La estrategia para la seguridad de red centrada en el perímetro de los centros de datos empresariales demostró ser inadecuada. Los ataques modernos aprovechan la vulnerabilidad que representa la defensa exclusivamente perimetral para filtrarse junto con usuarios autorizados y moverse lateralmente dentro del centro de datos de una carga de trabajo a otra, sin que exista un control suficiente que bloquee la propagación. La microsegmentación de la red del centro de datos puede ser de gran ayuda para limitar este movimiento lateral no autorizado, pero no ha sido factible desde el punto de vista operacional en las redes tradicionales. ¿Por qué?
El uso de la estrategia de firewall tradicional para alcanzar la microsegmentación se encuentra rápidamente con dos obstáculos operacionales: la capacidad de tasa de transferencia y la administración de operaciones o cambios. La capacidad, se puede superar si se paga el precio, comprando suficientes firewalls físicos o virtuales para brindar la capacidad que se necesita y alcanzar la microsegmentación. Sin embargo, en el caso de las operaciones, aumenta exponencialmente con el número de cargas de trabajo y la naturaleza cada vez más dinámica de los centros de datos. Si se necesitan agregar, eliminar o modificar manualmente reglas de firewall cada vez que se agrega, mueve o retira una máquina virtual, la tasa de cambios sobrepasa rápidamente las operaciones de TI. Este obstáculo ha destruido la mayoría de los planes de los equipos de seguridad para concretar una estrategia integral de microsegmentación o “Zero Trust”.
La estrategia del Centro de Datos Definido por Software (SDDC) de VMware aprovecha la plataforma de virtualización de red NSX para ofrecer varias ventajas significativas:
- Aprovisionamiento automatizado.
- Tareas automatizadas para mover, agregar y cambiar cargas de trabajo.
- Cumplimiento distribuido en todas las interfaces virtuales.
- Rendimiento de firewall en el kernel, de escalabilidad horizontal, distribuido a todos los hipervisores e incorporado a la plataforma.
La plataforma VMware NSX brinda de manera inherente tres niveles de seguridad en los centros de datos: aislamiento, segmentación y segmentación con servicios avanzados.
Aislamiento, es la base de casi toda la seguridad de red. Mientras que las reglas de enrutamiento, listas de control de acceso o firewall en los dispositivos físicos que se configuran y mantienen de modo manual se han utilizado tradicionalmente para establecer y garantizar el aislamiento, dicho aislamiento y la modalidad multicliente son inherentes a la virtualización de red. Las redes virtuales se aíslan de cualquier otra red virtual y de la red física subyacente por defecto, lo que genera un principio de seguridad de menor privilegio. No se necesitan subredes físicas, redes de área local virtuales, ACL, ni reglas de firewall para habilitar este aislamiento. Este es un ejemplo muy útil: el aislamiento entre las redes virtuales permite superponer direcciones IP, lo que posibilita tener redes virtuales de desarrollo, prueba y producción aisladas, cada una con versiones de aplicaciones diferentes, pero con las mismas direcciones IP y todas funcionando al mismo tiempo, en la misma infraestructura física subyacente.
Segmentación, está relacionada con el aislamiento, pero se aplica dentro de la red virtual de múltiples niveles. Tradicionalmente, la segmentación de red es una función de un firewall o enrutador físico, que se diseñó para permitir o rechazar el tráfico entre segmentos o niveles de la red. Un ejemplo es la segmentación de tráfico entre un nivel web, un nivel de aplicaciones y un nivel de base de datos. Los procesos tradicionales para definir y configurar la segmentación llevan mucho tiempo y son muy propensos a errores humanos, dando como resultado un gran porcentaje de brechas en la seguridad. La implementación requiere un nivel de conocimiento profundo y especializado en la sintaxis de configuración de dispositivos, en direcciones de red, puertos de aplicaciones y protocolos. La plataforma de virtualización de redes VMware NSX brinda funciones básicas de firewall de inspección sin pérdida de estado para ofrecer segmentación dentro de las redes virtuales. Como en el ejemplo anterior, estas pueden representar un nivel web, un nivel de aplicaciones y un nivel de base de datos.
Segmentación con servicios avanzados, la plataforma NSX distribuye servicios de red en el vSwitch para crear un proceso lógico de servicios que se aplique al tráfico de redes virtuales. Se pueden insertar servicios de terceros en este proceso lógico. Por ejemplo, la integración con Palo Alto Networks aprovecha la plataforma VMware NSX para distribuir el firewall de siguiente generación de su serie de máquinas virtuales. En el proceso lógico de la red virtual se insertan las políticas de seguridad definidas por las cargas de trabajo de las aplicaciones aprovisionadas o trasladadas al hipervisor. Otro ejemplo incluye a Rapid7, que puede habilitar un escaneo automático y periódico de vulnerabilidad de las máquinas virtuales, y habilitar una política que pone automáticamente en cuarentena a las máquinas virtuales si no cumplen con ciertos estándares. De esta manera, después de los escaneos de vulnerabilidad de Rapid7, el segmento en cuarentena podría quedar protegido con una política de firewall de siguiente generación de Palo Alto Networks que solo admita herramientas de corrección de entrada y no de salida. Al combinarlos se logra una cuarentena automática de cargas de trabajo vulnerables.
Aún se necesitarán los controles de seguridad de perímetro, pero ahora los controles internos de la red no solo son necesarios, también son factibles. La plataforma de virtualización de red VMware NSX, abrió las puertas a un nuevo modelo operacional para el equipo de seguridad con la infraestructura física que ya posee. No hace falta un hardware de redes nuevo.
Una estrategia de centro de datos definido por el software además de hacer que la microsegmentación sea operacionalmente factible, también la hace rentable. Normalmente, los diseños de microsegmentación comienzan con el diseño de tráfico de este a oeste, para conectar entre nodos mediante firewalls físicos de gran capacidad. Esta estrategia es costosa y exigente operacionalmente, al punto de no ser factible en la mayoría de los grandes entornos. La plataforma NSX representa una fracción del costo de los firewalls físicos en estos diseños, y logra escalar horizontalmente de manera lineal a medida que los clientes agregan más cargas de trabajo.
Le invitamos a ponerse en contacto con nosotros para proveerle más información respecto al apoyo que Adaptix Networks puede brindar específicamente a su empresa mediante las herramientas de virtualización VMware, así como los casos de éxito de nuestros clientes.
