El perfil de información de terminal (EIP) es un concepto de Versa SASE que recopila y evalúa la identidad y el estado de seguridad de un dispositivo que se conecta —estado del antivirus, cifrado del disco, versión del sistema operativo y otros datos— antes de concederle acceso a la red. Los objetos EIP definen los criterios de coincidencia, los perfiles EIP agrupan los objetos en políticas y los perfiles de agente EIP indican al cliente de SASE qué datos debe recopilar.
Puntos clave
- El EIP comprueba el estado de seguridad de un dispositivo antes de concederle acceso a la red.
- Los objetos EIP definen los criterios de coincidencia; los perfiles agrupan los objetos en políticas.
- Los perfiles de agente indican al cliente de SASE qué datos de los terminales debe recopilar.
- Las categorías abarcan antivirus, cifrado de disco, versión del sistema operativo y mucho más.
- Los perfiles EIP se asocian a reglas de protección, acceso y descifrado.
En esta página: Por qué es importanteCómo funcionaTiposEIP y VersaPreguntas frecuentes
¿Por qué es importante el EIP?
Los usuarios empresariales se conectan desde ordenadores portátiles, teléfonos, tabletas y dispositivos IoT a través de redes que la organización no controla, y cada uno de esos terminales es un posible punto de entrada para un atacante. Verificar la identidad de un usuario nunca ha sido suficiente por sí sola; una credencial robada, aunque válida, en un ordenador portátil comprometido y sin parches sigue siendo una conexión comprometida. Los modelos «Zero Trust» subsanan esa brecha al evaluar el dispositivo junto con el usuario de forma continua, no solo en el momento del inicio de sesión.
EIP es el mecanismo de Versapara realizar esa comprobación en el propio dispositivo. Permite que la política compruebe si un terminal cumple realmente con los requisitos —si tiene instaladas las actualizaciones, está cifrado y ejecuta el software de seguridad necesario— antes de que acceda a aplicaciones sensibles, y puede reevaluar el estado de seguridad a lo largo de la sesión, en lugar de basarse únicamente en una comprobación puntual. De este modo, el control de acceso pasa de ser una simple puerta de identidad a convertirse en un requisito de cumplimiento obligatorio.
¿Qué es el EIP?
Antes de nada, una aclaración sobre la terminología: en algunos títulos de documentos de Versa , «EIP» se traduce como «Endpoint Identity Profile». Ambos nombres se refieren al mismo objeto de configuración; este glosario utiliza «Endpoint Information Profile», la forma que emplean los artículos de configuración de Versaa lo largo de todo su texto.
El EIP se compone de tres elementos. Los objetos EIP son los criterios de coincidencia —una regla como «el antivirus está instalado y en ejecución» o «el disco está cifrado»— que filtran los datos brutos de estado que comunica un terminal. Los perfiles de EIP agrupan los objetos en una unidad de política: un conjunto de reglas que se evalúan conjuntamente para determinar si un dispositivo cumple con los requisitos. Los perfiles del agente de EIP son independientes de los perfiles de EIP: definen qué datos recoge y comunica realmente el cliente de SASE desde el terminal, datos que el agente envía posteriormente a la pasarela para su evaluación en función de un perfil.
La evaluación sigue una lógica fija: los objetos de diferentes categorías en una misma regla se combinan con «Y» (todos deben coincidir); los objetos de la misma categoría se combinan con «O» (basta con que coincida cualquiera); las reglas múltiples se evalúan de arriba abajo y prevalece la primera coincidencia; y los perfiles múltiples de una misma política se combinan con «O».
Tipos de EIP
Versa Incluye aproximadamente 156 objetos EIP predefinidos repartidos en unas 19 categorías, y los administradores pueden definir otros personalizados. La mayoría de las categorías evalúan el estado del software de seguridad: antimalware, antiphishing, suites de seguridad para terminales (incluido el soporte específico para CrowdStrike Falcon y SentinelOne), cortafuegos, cifrado de disco, copias de seguridad de disco, prevención de pérdida de datos, gestión de parches y protecciones relacionadas basadas en agentes. La categoría «General» comprueba la identidad del dispositivo: nombre de host, ID de host, dominio de Windows, nombre de usuario y proveedor/producto/versión del sistema operativo. La categoría «Móvil» añade comprobaciones específicas para teléfonos: código de acceso, compatibilidad biométrica, estado de jailbreak y cifrado del disco móvil. El estado de gestión confirma si un dispositivo está inscrito en la gestión empresarial, y la categoría «Personalizada» busca coincidencias en nombres de procesos, rutas de archivos o valores del Registro de Windows arbitrarios para los casos que no cubren las categorías predefinidas.
