Microsegmentación y acceso a aplicaciones por identidad

El NIST describe varios enfoques para construir una arquitectura de confianza cero; uno es la microsegmentación, que coloca cada recurso, o un grupo pequeño de ellos, detrás de su propia puerta de aplicación. Otro es mejorar la gobernanza de identidades para que la política se base en la identidad. Se combinan.

El objetivo de segmentar es que un atacante o una cuenta comprometida no pueda moverse a lo ancho de la red: si una pieza cae, el daño queda dentro de su segmento. Lee reglas_actuales.txt con esa idea.

Una regla buena nombra un origen concreto, un destino concreto y un puerto. Una regla ancha da a un grupo entero el acceso a un segmento entero, sin distinguir qué aplicación necesita cada persona. Es cómoda de operar y es la que más lejos deja llegar a una cuenta robada.

Lee las seis reglas de reglas_actuales.txt y ubica la que concede acceso a todo un segmento de servidores por cualquier puerto.

El registro de flujos dice, por cada conexión del día, qué regla la permitió. Contar cuántas pasaron por la regla ancha mide cuánto depende la red de ella, y por tanto cuánto trabajo costará retirarla. En flujos_observados.txt, la última columna lo indica.

Entre los flujos permitidos por la regla ancha hay uno que abre un puerto de administración remota hacia un servidor de bodega. La propuesta (propuesta.txt) dice que la administración de servidores solo debe hacerse con una sesión privilegiada aprobada. Encuentra el flujo que esa propuesta dejaría sin permiso.

La propuesta cambia la lógica: la VPN deja de ser «acceso a un segmento» y pasa a ser «acceso a las aplicaciones que permite el grupo del usuario», con una sesión abierta por el administrador de políticas. El usuario ya no ve la red de servidores, solo las aplicaciones que su identidad permite.