¿Qué es la microsegmentación?

La microsegmentación es una técnica de seguridad de redes que divide una red en segmentos pequeños y aislados y aplica políticas de acceso granulares entre ellos, basadas en la identidad, el estado del dispositivo o la carga de trabajo, en lugar de en la ubicación en la red, de modo que una brecha de seguridad en un segmento no pueda propagarse lateralmente al resto de la red.

Puntos clave

• La microsegmentación divide los recursos en pequeñas zonas controladas por políticas.
• Sustituye la defensa exclusivamente perimetral por un control de acceso por segmentos.
• Las políticas pueden basarse en la identidad, el estado del dispositivo o la carga de trabajo, y no solo en la dirección IP.
• Limita el movimiento lateral, de modo que las roturas se limitan a un solo segmento.
• Versa lo aplica en todas sus líneas de productos de ZTNA, SD-LAN y seguridad del IoT.

En esta página: Por qué es importante · Cómo funciona · Tipos · Microsegmentación y Versa · Preguntas frecuentes

¿Por qué es importante la microsegmentación?

Las defensas basadas en el perímetro parten de la base de que el tráfico que supera el cortafuegos es fiable, un modelo que falla en cuanto un atacante traspasa el perímetro, ya sea mediante phishing, un dispositivo IoT comprometido o una credencial robada. En una red plana, ese único punto de acceso permite llegar a casi cualquier lugar: servidores de archivos, controladores de dominio y otros terminales. La mayor parte del daño causado por una brecha de seguridad no proviene de la intrusión en sí, sino de lo que viene después: el movimiento lateral del atacante en busca de objetivos de gran valor.

La microsegmentación elimina esa libertad de movimiento. Al aplicar políticas granulares a recursos individuales o clases de dispositivos, en lugar de a la red en su conjunto, se limita a un atacante —o a un dispositivo comprometido— al segmento al que ha accedido. Un ordenador portátil infectado o un sensor de IoT sin parches se puede poner en cuarentena sin que el resto de la red se vea afectada. Además, admite normas de cumplimiento normativo para aislar datos regulados y permite a los equipos de seguridad aplicar el modelo «Zero Trust» —verificar cada conexión, no confiar en nada por defecto— dentro de la red, no solo en su perímetro.

¿Qué es la microsegmentación?

Para crear un microsegmento, un administrador define los criterios de coincidencia —los atributos que asignan a un usuario, dispositivo o carga de trabajo a ese segmento— y, a continuación, redacta una política que restringe o permite el tráfico entre segmentos. Los criterios pueden ser atributos de red (IP, dirección MAC, VLAN) o atributos de seguridad: identidad, estado del dispositivo, huella digital o una puntuación de riesgo calculada de forma continua. La aplicación de la política se produce cuando el tráfico cruza el límite de un segmento, normalmente a través de una regla de un cortafuegos de última generación que inspecciona el tráfico y aplica la política correspondiente a ese par de segmentos.

Lo que distingue a la microsegmentación de la segmentación basada únicamente en VLAN es la granularidad. Una VLAN agrupa los dispositivos según su ubicación en la red y es, en gran medida, estática; la microsegmentación puede agrupar por identidad o por estado de seguridad en tiempo real y reasignar un dispositivo en el momento en que cambie su perfil de riesgo —por ejemplo, trasladando un terminal con un antivirus desactualizado a un segmento restringido hasta que se solucione el problema y devolviéndolo a su lugar original una vez que cumpla con los requisitos—.

Tipos de microsegmentación

Los enfoques difieren principalmente en lo que utilizan para definir los límites de un segmento. La segmentación basada en la red agrupa el tráfico utilizando atributos convencionales como la subred IP, la VLAN o la dirección MAC —familiar, pero estática e insensible a lo que ocurre en el dispositivo—. La segmentación basada en la identidad y la postura coloca a un usuario, dispositivo o carga de trabajo en un segmento en función de quién o qué es y de su estado de seguridad actual, independientemente de dónde se conecte físicamente. La segmentación basada en cargas de trabajo o en hosts, habitual en centros de datos y entornos en la nube, aplica la política en cada servidor o máquina virtual, a menudo a través de un agente o un hook del hipervisor, de modo que la política se desplaza junto con la carga de trabajo a medida que esta se mueve. La microsegmentación adaptativa (dinámica) añade una capa de supervisión continua a cualquiera de estos enfoques, trasladando un dispositivo de un segmento a otro a medida que cambia su puntuación de riesgo, en lugar de asignarlo una sola vez en el momento de la conexión.

