El documento describe la evolución del modelo de seguridad Zero Trust y su implementación. El modelo Zero Trust fue concebido en 2010 y se basa en la verificación de todo intento de conexión antes de brindar acceso, sin confiar automáticamente en nada interno o externo. El documento explica las razones para implementar Zero Trust, sus componentes tecnológicos como la microsegmentación y autenticación multifactor, y cómo iniciar su despliegue de forma gradual reemplazando sistemas heredados.

1. LA EVOLUCIÓN
DEL ACCESO SEGURO
Luis Gonzalo Acosta c.
Sales Director Enterprise LATAM
Luis.Acosta@Cyxtera.com
Modelo de seguridad “ZeroTrust”
y su implementación.

2. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
▪ El modelo Zero Trust, fue concebido in 2010 por John Kindervag
analista principal de Forrester Research Inc.
▪ Zero Trust es un concepto de Seguridad centrado en la creencia de que las
organizaciones no deberían confiar automáticamente en nada/nadie sin importar
que provenga del interior o del exterior de su perímetro, y a cambio se debe
verificar (autenticar y autorizar) todo intento de conexión antes de brindar
cualquier acceso a sus recursos.
Modelo Zero Trust
Fuente: https://www.csoonline.com/article/3247848/network-security/what-is-zero-trust-a-model-for-more-effective-security.html

3. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
Razones para desplegar Zero Trust
▪ Según el modelo Zero Trust, todo el tráfico de red es desconfiable, por seguridad, se requiere verificar
y asegurar todos los recursos, limitar y reforzar estrictamente el control de acceso, inspeccionando y
analizando todos los registros de tráfico.
➢ Los modelos de seguridad de red tradicionales basados en perímetros no protegen contra las amenazas de hoy.
➢ Los ambientes de IT en la actualidad son híbridos y distribuidos sin determinación de perímetros (Cloud, SaaS,
tercerización, asociados)
▪ Los hackers actuales, al igual que los espías, toman medidas extraordinarias para ocultar sus
actividades, aprovechando violaciones de seguridad discretas y lentas evitando su detección para poder
recopilar información durante largos periodos.
Ciberdelincuentes incentivados financieramente. Vender información de identificación personal (PII) y propiedad
intelectual (IP) es un mercado próspero y lucrativo en la clandestinidad criminal.
Empleados descontentos. Sufrir una pérdida de trabajo o incluso desacuerdos pueden ser motivadores a que algunos
busquen venganza. (Anonymous).
Terceros. Mediante el acceso legítimo que se les otorga, los terceros pueden tener acceso a los sistemas de
información sin ser detectados y sin activar alarmas. (voluntaria o involuntariamente).
Mal uso del empleado. Las infracciones de datos también son el resultado de negligencia y/o desconocimiento de las
políticas y normas de seguridad de la organización.
Fuente: Forrester - No More Chewy Centers- The Zero Trust Model

4. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
En donde se encuentran las brechas de seguridad
Interno
Relación Interna de confianza
Relación Interna de confianza
Estudio previo de la compañía
Estudio previo de la compañía
Situación Común
Contexto de las brechas de seguridad

5. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
Componentes tecnológicos Zero Trust
El enfoque Zero Trust está conformado por varias tecnologías existentes basadas en
estándares de industria y procesos de gobierno para cumplir su misión de asegurar el entorno
de TI de la empresa.
▪ Exige que las empresas aprovechen la microsegmentación y la aplicación de perímetro individual y
granular en función de los usuarios con su contexto de conexión, sus ubicaciones y otros datos para
determinar si se debe confiar en ese usuario/dispositivo/ aplicación que busque acceder a un recurso
específico de IT de la empresa.
▪ El modelo Zero Trust recurre a tecnologías tales como autenticación multifactorial, IAM, orquestación, análisis
y visibilidad, cifrado, privilegios y permisos de los sistemas.
▪ Zero Trust también exige políticas de gobernabilidad tales como dar a los usuarios la menor cantidad de
acceso que necesiten para realizar una tarea específica, también tener claridad de todos los recursos de IT a
Gobernar y los usuarios/sistemas que los acceden con detalle de sus privilegios y condiciones.
▪ Zero Trust requiere análisis de red y visibilidad, se registra e inspecciona todo el tráfico, tanto interna como
externamente, independiente de la ubicación o el modelo de alojamiento.

6. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
Modelo de seguridad tradicional
Modelo tradicional por capas de
Red, adicionando los múltiples
controles de seguridad.
Fuente: http://www.virtualstarmedia.com/downloads/Forrester_zero_trust_DNA.pdf

7. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
Componentes Zero Trust: MicroCores y MicroPerimetros
Utilice Gateways de segmentación integrado como núcleos de la red.
Los Network Segmentation Gateway SG son una nueva categoría de productos que
integran los servicios de seguridad a una fábrica de transporte de paquetes, de manera
que se puedan integrar servicios como Firewalls, IPS, WAF, NAC, content filtering
gateways, network access control, VPN y cifrado a un sistema de alta capacidad de
conmutación.
La principal habilidad de los SG es micro segmentar las redes de manera segura
considerando esta funcionalidad como el ADN mismo de RED.
Se consideran los SG
como el siguiente
nivel de los UTM
Tradicionales.
Fuente: http://www.virtualstarmedia.com/downloads/Forrester_zero_trust_DNA.pdf

8. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
Fuente: http://www.virtualstarmedia.com/downloads/Forrester_zero_trust_DNA.pdf
Con los Network Segmentation Gateway SG se debe poder crear un “micro core and Perimeter”
(MCAP) para cada usuario de la red, donde se puedan administrar todas las reglas de acceso y
seguridad a cada uno de los recursos en los que tenga privilegios.
La gestión unificada es fundamental, pues se
debe poder modificar dinámicamente según
los cambios de contexto de los usuarios
manteniendo las políticas definidas.
Componentes Zero Trust: MicroCores y MicroPerimetros

9. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
Red de Adquisición de Datos y Visibilidad
Fuente: http://www.virtualstarmedia.com/downloads/Forrester_zero_trust_DNA.pdf
• Se debe crear una “Data Acquisition Network” DAN
para obtener complete visibilidad del trafico de red.
• Como concepto esencial del modelo Zero Trust se debe
inspeccionar y almacenar todo el tráfico de cada
MCAP, se reciben típicamente paquetes, Flows, Syslog
y SNMP de las redes Privadas (LAN, WLAN, MAN y
WAN) y de servicios públicos como Cloud, SaaS,
terceros.
• Toda esta información puede ser reflejada a los sistemas
centrales Security Information Management (SIM) and
Network Analysis and Visibility (NAV) para análisis y
monitoreo de todo el trafico.

10. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
Beneficios generales de Zero Trust
➢ La empresas deben trabajar en un ecosistema complejo con
clientes y usuarios externos cada vez más preocupados por su
privacidad, sus empleados digitales, socios y proveedores
exigentes, todos conectados permanentemente a nuevos
sistemas de información y servicios en la nube.
➢ El modelo dinámico basado en los datos de la compañía y la
identidad de quien interactúa con ellos, permite la creación de
microperímetros con mayor control y visibilidad.
➢ Soporte de nuevas demandas de negocios de manera ágil,
escalable y segura. (Time to Market)
➢ Adaptabilidad y recepción de los nuevos retos disruptivos de la
industria actuales y futuros (IOTs, Digital Workspace, Devops,
Secops/Opsec/DevSec) .
Fuente: http://www.virtualstarmedia.com/downloads/Forrester_zero_trust_DNA.pdf
La mayoría de las empresas ya no trabajan en forma aislada y no pueden limitar sus procesos,
aplicaciones y datos dentro del perímetro tradicional de la organización.
Zero Trust es habilitador de negocios Digitales

11. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
Condiciones de diseño y beneficios
El modelo Zero Trust es una oportunidad
de re-estructurar la red con seguridad
• Debe ser agnóstico a la plataforma de comunicaciones.
• Para que sea una red Zero Trust debe soportar cualquier tipo de
recurso en sus MCAPs (Smartphones, Tablet, IoTs, PCs, otros).
• Debe reducir costos y esfuerzos en cumplimiento regulatorio.
• Debe habilitar virtualización segura (Red y Recursos IT).
• Debe ser escalable y modular a las nuevas oportunidades de
hacer negocios.
• Asegurar servicios en ambientes multitenant.
• Soporte de ambientes híbridos y Cloud computing.
• Los Gateways de segmentación SG deben poder implementarse
en entornos virtuales y en configuraciones de alta disponibilidad.
• Los SG deben permitir Balanceo de Carga para que sea modular
escalable y resistente a fallas.
• Las redes Zero Trust requieren gestión y control centralizado
• La solución debe permitir la modularidad para implementación
por etapas.
CardHolder Data (CHD)
Fuente: http://www.virtualstarmedia.com/downloads/Forrester_zero_trust_DNA.pdf

12. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
Como Iniciar con un modelo Zero Trust
▪ Muchas de las áreas de IT ya cuentan con algunos componentes del modelo Zero Trust, a menudo tienen autenticación
multifactor, IAM y administración de privilegios desplegados. Se está implementando cada vez más la microsegmentación
en partes de su entorno. Sin embargo, para desarrollar un entorno de Zero Trust se deben desplegar estas y otras
tecnologías además de procesos necesarios para hacer cumplir la idea de que nadie/nada tendrá acceso hasta que se haya
demostrado su autenticidad, cuente con los privilegios y condiciones apropiados para conectarse.
▪ Llegar a un modelo Zero Trust no es un logro rápido ni será fácil, particularmente si se cuenta con sistemas heredados que
no se adaptan bien a este modelo, se debe considerar el desarrollo a un entorno Zero Trust como un proyecto multifásico y
multianual.
▪ La migraciones hacia la nube son la oportunidad ideal para desplegar un modelo Zero Trust.
▪ El cambio organizacional puede ser un factor crítico debido a que la mayoría de los expertos en TI han sido entrenados
para confiar implícitamente en sus entornos, considerando que los Firewalls son la principal protección que evitan ser
vulnerados, y se debe considerar que los atacantes ya están en todo el entorno.
▪ El modelo Zero Trust implica desarrollo de procesos continuos y dinámicos, por lo que los equipos de IT deben asegurarse
de configurar y automatizar los procesos de manera adecuada permitiendo así adaptaabilidad al cambio en cada entorno
microsegmentado y evitar interrupción de servicios o generar brechas de seguridad.

13. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
Despliegue parcial o modular Zero Trust.
➢ Implementación parcial
✓ VPNs y Acceso remoto
✓ Digital workspace
✓ Usuarios Privilegiados
✓ Sistemas confidenciales y de alta seguridad
✓ Administración plataforma crítica
✓ Acceso de Terceros, socios, outsourcing
✓ Segregación de Redes (PCI, Scada, IoT)
➢ Despliegue Gradual desde modelo tradicional
✓ Despliegue por procesos/Áreas/Deptos./Compañías
✓ Servicios Cloud
✓ Servicios en demanda
CardHolder Data (CHD)
Fuente: http://www.virtualstarmedia.com/downloads/Forrester_zero_trust_DNA.pdf
Se recomienda a las organizaciones que construyan su modelo Zero Trust "por diseño, no por retro adaptación". En otras
palabras, deberían seguir el modelo Zero Trust como parte de su estrategia global de transformación digital, implementando las
tecnologías que pueden ayudarlos a lograrlo y retirar/reemplazar los viejos sistemas heredados.

14. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
Recomendación diseñar y desplegar Zero Trust
Software Defined Perimeter (SDP), También conocido como “Black Cloud”
14
Esunaaproximacióndeseguridadendondeseinvolucraeltrabajorealizadopor DEFENSEINFORMATIONSYSTEMSAGENCY (DISA)
bajolainiciativade GlobalInformationGrid(GIG) conocidacomoBlackCoreNetwork en2007.
• LaconectividadenSDPestabasadaenelmodeloneed-to-know,endondeesnecesarioconocerlaposturaeidentidaddecada
dispositivo/usuarioantesdepermitiraccesoalainfraestructurayaplicaciones.
• Lainfraestructuraaplicativaesefectivamente “black”(eltérmino DoDsignificaquelainfraestructuranopuedeserdetectada),sin
informaciónvisibledeDNSoDireccionesIP.
LosdesarrolladoresindicanqueSDPmitigacomunesyprincipalesataquesenlasredes,incluyendo:
➢ server scanning,
➢ denial of service
➢ SQL injection,
➢ operating system
➢ application vulnerability exploits
➢ man-in-the-middle,
➢ cross-site scripting (XSS),
➢ cross-site request forgery (CSRF),
➢ pass-the-hash / pass-the-ticket,
➢ attacks by unauthorized users.
Fuente: https://en.wikipedia.org/wiki/Software_Defined_Perimeter

15. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
Software Defined Perimeter
Accesoderedseguroyadaptabledinámicamente

16. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
SDP Virtual y Resistente.
16
CLIENTE
APLICACIÓN
APLICACIÓN
APLICACIÓN
COLOCACIÓN
INSTALACIONESAWS
Entorno Hibrido
Control de Comunicacion entre Servidores

17. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA
• Se puede desplegar software de control
(Headless Client) en los servidores y controlar
asi susComunicaciones.
• El servidor B se conecta con el servidorC via
el Gateway de forma similar a como lo hace
un usuario, y esta conexión esta asegurada
con las políticas por SDP.
• Los servidores pueden tener opcionalmente
la funcionalidad de Ringfencing para poder
administrar el trafico entrante a cada uno de
ellos.
17
Asegurando el trafico Server-to-Server con SDP
Protección contra movimiento lateral
• Control server-to-server entre segmentos – Implica Microsegmentación
• Políticas centralizadas y administrables.
• Opcional “Ringfence” para aislar los servidores de trafico no
administrado por APPgate.
C DA B

18. CYXTERA TECHNOLOGIES CONFIDENTIAL | PROVIDED UNDER NDA 18
SDP: El consenso de la industria
SDP les permite alas organizaciones suministrar acceso seguro, ágil, gestionable ycentradoen
elusuario a sus redesysistemas. Sudespliegue es más fácil y menos costoso que la
implementación de firewalls, concentradoresVPNyotrastecnologías estáticas.”
“
Los modelos de seguridad tradicionales ybasados en perímetros físicos son
inefectivos contra los ataques. Laseguridad debeestar presente alolargo delsistema.”
“
BeyondCorp nootorgaacceso aservicios yherramientas con base en laubicación física del
usuario nien laredutilizada; en vez deesto, las políticas de acceso se basan en el
dispositivo empleado, su estado, y usuario asociado.”
“
Se hacomprobadoque elmodelo deseguridadSDP detiene todas las formas de ataque a
redes, incluyendo DDoS, Man-in-the-Middle, consultas aservidores (OWASP10), y
Amenazas PersistentesAvanzadas.”
“

19. www.cyxtera.com | info@cyxtera.com
Gracias!
Inquietudes o sugerencias.
Luis Gonzalo Acosta C.
Sales Director Enterprise
luis.acosta@Cyxtera.com