Por John Maddison, vicepresidente senior de Productos y Soluciones de Fortinet.
A medida que las organizaciones aceptan más dispositivos móviles y del Internet de las Cosas (IoT, por sus siglas en inglés) en sus redes y adoptan arquitecturas de múltiples nubes cada vez más complejas, los datos y los flujos de trabajo ya no se limitan a un segmento estático y altamente seguro de la red. El tráfico web y basado en aplicaciones comprende un mayor volumen del tráfico total y gran parte de éste incluye datos confidenciales o acceso a información que tradicionalmente estaba oculta en el centro de datos. Para adaptarse a este cambio, las organizaciones están aumentando su dependencia de la encriptación, principalmente la capa de sockets seguros (SSL, por sus siglas en inglés) y la seguridad en la capa de transporte (TLS, por sus siglas en inglés), para proteger sus datos en movimiento.
Como resultado, el tráfico encriptado ha alcanzado un nuevo umbral de más del 72% de todo el tráfico de la red. Eso es un aumento de casi el 20% en tan sólo un año, en comparación con el 55% en el tercer trimestre de 2017. Esta estrategia tiene muchos beneficios, el más importante es que permite que datos, aplicaciones, flujos de trabajo y transacciones iniciadas tanto por empleados como por consumidores se muevan a donde los requerimientos del negocio lo necesitan. A su vez, esto permite la transición global a una economía digital.
Si bien en muchos sentidos el crecimiento de la encriptación es bueno para la seguridad, la tasa de encriptación más alta también presenta desafíos severos a la inspección profunda del tráfico para monitorear y detectar amenazas. Debido a que la encriptación es simplemente una herramienta, puede usarse para proteger cualquier tráfico de detección, ya sea bueno o malicioso. Los cibercriminales, por ejemplo, son muy conscientes del crecimiento de la encriptación y la utilizan para su ventaja al ocultar su presencia y evadir la detección, ya sea entregando malware o extrayendo datos robados. Y a medida que el volumen y el porcentaje de datos encriptados continúan creciendo, estas tácticas delictivas tienen más probabilidades de ocultarse a simple vista.
Pocos dispositivos de seguridad pueden mantenerse al día
Una razón por la que esta es una preocupación creciente y está a punto de alcanzar un umbral crítico es que la inspección del tráfico encriptado impone limitaciones de rendimiento en casi todos los firewalls y dispositivos de sistemas de prevención de intrusión (IPS, por sus siglas en inglés) disponibles en el mercado hoy en día.
De acuerdo con los resultados de las pruebas recientes de NSS Labs, muy pocos dispositivos de seguridad pueden inspeccionar datos encriptados sin afectar gravemente el rendimiento de la red. En promedio, el impacto en el rendimiento para la inspección profunda de paquetes es del 60%, las tasas de conexión se redujeron en un promedio del 92% y el tiempo de respuesta aumentó en un 672%. Por supuesto, este tipo de resultados hace que la mayoría de los dispositivos de seguridad tradicionales sean casi inútiles en las redes de hoy en día, donde la encriptación es la norma y el rendimiento es fundamental. Como resultado, gran parte del tráfico encriptado de hoy no se está analizando en busca de actividad maliciosa, lo que lo convierte es un mecanismo ideal para que los delincuentes difundan malware o puedan extraer datos.
Las empresas deben conocer y preocuparse si no están descifrando e inspeccionado el tráfico SSL, no sólo de fuentes no confiables, sino también de dispositivos, especialmente IoT.
Abordar el reto
Fortinet presenta algunas sugerencias para ayudar a las organizaciones a abordar este creciente problema de seguridad:
- Practique una buena higiene de seguridad: casi todas las listas de recomendaciones debieran comenzar aquí. La realidad es que la mayoría de los problemas encontrados en las redes actualmente son el resultado de una falla por no parchear, actualizar o reemplazar dispositivos vulnerables, no verificar configuraciones en busca de errores y no reforzar elementos como puertos para evitar una fácil explotación.
- Pruebe sus dispositivos actuales: a medida que su entorno de red sigue evolucionando, es fundamental que identifique posibles obstáculos antes de que se produzcan. En la medida posible, pruebe los dispositivos de seguridad existentes para detectar problemas de rendimiento al inspeccionar grandes volúmenes de tráfico encriptado SSL/TLS. Del mismo modo, verifique que sean compatibles con todos los cifrados principales.
- Implemente controles de red: una onza de prevención vale una libra de cura. En términos de redes, eso significa generar la mayor cantidad de riesgo posible fuera de la red. En el caso de prevenir un incidente cibernético debido a malware encriptado, la prevención incluye implementar un control de acceso a la red (NAC, por sus siglas en inglés) para identificar dispositivos, segmentar automáticamente el tráfico para limitar el riesgo y usar análisis de comportamiento para que cuando las aplicaciones no estén donde las espera o el tráfico se origine de un lugar inesperado, usted sea alertado.
- Considere una solución de descifrado fuera del dispositivo: si su volumen de tráfico encriptado es abrumador para los recursos disponibles, considere implementar una solución cuya única función sea descifrar y volver a encriptar los datos.
- No todos los dispositivos de seguridad son iguales: los resultados de las pruebas de laboratorios de terceros como NSS son sus aliados. Una solución totalmente integrada resuelve muchos problemas, especialmente cuando los recursos son limitados. La verdad es que algunos proveedores, aunque sean pocos, tienen la solución frente a los problemas de inspección de SSL/TLS y deben examinarse para evaluar si son buenos candidatos para remplazar las soluciones implementadas actualmente que no pueden mantenerse al día.
Esto es solo el comienzo
Si su organización aún no se ha visto afectada por este desafío, pronto lo será. No hay ninguna señal de que el volumen de tráfico vaya a disminuir, ni de que el porcentaje de tráfico de red que se está encriptando o la necesidad de una inspección especializada disminuyan. El mejor enfoque es abordar este desafío antes de que se vuelva crítico. Lo último que quiere hacer es permitir que el tráfico no inspeccionado fluya libremente a través de su red o ser víctima de su propia interrupción por denegación de servicio cuando sus herramientas de seguridad ya no puedan cumplir con los requisitos de rendimiento de su red.