EIP y Versa
El EIP se configura por inquilino en Concerto, en «Configurar > Security Service Edge > Perfiles y conectores > Perfil de información de puntos finales (EIP)», donde los administradores crean objetos EIP, perfiles y perfiles de agente a partir de bloques de construcción predefinidos o personalizados. A continuación, los perfiles EIP se asocian a reglas de protección de Internet, reglas de acceso seguro basadas en cliente y reglas de descifrado TLS, de modo que la misma comprobación de estado puede regular el acceso a la web, las conexiones tipo VPN o si el tráfico se descifra para su inspección. Los perfiles de agente EIP se vinculan por separado a la política de acceso seguro, controlando qué datos extrae el cliente « SASE » del terminal; la frecuencia con la que se actualizan esos datos viene determinada por el intervalo de comprobación de estado configurado en el perfil de acceso seguro.
VersaLas guías de configuración paso a paso de EIP lo sitúan dentro del contexto más amplio del modelo «Zero Trust»: funciona junto con el Acceso Privado Seguro de Versa (VSPA) para aplicar un acceso con privilegios mínimos y evaluado de forma continua tanto para dispositivos gestionados como no gestionados, en lugar de una simple comprobación de inicio de sesión puntual.
Preguntas frecuentes
¿Cuál es la diferencia entre un objeto EIP, un perfil EIP y un perfil de agente EIP?
Un objeto EIP es un criterio de coincidencia, como «se ha instalado un antivirus». Un perfil EIP agrupa objetos en un conjunto de reglas de política que se evalúan en el momento de la conexión. Un perfil de agente EIP es independiente: define qué datos recopila realmente el cliente SASE del terminal para realizar la evaluación.
¿Cómo funciona la lógica de evaluación de reglas del EIP?
Dentro de una misma regla, los objetos de diferentes categorías siguen la lógica «Y»: todos deben coincidir. Los objetos de una misma categoría siguen la lógica «O»: basta con que coincida uno. Las reglas múltiples de un perfil se evalúan de arriba abajo; la primera coincidencia prevalece, y los perfiles múltiples de una misma política se combinan mediante la lógica «O».
¿Qué tipos de estado de los dispositivos finales puede comprobar el EIP?
El EIP abarca aproximadamente 19 categorías: software de seguridad, como programas antimalware, cortafuegos y cifrado de disco; datos generales de identificación del dispositivo, como el nombre de host y la versión del sistema operativo; comprobaciones específicas para dispositivos móviles, como el «jailbreak» y el estado biométrico; inscripción en sistemas de gestión; y una categoría personalizada para coincidencias arbitrarias de procesos, archivos o el registro.
¿Dónde se aplican los perfiles EIP?
Los perfiles EIP se asocian a las reglas de protección de Internet, a las reglas de acceso seguro basado en cliente y a las reglas de descifrado TLS en Concerto. Esto permite que la misma evaluación de la postura de seguridad regule el acceso general a la web, el acceso remoto basado en cliente y si el tráfico de una sesión se selecciona para su descifrado TLS.
¿Con qué frecuencia se actualizan los datos sobre el estado de los dispositivos finales?
El cliente « SASE » recopila y envía datos de los terminales según una programación establecida por el intervalo de comprobación del estado de seguridad del perfil de acceso seguro, en lugar de hacerlo únicamente en el momento de la conexión; de este modo, el EIP puede revocar o restringir el acceso si el estado de cumplimiento de un dispositivo cambia durante la sesión.
Más información sobre el EIP
Si quieres saber más, estas son algunas fuentes en las que confiamos.
| NIST SP 800-207: Arquitectura «Zero Trust» | Estudio de la Cloud Security Alliance |
|---|---|
| La arquitectura de referencia del NIST para el modelo «Zero Trust», en la que la evaluación continua de los usuarios y los dispositivos sustituye a la confianza puntual en el perímetro de la red. | Orientación independiente de proveedores sobre el modelo «Zero Trust» y las prácticas de gestión del estado de los dispositivos para empresas, la nube y el acceso remoto. |
Términos relacionados
Si estás leyendo sobre el EIP, te conviene echar un vistazo a lo siguiente.
| Regla de acceso | Antivirus | Microsegmentación |
|---|---|---|
| Una regla de Versa Director, evaluada de arriba abajo, que permite o deniega el tráfico de la subred del cliente hacia Director en función del nombre de usuario o del rol. | Detección y bloqueo de malware aplicados a los archivos en tránsito; el NGFW de Versa ofrece análisis antivirus, el mismo estado que los objetos EIP pueden comprobar en un dispositivo. | Una técnica que aísla segmentos de red y aplica una política de acceso granular entre ellos: el modelo de postura «Zero Trust» en el que se basa el EIP. |