Cómo Zero-Trust fortalece la seguridad de las contraseñas

Actualizado el 10 de febrero de 2023.

La seguridad de las contraseñas es crucial para prevenir los ataques cibernéticos. Es importante encontrar un gestor de contraseñas que permita aplicar el modelo de seguridad Zero-Trust, para así mitigar el riesgo de una violación de datos como consecuencia de alguna cuenta de usuario comprometida.

Aquí tiene un desglose de este marco de seguridad y cómo ayuda Keeper con los requisitos de cumplimiento de Zero-Trust.

¿En qué consiste el modelo de seguridad Zero-Trust?

Zero-Trust es un marco de seguridad cibernética que establece que ningún usuario o aplicación debe ser fiable por defecto. Zero-Trust supone que cada usuario y dispositivo es susceptible de verse comprometido y no confía automáticamente en ningún usuario o dispositivo dentro de la red de la organización. Cualquier, sea humano o máquina, debe ser verificado antes de obtener acceso a la red.

Cómo fortalece el enfoque Zero-Trust la seguridad de las contraseñas

La seguridad de las contraseñas es fundamental en Zero-Trust.

Según el Informe ForgeRock de 2022 sobre violación de identidad de los consumidores, los ataques cibernéticos relacionados con los nombres de usuario y contraseñas aumentaron un 35 % con respecto al año anterior, lo que significa la vulneración de más de dos mil millones de registros, solo en Estados Unidos. El acceso no autorizado fue una vez más el método de ataque más común, y representó el 50 % de las violaciones reportadas.

Proteger los inicios de sesión de los empleados mediante el uso de un gestor de contraseñas supone un paso hacia la implementación de un modelo de confianza cero que pueda prevenir y mitigar los ataques cibernéticos. Confianza cero aborda la principal causa de los ataques cibernéticos: credenciales robadas y débiles. Entre 2020 y 2022, en los Estados Unidos, el costo promedio de una violación de datos aumentó un 16 % hasta los 9,5 millones de dólares, lo que convierte a los Estados Unidos en el país donde más caro cuesta recuperarse de una violación de datos. Las empresas pueden proteger sus datos sensibles y ahorrar dinero a largo plazo mediante la implementación de Zero-Trust.

La importancia de Zero-Trust

El marco Confianza cero mejora el cumplimiento y previene los ataques cibernéticos provocados por cuentas de usuario vulneradas y dispositivos robados. Las organizaciones pueden prevenir los ataques cibernéticos tomando las medidas necesarias para verificar a cada usuario y dispositivo antes de permitirles acceder a la red.

Según el Informe de adopción Zero-Trust de Microsoft, el 96 % de los responsables de toma de decisiones en seguridad afirman que Zero-Trust es crucial para el éxito de su organización. La adopción del modelo ha sido muy popular en los últimos años y sigue creciendo. Las razones por las que las organizaciones eligen Zero-Trust incluyen:

• Mayor seguridad y agilidad del cumplimiento
• Velocidad de la detección y corrección de amenazas cibernéticas
• Simplicidad y disponibilidad de las analíticas de seguridad

¿Cuáles son los principales criterios de Zero-Trust?

Una solución Zero-Trust debe incluir varias funciones para garantizar que sea eficaz.

1. Seguimiento y validación

“Nunca confíe, verifique siempre” es una frase común utilizada para describir la seguridad Zero-Trust. El modelo Zero-Trust supone que ya existe una violación y no discrimina: no se fía de nadie, lo que se traduce en un seguimiento y verificación continuos. Para que el modelo funcione, es fundamental registrar regularmente la actividad y anotar cualquier actividad sospechosa o maliciosa.

Al supervisar continuamente los sistemas y la implementación de las herramientas adecuadas, los administradores de TI y seguridad pueden reconocer más fácilmente la diferencia entre un inicio de sesión legítimo de un empleado y una cuenta comprometida.

2. Principio de privilegios mínimos (PoLP)

El principio de privilegios mínimos (PoLP) es una práctica recomendada de seguridad cibernética, especialmente cuando se configura el acceso mediante privilegios a la información confidencial y los activos. Según este principio, los administradores limitan a los usuarios al nivel mínimo de acceso y solamente otorgan los permisos necesarios para desempeñar sus funciones laborales.

Por ejemplo, una empresa solo puede otorgar acceso a unidades e información específicas a los equipos adecuados. Bajo el principio de privilegios mínimos, solo el:

• El equipo de contabilidad tendría acceso a los estados financieros de la empresa
• El equipo de marketing tendría datos de inicio de sesión a las cuentas de redes sociales de la empresa
• El equipo de recursos humanos tendría acceso a los archivos y datos de los empleados

En lugar de otorgar acceso completo a la red de la organización a todo los empleados, cada uno tendrá acceso solo a lo que necesite. Si la cuenta de un empleado individual se ve comprometida, el cibercriminal solo podría acceder a aquello a lo que ese usuario específico tiene acceso.

