Atrás 
Este blog forma parte de la serie en curso "I&O Perspectivas", que presenta las opiniones de expertos del sector sobre el impacto de las amenazas actuales, las redes y otras tendencias en ciberseguridad.
A medida que me embarco en un puesto de Nuevo con el equipo de ingeniería de Netskope Plataforma, estoy ansioso por explorar cómo la visión de nuestra empresa da forma a la evolución de la seguridad de las redes empresariales. Este primer artículo de una serie es un testimonio de mi introspección técnica, presentando los antecedentes, los desafíos y las necesidades que condujeron a SASE, el perímetro de servicio de acceso a la seguridad.
Durante el último cuarto de siglo, las empresas han reconocido gradualmente que Internet es un medio fiable de transporte de aplicaciones. El trabajo remoto aceleró aún más este cambio, transformando el espacio de trabajo en un entorno sin fronteras. Junto con el auge de las aplicaciones de SaaS corporativo, esto ha llevado a una nueva era de conectividad.
Sin embargo, en esta nueva era , Internet se ha convertido en un vector crítico para las amenazas cibernéticas. A medida que las organizaciones dependen más de Internet para su conectividad, se enfrentan a una mayor exposición a amenazas sofisticadas, como violaciones de datos, malware y ataques de phishing. SASE surgió como respuesta a las limitaciones de los modelos tradicionales de redes y seguridad.
Con todo esto en mente, hagamos un recorrido por la historia reciente de las WAN para comprender la dirección en la que se dirigen la seguridad y las redes.
La evolución de la red de área amplia da forma a nuestro presente y futuro
En el año 2000, antes del estallido de la burbuja de Internet, Cisco Systems tenía la mayor capitalización de mercado del mundo, siendo el líder indiscutible en el sector de las redes empresariales. Los productos de seguridad en Internet fueron insignificantes en los estados de ingresos de Cisco, contribuyendo solo con una pequeña fracción de sus ventas. En general, la ciberseguridad sigue siendo un sector relativamente pequeño. Las redes corporativas e Internet solían existir como dos silos distintos, una separación que proporcionaba inherentemente seguridad sin necesidad de encriptación.
Las redes troncales de red de área amplia (WAN), que, por definición, se ejecutaban en una infraestructura física privada, dependían de líneas y protocolos punto a punto dedicados heredados, como Frame Relay y ATM.
Además, las aplicaciones en la nube no eran tan críticas para las empresas. Además del Correo electrónico, las comunicaciones electrónicas y los recursos informáticos eran principalmente privados.
Algunos de los primeros usuarios comenzaron a usar más túneles de sitio a sitio IPsec para la copia de seguridad de WAN y la descarga del tráfico de baja prioridad a través de Internet. Recuerdo haber demostrado tal implementación para una gran corporación en 2002, pero no fue más allá de una prueba de concepto. En ese momento, Internet de mejor esfuerzo no se consideraba elegible para transportar tráfico corporativo confidencial. Hoy en día, esto ha evolucionado con una calidad de servicio inteligente y una orquestación dentro de una interfaz gráfica, que representa la parte SD-WAN de SASE.
La red privada virtual (VPN) de conmutación de etiquetas multiprotocolo (MPLS), una solución genuina orientada a IP, fue la estrella en ascenso.
MPLS y VRF: Mejora del enrutamiento IP y el aislamiento de red
MPLS es un conjunto de protocolos de conmutación central diseñados para acelerar el enrutamiento IP. Combina las ventajas de IP y ATM.
Los operadores y proveedores de red desarrollaron la aplicación VPN de MPLS para proporcionar aislamiento de red en la capa 3. En una red MPLS-VPN, cada VPN es un contexto de enrutamiento privado. Los clientes compran uno o varios contextos de VPN para segregar sus entornos de enrutamiento WAN en la misma infraestructura física.
