten realizar determinadas transacciones financieras. Sin embargo, estas operaciones no están disponibles para la gerente de la oficina, Susan, ya que se encuentra en un nivel funcional inferior y su función en el sistema A solo permite ver datos.

El enfoque RBAC ayuda a reducir el riesgo de infección y compromiso de malware cuando los empleados utilizan puntos finales remotos o redes no seguras para conectarse a servidores corporativos. Este modelo de acceso también reduce la probabilidad de errores al asignar permisos a los usuarios y hace que el acceso sea más transparente para controlar.

Sin embargo, el control de acceso basado en roles por sí solo no es suficiente. Además, especialmente cuando se opera en un modo de emergencia, es posible que no sea posible prever y construir todo inmediatamente con estándares de seguridad aceptables confiando en RBAC.

Modelo de atributo

Sí, el modelo a seguir reduce los riesgos, pero, de nuevo, no los elimina por completo. Por lo tanto, se deben tomar medidas adicionales. Es aquí donde deberíamos hablar de identificación. En el contexto de la conexión remota, la identificación se puede dividir en dos aspectos:

• Identificación del dispositivo
• Identificación de usuario

Aquí crea una base de datos que incluye datos del dispositivo e información sobre los usuarios. Esto permitirá definir combinaciones permitidas y prohibidas, introduciendo así un nivel adicional de control. Esto nos da un modelo de control de acceso basado en atributos (ABAC). Ahora, los usuarios con roles predefinidos tienen acceso a secciones específicas de la red corporativa interna de acuerdo con la combinación específica: ID de usuario – ID de dispositivo.

Por ejemplo, el gerente de marketing, John, recibirá permisos de acceso según el rol del departamento de marketing, si se conecta al sistema A desde su computadora portátil corporativa. El sistema reconocerá su número de identificación de dispositivo. Por otro lado, a un empleado del departamento legal, Adam, se le negará el acceso, ya que está tratando de establecer una conexión al sistema A desde la computadora personal de su hogar, cuyo identificador no figura entre los dispositivos aprobados.

El modelo de atributos de control de acceso es bastante confiable para ayudar a resolver algunos problemas adicionales de seguridad de la información asociados con el creciente volumen de acceso remoto. Sin embargo, aún se necesitan más controles.

Autenticación multifactor

La autenticación multifactor (MFA) es cada vez más una capa de defensa imprescindible, especialmente cuando se trata de acceso remoto y escenarios que implican privilegios elevados más allá de los de un usuario estándar.

Tenga en cuenta que, incluso con las medidas anteriores implementadas, todavía existe el riesgo de que las contraseñas sean forzadas o comprometidas de otra manera. Esto puede ocurrir potencialmente incluso si las contraseñas son muy complejas y se almacenan en una base de datos cifrada. Cuando un atacante captura esta base de datos, el problema de obtener una contraseña está limitado solo por la cantidad de tiempo y la potencia del hardware. Tenga en cuenta que las herramientas de piratas informáticos pueden descifrar contraseñas alfanuméricas de 14 caracteres en aproximadamente dos minutos.

La autenticación multifactor combina dos o más métodos para autenticar fuertemente a un usuario: algo que conoces (como una contraseña), algo que tienes (como un token) o algo que confirma quién eres (datos biométricos). Cada factor adicional aumenta la confianza en que la persona que quiere acceder al sistema es quien dice ser. Es posible que las organizaciones deseen aumentar la cantidad de factores que se utilizan para proteger los activos más sensibles y las áreas de acceso privilegiado.

Los escenarios típicos de MFA incluyen:

• • Leer una tarjeta inteligente e ingresar un PIN

Iniciar sesión en el sistema y solicitar ingresar una contraseña adicional de un solo uso (OTP), que se puede enviar al teléfono o dirección de correo electrónico

Descargar el cliente VPN con un certificado digital válido e iniciar sesión en la VPN antes de otorgar acceso a la red

Leer una tarjeta, escanear una huella digital y responder una pregunta de seguridad

• Usar un token de hardware a través de USB que genera una contraseña de un solo uso y usar una contraseña de un solo uso para iniciar sesión en la VPN

Muchas consideraciones, basadas en una empresa en particular o el entorno operativo, pueden impulsar las decisiones sobre qué factores de autenticación implementar. Por ejemplo, la autenticación biométrica mediante huellas dactilares puede ser un segundo factor conveniente y confiable para el trabajo diario de oficina. Pero si un empleado trabaja de forma remota y debe conectarse a los recursos de la empresa desde diferentes ubicaciones geográficas, puede que no sea conveniente llevar siempre consigo un lector para la autenticación biométrica. En este caso, se pueden usar herramientas de software que generan PIN de inicio de sesión, mensajes SMS o aplicaciones OTP para teléfonos inteligentes.

El objetivo del MFA es crear defensas de varias capas y hacerlo demasiado expansivo para que un atacante obtenga acceso al sistema. Incluso si un factor está comprometido, habrá al menos otro factor, que debe superarse para penetrar en la red.

Gestión de acceso privilegiado

Los sistemas de administración de acceso privilegiado (PAM) son un medio sólido de proteger las conexiones remotas a los activos corporativos y cualquier otro tipo de acceso, ya sea que involucre identidades humanas o no humanas, empleados o proveedores.