3. Autenticación multifactor (MFA)

La autenticación multifactor es una práctica de autenticación en la que un usuario solo obtiene acceso a sitios web, aplicaciones y servicios después de proporcionar al menos un factor de verificación adicional para validar quiénes son. Por lo general, la MFA se configura después de que un usuario haya creado una cuenta en un sitio o aplicación. Además de iniciar sesión en la cuenta, es posible que el titular de la cuenta deba:

• Utilizar una aplicación de autenticación en un dispositivo móvil registrado para confirmar el inicio de sesión
• Enviar un código de 6 dígitos enviado a la dirección de correo electrónico del usuario o mediante un mensaje de texto
• Responder a preguntas de seguridad personales específicas al usuario

Los pilares clave de Zero-Trust y cómo aborda Keeper cada uno de ellos

Los cinco pilares claves del Zero-Trust son: identificación, dispositivo, red/entorno, carga de trabajo de las aplicaciones y datos. Así es como Keeper protege cada uno de ellos:

1. Pilar de la identificación

Keeper’s solution supports the identity pillar with a zero-knowledge authentication and authorization model. Identities can be entirely managed within Keeper. Our platform is capable of full integration into any existing zero-trust identity provider. Keeper’s security model supports several advanced authentication methods, including continuous validation at the vault, device and record level and real-time machine learning analysis.

2. Pilar del dispositivo

La solución de Keeper apoya el pilar del dispositivo mediante una supervisión constante de la seguridad del dispositivo, controles de acceso basados en dispositivos, y validación y acceso a los datos. Keeper funciona con las herramientas de gestión de dispositivos existentes, tales como las políticas de acceso condicional de Azure. La información almacenada dentro de nuestra plataforma se cifra y descifra de forma local en el dispositivo. La tecnología de cifrado de Curva Elíptica (EC) se utiliza en el dispositivo para proteger los datos y permitir el modelo Zero-Trust.

3. Pilar de red/entorno

La solución de Keeper apoya el pilar de red/entorno con microperímetros de entrada/salida totalmente distribuidos, protección contra amenazas basada en aprendizaje automático, cifrado Zero-Knowledge y controles de acceso a nivel de registro. La información se cifra en reposo con un cifrado AES de 256 bits a nivel de registro y cifrado EC en el dispositivo. La comunicación de red entre Keeper Vault en el dispositivo y la nube de Keeper está protegida mediante TLS 1.3, además de capas adicionales de cifrado a nivel de transmisión para proteger frente a varios vectores de ataque, como los ataques Man in the Middle (MITM), los ataques de fuerza bruta y de enumeración.

4. Pilar de la carga de trabajo de las aplicaciones

La solución de Keeper optimiza el pilar de la carga de trabajo de las aplicaciones, donde el acceso se autoriza de forma continua y existe una sólida integración en el flujo de trabajo de las aplicaciones. De forma predeterminada, se puede acceder a Keeper a través de Internet sin necesidad de una conexión VPN. Los administradores pueden gestionar la accesibilidad de las funciones de los usuarios mediante políticas de control de acceso.

Las capacidades del módulo de informes y alertas avanzadas (ARAM) de Keeper proporcionan a las agencias datos de telemetría que cubren cientos de tipos de eventos que pueden desencadenar alertas en tiempo real u otras acciones relacionadas con las amenazas.

5. Pilar de los datos

La solución de Keeper protege el pilar de datos mediante cifrado Zero-Knowledge. Zero-Knowledge es un marco de trabajo que garantiza los más altos niveles de privacidad y seguridad. El cifrado y el descifrado se realizan en el dispositivo de cada usuario. Mediante la combinación de AES de 256 bits y criptografía de curva elíptica, Keeper garantiza que la información de nuestros usuarios está segura en todos los niveles. Visite nuestro portal de documentación para obtener más información sobre nuestro modelo de cifrado completo.

Cómo Keeper es compatible con el marco de trabajo Zero-Trust y el cifrado Zero-Knowledge

Keeper es un gestor de contraseñas Zero-Knowledge y Zero-Trust, un gestor de secretos y contraseñas, un gestor del acceso con privilegios y una puerta de enlace de escritorio remoto. Solo el usuario final puede acceder a la información almacenada en Keeper. Su plataforma proporciona un control total sobre las prácticas de contraseñas de los empleados. Los administradores de TI pueden controlar el uso de contraseñas en toda una organización e implementar controles de acceso basados en roles.

Para los secretos de empresa, tenemos Keeper Secrets Manager, una solución cloud-based, Zero-Trust y Zero-Knowledge para proteger secretos de empresa, como:

• Claves de la API
• Contraseñas de bases de datos;
• Claves de acceso
• Certificados
• Cualquier otro tipo de datos confidenciales

Keeper Connection Manager proporciona a los equipos de DevOps y de TI acceso instantáneo de Zero-Trust a la infraestructura. Esta puerta de enlace de escritorio remoto sin agente se puede instalar en cualquier entorno local o en la nube. Las organizaciones eligen Keeper Connection Manager por su:

• Interfaz intuitiva y fácil de usar
• Atención al cliente reactiva
• Instalación rápida y fluida

KeeperPAM es una solución de gestión del acceso privilegiado (PAM) de nueva generación, que incorpora contraseñas empresariales, secretos y gestión del acceso privilegiado, todo en una plataforma unificada cloud-based, Zero-Knowledge y Zero-Trust.