El tráfico a través de MPLS-VPN generalmente no está encriptado y la red es de confianza. En la mayoría de los casos, estas instancias de VPN se convirtieron naturalmente en extensiones de larga distancia de las VLAN de la red de área local. Las máquinas con el mismo perfil de uso se ubicarían en los mismos segmentos de LAN y VPN.
El impacto de los SLA en la diferenciación de MPLS-VPN de los servicios de Internet
Para las empresas (o al menos para sus departamentos jurídicos), la principal métrica de calidad eran los SLA y las penalizaciones que conllevan. En otras palabras, ¿cómo pueden las sanciones ser lo suficientemente dañinas para los proveedores de servicios como para cuidar e igualar una calidad de servicio decente?
En las redes MPLS-VPN, la entrega de paquetes, los retrasos de ida y vuelta y la disponibilidad del servicio están sujetos a los SLA. Por el contrario, la mayoría de los servicios de Internet solo ofrecen SLA de tiempo de restauración o disponibilidad. Estos elementos contractuales han sido el argumento clave para que las empresas de telecomunicaciones diferencien MPLS-VPN de IPsec a través de Internet.
Los SLA no se aplican cuando el enlace se ha roto debido a un evento de fuerza mayor: desastres naturales, actos de guerra, acciones gubernamentales y pandemias, entre otros. Por ejemplo, si una excavadora corta un cable de fibra, e incluso si no se considera un evento de fuerza mayor, no importa si el servicio es Internet o MPLS-VPN. Solo hay una pequeña posibilidad de que el proveedor restaure el enlace dentro del tiempo de SLA.
Creación de redes resilientes y capaces: cumplimiento de los acuerdos de nivel de servicio en medio de limitaciones complejas
Para respaldar los SLA, la resiliencia y la gestión de la capacidad siempre han sido temas frecuentes al diseñar redes de comunicación. Estos atributos se basan fundamentalmente en garantizar que la red sea extensa, redundante, rápida y ágil para satisfacer las expectativas de los clientes en cualquier condición de red. Sin embargo, lograr esto implica navegar por un conjunto complejo de restricciones, como:
- Múltiples rutas disponibles entre dos puntos.
- Cada enlace tiene su propia gestión de capacidad.
- Las rutas de copia de seguridad deben restaurarse lo suficientemente rápido como para preservar las sesiones en curso (por ejemplo, una llamada telefónica) sin que los usuarios se den cuenta de que una ruta se cae.
- Con IP, no todas las aplicaciones (como la voz) tienen ancho de banda reservado. La red puede limitar las aplicaciones de baja prioridad durante los eventos de congestión, pero no en exceso.
Los enfoques en las redes troncales privadas como MPLS y la red de Internet compartida son, naturalmente, profundamente diferentes. Internet siempre se ha considerado el "mejor esfuerzo", mientras que MPLS-VPN garantiza la calidad del servicio. Sin embargo, los usuarios esperan que Internet ofrezca un servicio decente en la mayoría de las condiciones de la red. La competencia entre los proveedores de servicios de Internet ha impulsado mejoras en la calidad. Las técnicas y herramientas para gestionar la capacidad de Internet han avanzado significativamente
También se han invertido muchos esfuerzos en enriquecer el arsenal de técnicas de ingeniería de tráfico en protocolos IP y entornos MPLS, incluida la gestión de la capacidad en línea, las reservas de ancho de banda, las prioridades de las aplicaciones, las rutas de extremo a extremo, el redireccionamiento rápido y más.
La buena noticia es que MPLS, como tecnología troncal, es ahora el operador subyacente para todo, desde redes móviles hasta Internet, y algunos de estos esfuerzos también benefician a Internet, no solo MPLS-VPN.
El auge de Internet: de necesidad doméstica a columna vertebral corporativa
Para los consumidores, Internet rápidamente comenzó a proporcionar un uso tan valioso que pronto se convirtió en imprescindible suscribirse a un servicio de Internet en casa. Algunos de estos ejemplos incluyen el correo electrónico personal, las compras en línea, los motores de búsqueda, el contenido enciclopédico, las redes sociales y la mensajería instantánea.
