¿Qué es la defensa en profundidad?

El sector de la ciberseguridad adoptó el concepto de DiD del ejército, que históricamente ha creado múltiples perímetros físicos alrededor de un objetivo. Un castillo medieval, por ejemplo, tenía un foso, altos muros de piedra, saeteras para disparar flechas y pasarelas en la parte superior de las paredes donde los defensores podían verter agua hirviendo a cualquiera que subiera por los muros. El foso, los muros y las flechas eran parte de una estrategia de defensa en profundidad. Por si solas, puede que no funcionaran bien, pero colectivamente, crearon una fuerte barrera defensiva.

Así es también en la ciberseguridad. Un objetivo de ataque, como una base de datos, cuenta con una gran cantidad de defensas que incluyen barreras físicas contra la manipulación del hardware, controles de acceso a la red, contraseñas y sistemas de detección de amenazas. Estos son el equivalente a los perímetros concéntricos de un ejército. Estas contramedidas crean una mejor seguridad que la que ofrecen de forma independiente. Eso es la DiD.

No existe una forma única y estandarizada de implementar la DiD. Es dinámica y varía a medida que surgen nuevos métodos y cambian los requisitos de carga de trabajo. Las diferentes cargas de trabajo y prioridades de seguridad de la organización determinarán la forma en que un equipo de seguridad configurará su arquitectura de DiD. En general, sin embargo, la DiD suele funcionar mediante una combinación de los siguientes tipos de controles:

• Físicos: en esta era del cloud computing, es fácil olvidar que el hardware, incluidos los servidores, las matrices de almacenamiento, los conmutadores de red, etc., es vulnerable a las interferencias físicas. Teniendo acceso físico a un servidor, por ejemplo, un atacante podría instalar un rootkit in situ y secuestrar la máquina. Para evitar que esto ocurra, los centros de datos emplean controles físicos como escáneres biométricos, alarmas, videovigilancia, etc.
• Técnicos: incluyen controles basados en software y hardware que mitigan las amenazas transmitidas por la red, como los ataques distribuidos de denegación de servicio (DDoS), el malware, el phishing y el ransomware. Tecnologías como los firewalls, las puertas de enlace web seguras (SWG) y las soluciones de detección y respuesta extendidas (XDR) ayudan a proporcionar los controles técnicos que pueden mitigar las amenazas que llegan a través de la red.
• Administrativos: este es el ámbito de la política de seguridad y el control de acceso de los usuarios. Los controles administrativos incluyen la gestión de acceso e identidades (IAM), los roles de usuario y las políticas de contraseñas. Si está implementando cargas de trabajo en Akamai Cloud, será responsable de implementar y gestionar estos controles de acuerdo con su política de seguridad.

La DiD toma forma a medida que los responsables de seguridad aplican los controles descritos anteriormente, de acuerdo con los principios dominantes de la ciberseguridad. Estos son los elementos principales de la DiD:

• Acceso con privilegios mínimos: establecer una política según la cual un usuario solo debe tener los privilegios mínimos es una forma de ejecutar una estrategia de defensa en profundidad. De esta forma, si un agente malicioso obtiene acceso a la red, su capacidad para filtrar datos confidenciales o interrumpir las operaciones quedará limitada.
• Desarrollo y cadena de suministro seguros: el software debe estar sujeto a controles de seguridad a medida que avanza desde el desarrollo hasta las pruebas y la producción. Esta práctica garantiza que el nuevo software no introduzca vulnerabilidades. La cadena de suministro de software también debe estar protegida de forma similar. El bloqueo de la ruta de un atacante a través del software agrega un nivel de defensa en una arquitectura DiD.
• Segmentación de la red: separar las aplicaciones y los datos confidenciales en diferentes segmentos de red es una forma eficaz de impedir que los agentes maliciosos realicen un “movimiento lateral” en una red. Esta práctica funciona como los muros del castillo. Si un atacante cruza el foso, todavía tiene que escalar el muro.
• Supervisión y análisis del comportamiento: incluso con múltiples niveles de contramedidas, los atacantes pueden seguir accediendo. Los agentes internos también representan una amenaza. Para mitigar este riesgo, es necesario llevar a cabo una supervisión y análisis constantes del comportamiento de los usuarios y del sistema. Este proceso puede identificar eventos anómalos que podrían sugerir que se está produciendo un ataque.
• Zero Trust: con su regla fundacional de “no confiar nunca, verificar siempre”, las redes Zero Trust evitan un gran número de accesos no autorizados. Se suma a la eficacia de una arquitectura DiD.
• Resiliencia: la capacidad de restaurar las operaciones de TI es otro nivel de DiD. Con sólidas funciones de copia de seguridad y restauración, una organización puede recuperarse incluso de un ciberincidente grave, como un ataque de ransomware.

Algunas personas describen la DiD como “seguridad por capas”, pero si bien cada área de la protección DiD podría denominarse una capa, el término “seguridad por capas” significa algo diferente en los círculos de la ciberseguridad. La seguridad por capas se refiere a la implementación de varias herramientas de seguridad para abordar un área única de seguridad. Por ejemplo, un firewall y un sistema de prevención de intrusiones (IPS) bloquean el acceso no deseado, pero logran este objetivo de diferentes maneras. Cada una es una capa de seguridad que funciona frente a la penetración en la red.