La seguridad de la red Zero Trust funciona limitando el acceso de los usuarios y dispositivos a los recursos en función de su función y comportamiento. El primer paso es determinar cómo los puntos finales se asignan a los roles y definir su conjunto de reglas de acceso mínimo en función de lo que el usuario/dispositivo necesita hacer en la red y lo que se considera un comportamiento normal para ese usuario/dispositivo.
Client Insights brinda a las organizaciones una línea de base de los tipos de datos que envían los diferentes dispositivos. Los datos de telemetría de la infraestructura de Aruba se envían a Aruba Central, lo que brinda no sólo visibilidad de los flujos de tráfico, sino también la capacidad de determinar los tipos de puntos finales en la red. Con herramientas como el aprendizaje automático, Client Insights puede organizar y clasificar fácilmente diferentes tipos de dispositivos en categorías, como impresoras, cámaras y sistemas HVAC.
Después de la identificación, los terminales deben autenticarse, es decir, asegurarse con cierto nivel de confianza de que son lo que dicen ser. Una mejor práctica es autenticar cada dispositivo primero con el método más sólido disponible y luego evaluar el cumplimiento de la política corporativa de terminales antes de asignar una función.
Por ejemplo, las computadoras portátiles de los empleados pueden autenticarse primero mediante el protocolo 802.1X, para determinar con alta confianza que el punto final es una computadora portátil. Se confirma la presencia de herramientas corporativas de gestión de dispositivos, así como la adecuada asociación entre usuario, contraseña y dispositivo. Solo después de que se confirmen esos controles, se le asignará a la computadora portátil un rol de "empleado".
La autenticación de dispositivos IoT puede ser un poco más desafiante. Las organizaciones han confiado tradicionalmente en la autenticación basada en MAC, pero es posible que eso no proporcione una imagen clara cuando los proveedores de dispositivos IoT asignan varios tipos de dispositivos a la misma dirección MAC. Client Insights va más allá de la dirección MAC y utiliza el flujo de tráfico para identificar puntos finales con mayor precisión, de modo que los equipos de TI puedan asignar roles a usuarios y dispositivos con mayor seguridad.
Aruba Central NetConductor brinda a las organizaciones la flexibilidad de emplear modelos centralizados y distribuidos de cumplimiento de la confianza. Con la Segmentación Dinámica, TI puede hacer cumplir de manera consistente las reglas de seguridad de acceso basadas en funciones aplicadas a dispositivos como impresoras en cualquier parte de la red, brindando una verdadera seguridad de red Zero Trust, donde los únicos flujos en la red son los flujos que necesitan estar en la red.
Además, Central NetConductor facilita la adopción de modelos de seguridad Zero Trust al reducir la complejidad de la red: no se requieren más hojas de cálculo de tablas de enrutamiento y VLAN, ni configuración manual de ACL. En la implementación, un asistente de estructura simplifica la creación de superposiciones mediante una interfaz gráfica de usuario intuitiva, lo que facilita la definición de los componentes virtuales y la generación y envío de las instrucciones de configuración a la infraestructura. Después de la implementación, las políticas de acceso se propagan automáticamente a través de la red en cuestión de minutos, por lo que la red refleja continuamente los flujos de trabajo comerciales previstos y el acceso basado en roles asociado sin intervención manual ni actualización.
El uso compartido de contexto permite a las organizaciones utilizar todos los datos disponibles a través del ecosistema de seguridad para tomar decisiones de acceso dinámico. Por ejemplo, las organizaciones pueden utilizar la solución de control de acceso a la red líder en el mercado de Aruba, ClearPass, con más de 150 herramientas de socios de seguridad (parte del programa Aruba 360 Security Exchange) para garantizar que todos los puntos finales de la red tengan el nivel de seguridad deseado. ClearPass puede limitar o revocar el acceso de cualquier dispositivo que no cumpla con los requisitos de seguridad o comience a comportarse de manera inconsistente con su función.
Un ejemplo de esto en acción: una herramienta de socio de seguridad nota que una impresora está hablando con un país en una lista excluida o demostrando algunas firmas IDS/IPS preocupantes. ClearPass recibe esa información y luego puede comunicarse con la red para mover este dispositivo de una función de impresora a una función de cuarentena, aplicando un conjunto diferente de políticas de cumplimiento contra ese punto final y, en última instancia, asegurando que no haya dispositivos maliciosos fuera de la red.