Alrededor de 2008, Internet conquistó el espacio móvil con el teléfono inteligente fácil de usar, su ecosistema y datos celulares de alta velocidad. Los teléfonos inteligentes hicieron que el acceso a estos usos ubicuos fuera Caso, lo que provocó un crecimiento sísmico en el volumen de flujos de datos y el recuento de usuarios.
Junto con el crecimiento de los volúmenes de tráfico, que se multiplicó por el crecimiento de los servicios de vídeo por Internet (véase la Figura 1), el número de usuarios de Internet aumentó drásticamente.
El uso de Internet en la empresa también se aceleró. Además de las aplicaciones fáciles de usar, el acceso a las aplicaciones SaaS, comenzando con Salesforce, se convirtió en un tema importante para los departamentos de TI. Las soluciones SaaS ofrecían alternativas escalables y rentables al software tradicional en las instalaciones, lo que reducía la necesidad de una amplia infraestructura y mantenimiento de TI.
Algunos CIO incluso decidieron redirigir el tráfico de los usuarios e implementar conectividad privada y costosa, como Secure Cloud Direct Interconnect (SDCI), para llegar a los servicios disponibles principalmente en la Internet pública (gratuita). Durante mucho tiempo, nunca pudimos resolver completamente el conflicto entre la ubicuidad de Internet y la calidad garantizada del servicio proporcionado por las redes troncales privadas.
Adopción del trabajo remoto: el cambio a SASE
La innovación impulsaba los cambios. La pandemia marcó un cambio drástico. Los trabajadores remotos se convirtieron en la norma. Pudieron beneficiarse de las aplicaciones empresariales desde sus hogares como si estuvieran en las áreas privadas y ocultas de las ubicaciones de la empresa y las redes WAN. La nube y, en particular, las aplicaciones de reuniones virtuales, como Microsoft O365/Teams, se verían afectadas en una configuración centralizada con una o varias conexiones WAN a Internet. Los usuarios requieren que su tráfico de Internet pase por el camino más corto posible.
Los jugadores de Internet seguían aprovisionando un ancho de banda masivo para hacer frente al ritmo y absorber la carga adicional. Internet se adaptó muy bien a la carga que de repente se trasladó del punto final del edificio de oficinas a las ubicaciones de los hogares.
Naturalmente, el puesto de trabajo del usuario se convirtió en la única barrera que quedaba para la privacidad de los datos de la empresa. La propiedad intelectual, los datos comerciales secretos y cualquier información a salvaguardar deben ser alcanzados a través del Dispositivo del empleado y los servicios en la nube, que pueden ser desde cualquier lugar.
No obstante, los CIO no podían sacrificar la calidad del servicio y la seguridad. Preservar la productividad y garantizar la privacidad y la protección de datos son esenciales. La eliminación del "perímetro" corporativo ha llevado a la propagación y el crecimiento de ataques sofisticados, ransomware, violaciones involuntarias de la confidencialidad y amenazas internas. Este panorama de amenazas requiere un modelo de seguridad ubicuo y granular para proteger a los usuarios y los datos en todas partes, pasando de las defensas tradicionales, el castillo y el foso, a una capa de seguridad global y siempre activa. Esto, lógicamente, dio origen a SASE.
En la siguiente parte de esta serie de blogs, exploraremos el paradigma de conectividad SASE y cómo Netskope ofrece conectividad de alto grado en este panorama de Nuevo.
Estén atentos a las próximas entregas de nuestra serie I&O Perspective. Únase a nosotros en SASE Week 2024 para explorar lo último en SASE y Zero Trust, y aprenda a mejorar la estrategia de seguridad y transformación de la red de su organización. No se pierda la "Mesa redonda de SASE para networkers" el 25 de septiembre, donde los clientes compartirán sus viajes de transformación digital hacia SASE
Lea el blog