Muchos incidentes de seguridad están asociados con el compromiso de credenciales y cuentas con privilegios excesivos, que pueden proporcionar acceso sin restricciones a recursos críticos. PAM reduce estos riesgos mediante la gestión de credenciales privilegiadas, la aplicación de privilegios mínimos y la intermediación de sesiones remotas seguras.

Al administrar activamente las credenciales, como rotarlas o caducarlas después de cada uso, los sistemas y las cuentas pueden protegerse contra los ataques de reutilización de contraseñas, ya que las contraseñas caducan rápidamente. Además, el sistema PAM verifica los derechos de acceso del usuario, si se les permite acceder al recurso de destino en la cuenta utilizada, y solicita un factor adicional de autenticación confiable. Al habilitar controles de acceso adaptativos y just-in-time, los productos PAM minimizan el tiempo durante el cual los privilegios pueden verse comprometidos y también revocan el acceso si el contexto o el riesgo cambian.

La más avanzada de las soluciones PAM también proporciona capacidades de acceso remoto seguro, que pueden acceder mediante proxy a los recursos, sin el uso de una VPN, asegurando que el acceso remoto privilegiado esté bloqueado, que siempre se apliquen los privilegios mínimos y que se auditen todas las sesiones. El control y la gestión de sesiones pueden incluir la realización de registros de pulsaciones de teclas y grabaciones de vídeo, con la capacidad de pausar o finalizar sesiones sospechosas.

PAM es también una tecnología de seguridad clave necesaria para habilitar modelos y arquitecturas de seguridad de confianza cero, que cubriremos a continuación.

Modelo Zero Trust

El modelo confianza cero ha ido ganando impulso durante los últimos años. Sin embargo, la confianza cero se ha consolidado recientemente como una ideología de implementación obligada, en respuesta al aumento del trabajo remoto y la computación en la nube, y los ciberataques de alto perfil que aprovechan la mayor superficie de ataque.

De hecho, un estudio de IDSA a principios de este año informó que el 93% de los profesionales de seguridad de TI afirman que la confianza cero es estratégica para proteger su organización, y el 97% también afirma que la identidad es un componente fundamental de un modelo de seguridad de confianza cero.

La implementación de la confianza cero requiere autenticación y autorización para cada usuario y dispositivo en la red, para cada aplicación a la que acceden. Incluso si las aplicaciones y los dispositivos están unidos en una red corporativa, la autenticación y autorización bajo un modelo de confianza cero operan bajo el supuesto de que ningún usuario es digno de confianza.

El enfoque tradicional de la seguridad de la red se basa en la afirmación de que es muy difícil acceder a la red desde el exterior. Debes pasar por varios cordones de protección de red. Un gran riesgo aquí es que, cuando el usuario (incluido uno malintencionado) ya está dentro de la red, automáticamente se le percibe como de confianza.

Históricamente, las empresas han depositado demasiada confianza en los usuarios individuales. Zero Trust sostiene que no es seguro centrarse principalmente en proteger el perímetro de la red corporativa. En condiciones de confianza cero, ningún usuario, ni dentro ni fuera de la red, se considera de confianza. El modelo de confianza cero es una herramienta más confiable para proteger los activos críticos en un mundo donde los entornos están cada vez más distribuidos, los puntos finales y los usuarios pueden conectarse desde cualquier lugar y la seguridad del perímetro de la red es menos efectiva.

Los enfoques técnicos para implementar dicho modelo pueden variar, pero los principios básicos a seguir son los mismos:

• No se confía en ningún usuario de forma predeterminada, e incluso cuando se otorga acceso, debe ser finito.
• Los usuarios deben recibir el nivel mínimo suficiente de derechos para realizar sus funciones (conocido como el principio de privilegio mínimo).
• Los perímetros de la red deben dividirse en pequeños componentes (microsegmentación), donde cada segmento tiene requisitos de acceso individuales.

Apoyándose en la inteligencia artificial

Finalmente, mirando un poco hacia el futuro, consideremos la promesa de la inteligencia artificial (IA) para ayudar a abordar los desafíos relacionados con el control de acceso.

Es posible que se ejecuten grandes cantidades de datos de un lado a otro durante conexiones remotas masivas, en particular, durante los procesos de autenticación y autorización. En este caso, el uso de la inteligencia artificial puede ayudar de manera significativa, por ejemplo, al analizar e identificar el comportamiento anómalo del usuario y las posibles brechas de seguridad. Se pueden aplicar tecnologías de inteligencia artificial para requerir que los usuarios se vuelvan a autenticar en medio de una sesión, si se detecta actividad sospechosa.

Próximos pasos para marcar en Secure Access Control

El mundo de la tecnología y el trabajo ha experimentado una mini revolución en respuesta a la pandemia mundial. Si bien la lucha inicial ya pasó, es crucial revisar y garantizar que se implementen los controles de acceso correctos para los casos de uso apropiados para cerrar las brechas de seguridad y respaldar la implementación exitosa de las iniciativas de transformación digital.

Autor: Alex Vakulov Artículo Original: Ver Articulo Original