Microsegmentación y Versa

Versa El sistema operativo (VOS) implementa la microsegmentación tanto para dispositivos con cliente como para dispositivos sin interfaz gráfica. Los dispositivos finales que ejecutan el cliente « Versa »SASE se asignan a microsegmentos mediante perfiles de información de dispositivos finales (EIP): actualizaciones periódicas del estado de seguridad, como el nivel de parches y el estado del antivirus; véase «Configurar la microsegmentación basada en EIP para SD-LAN». Los dispositivos IoT sin interfaz gráfica se asignan, en su lugar, mediante la identificación de dispositivos. Las reglas clasifican el tráfico coincidente con una etiqueta de grupo escalable (SGT), que las políticas de la NPU y del NGFW comparan posteriormente para aplicar el acceso; véase «Configurar la microsegmentación».

En lo que respecta a SD-LAN, la arquitectura Zero Trust LAN (ZT-LAN) de Versaintegra un cortafuegos de última generación directamente en el conmutador del campus, lo que evita una conexión de ida y vuelta a un punto de presencia en la nube. La microsegmentación adaptativa reevalúa continuamente la puntuación de riesgo de los dispositivos y traslada a los que no cumplen los requisitos a un segmento de cuarentena, tal y como se detalla en «Configurar la microsegmentación para SD-LAN».

Preguntas frecuentes

¿Cuál es la diferencia entre la microsegmentación y las VLAN?

Una VLAN segmenta una red según su ubicación física o lógica y se configura una sola vez, en gran medida de forma estática. La microsegmentación añade políticas basadas en la identidad y el estado de seguridad, que se adaptan directamente a los usuarios, dispositivos o cargas de trabajo y, en las implementaciones adaptativas, los traslada automáticamente de un segmento a otro a medida que cambian el riesgo o el estado de seguridad.

¿Cómo impide la microsegmentación el movimiento lateral?

Al aplicar la política de acceso en cada límite de segmento, y no solo en el perímetro, la microsegmentación obliga a un atacante o a un dispositivo comprometido a pasar por un punto de inspección para acceder a cualquier otro recurso. De este modo, un punto de acceso en un segmento queda contenido, en lugar de propagarse libremente por la red.

¿La microsegmentación es lo mismo que el modelo «Zero Trust»?

No. «Zero Trust» es un modelo de seguridad más amplio: verificar cada conexión y no confiar en nada por defecto. La microsegmentación es una forma de implementarlo, al reducir el área a la que puede acceder cualquier conexión verificada. «Zero Trust» también abarca controles de identidad, dispositivos y aplicaciones más allá de la segmentación.

¿Qué es la microsegmentación adaptativa?

La microsegmentación adaptativa, o dinámica, reevalúa continuamente el estado de seguridad de un dispositivo una vez que ya se ha asignado a un segmento, en lugar de evaluarlo una sola vez en el momento de la conexión. Si el estado de seguridad se deteriora —por ejemplo, un antivirus desactualizado o una vulnerabilidad recién descubierta—, el dispositivo se traslada automáticamente a un segmento más restrictivo hasta que se solucione el problema.

¿La microsegmentación requiere un agente en cada dispositivo?

No necesariamente. Los dispositivos que pueden ejecutar un cliente, como los ordenadores portátiles que utilizan el cliente de Versa SASE , informan de su estado directamente a través de él. Los dispositivos sin interfaz gráfica que no pueden ejecutar un agente, como los sensores de IoT, se identifican y se asignan a segmentos mediante la identificación de dispositivos.

Más información sobre la microsegmentación

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre microsegmentación, te conviene echar un vistazo a lo siguiente.