Zero Trust Branch: Diga adiós al movimiento lateral de amenazas

La creciente expansión de la red y la seguridad

Las arquitecturas de red heredadas se diseñaron para un mundo en el que todos sus empleados trabajaban desde la oficina y sus aplicaciones se encontraban en centros de datos. Construimos y optimizamos redes privadas para conectar sucursales y centros de datos utilizando tecnologías como MPLS y VPN de sitio a sitio, y más recientemente SD-WAN, y aseguramos el perímetro con firewalls: todo lo que estaba dentro de la red era confiable y todo lo de afuera no lo era.

A medida que las aplicaciones se trasladaron a la nube y las organizaciones se volvieron más distribuidas, simplemente ampliamos esta red a ubicaciones remotas, socios y la nube. Estas redes siguieron teniendo demasiada confianza implícita. Los intentos de segmentar estas redes mediante firewalls solo han contribuido a una proliferación interminable de los mismos, proyectos de segmentación interminables y una explosión en costos y complejidad, agotando los recursos de los equipos de infraestructura.

La SD-WAN tradicional facilita los ataques de ransomware

Si bien estas arquitecturas de red heredadas han facilitado la comunicación entre usuarios, dispositivos y cargas de trabajo, también facilitan el movimiento lateral de amenazas. Un solo dispositivo infectado en una sucursal puede llegar e infectar sus aplicaciones más importantes en el centro de datos o la nube. Esta es una de las principales maneras en que se propagan los ataques de ransomware. Según el Informe sobre el ransomware ThreatLabz de 2024, vimos un aumento del 58 % en la cantidad de empresas extorsionadas solo el año pasado, con pagos récord que alcanzaron los 75 millones de dólares. Los ataques de ransomware continúan proliferando por una sencilla razón: las SD-WAN tradicionales amplían su superficie de ataque y permiten el movimiento lateral.

Seguir utilizando arquitecturas heredadas en un mundo moderno no solo aumenta los costos y la complejidad, sino que también lo expone.

Zero Trust Branch: sin movimiento lateral, sin firewall

Con una arquitectura Zero Trust Branch, no necesita extender su red por todas partes: sus sucursales se convierten en cafeterías. Los usuarios, dispositivos y aplicaciones se comunican a través de Zero Trust Exchange mediante cualquier conexión de banda ancha o celular. No hay puertos abiertos a la espera de conexiones VPN que los atacantes puedan explotar. Un dispositivo en una ubicación no puede escanear la red para encontrar dispositivos y aplicaciones en otras ubicaciones. Al no existir una red plana enrutable, no necesita firewalls en cada sucursal.

Zero Trust Branch es posible gracias a tres innovaciones clave de Zscaler. En primer lugar, Zscaler Zero Trust SD-WAN sustituye a su SD-WAN tradicional, MPLS o VPN de sitio a sitio y facilita las comunicaciones entrantes y salientes seguras desde su sucursal. Utilizando un dispositivo Zscaler Edge que termina y gestiona directamente sus conexiones ISP, Zero Trust SD-WAN optimiza el rendimiento de las aplicaciones y brinda una protección completa frente a ciberamenazas y datos para todo el tráfico de usuarios, dispositivos y servidores desde la sucursal. Con tres dispositivos físicos (ZT 400, ZT 600 y ZT 800) y un dispositivo virtual (ZT VM), las organizaciones pueden conectar una variedad de sucursales, campus, fábricas y centros de datos al Zero Trust Exchange.

Nos complace anunciar los nuevos dispositivos Zsaler Edge con soporte celular 5G, como conexión ISP primaria o de respaldo, para asegurar ubicaciones adicionales como cajeros automáticos, oficinas de campo y tiendas minoristas. Además, también estamos anunciando dispositivos de mayor rendimiento que ofrecerán un rendimiento cifrado de hasta 5 Gbps para permitir múltiples conexiones de fibra gigabit que funcionen en modo activo-activo.

Zero Trust SD-WAN garantiza que las amenazas no puedan desplazarse lateralmente entre los sitios. Dentro de los sitios, las innovaciones de Zscaler como Zero Trust Device Segmentation le ayudan a segmentar aún más cada dispositivo hasta convertirlo en una red única, lo que elimina la necesidad de firewalls este-oeste, NAC y costosos conmutadores propietarios. Esta solución innovadora, que se puede implementar en horas, descubre, identifica y segmenta todos los dispositivos (incluso los sistemas OT heredados) y elimina todo movimiento lateral dentro del sitio.

Otro factor de riesgo significativo para el movimiento lateral de amenazas son los proveedores y contratistas externos que acceden a los sistemas y servidores OT. Tradicionalmente, esto ha requerido una conexión de red o una VPN que introduciría dispositivos no gestionados/desconocidos en su red con acceso directo a sus activos críticos. Zscaler Privileged Remote Access proporciona un enfoque más seguro que no requiere una conexión de red entre terceros y su infraestructura. Utilizando el acceso basado en navegador sin cliente y la tecnología de transmisión de píxeles con control de teclado y ratón, puede permitir que técnicos remotos accedan de manera segura a sus sistemas OT, con supervisión completa, grabación de sesiones y controles de sandboxing de archivos, para ayudar a minimizar el riesgo para sus fábricas y garantizar la seguridad del personal.

Reduzca costos, mejore la seguridad

Una arquitectura de sucursales tipo cafetería tiene muchas ventajas para los equipos de infraestructura y los usuarios finales.

• Menor costo: Dado que no extiende su red a todas partes, la infraestructura que ocupa y el costo se reducen significativamente. No necesita proteger cada sucursal con firewalls, de la misma manera en que no protege la red doméstica de cada empleado. Elimina la complejidad del enrutamiento y la gestión de políticas de firewall.

• Mayor seguridad: El ransomware no puede desplazarse lateralmente entre sedes o incluso entre dispositivos de una misma sede. Además, su superficie de ataque se reduce: las sucursales ya no son objetivos eficaces. El Zero Trust Exchange proporciona una protección completa frente a las ciberamenazas y los datos, garantizando que los dispositivos no se comuniquen con sitios de mando y control conocidos ni exfiltren datos a través de canales como DNS.

• Mejor experiencia de usuario: Como ya no necesita retornar el tráfico a través de su centro de datos para la inspección de seguridad, las aplicaciones se ejecutan más rápido y los usuarios obtienen una experiencia más satisfactoria y uniforme en la oficina y en casa. También eliminará las compensaciones de rendimiento y seguridad: todo el tráfico, incluido el cifrado TLS, puede inspeccionarse en el Zero Trust Exchange sin comprometer rendimiento.

Zscaler Zero Trust Branch no solo simplifica la arquitectura de su sucursal (reduciendo los costos de infraestructura hasta en un 50 %), sino que también mejora el rendimiento y ofrece una experiencia de usuario excepcional. Y lo mejor de todo es que, con su arquitectura Zero Trust, elimina el movimiento lateral de amenazas y detiene los ataques de ransomware.

Obtenga más información sobre las innovaciones de Zero Trust Branch en nuestra página de recursos de lanzamiento.