This post is also available in: Português Español
El principio de mínimo privilegio (PoLP, por sus siglas en inglés) es un concepto de seguridad de la información en el que un usuario recibe los niveles mínimos de acceso necesario para desempeñar sus funciones de trabajo. Es una práctica de seguridad cibernética muy recomendada, además de ser una etapa fundamental para proteger el acceso privilegiado a datos y activos de alto valor. Este concepto acaba siendo una relectura de la frase «Menos es más», de Ludwig Mies Van der Rohe, uno de los arquitectos más influyentes del siglo XX. En otras palabras, menos privilegios, mayor seguridad.
Por otro lado, en la seguridad digital, el privilegio mínimo va más allá del acceso humano, debido a que puede ser extendido a apps, sistemas o dispositivos conectados que requieran privilegios para realizar una tarea. Esto garantiza que la herramienta no humana tenga el acceso necesario, y nada más.
Por eso, la aplicación del mínimo privilegio requiere de una forma distinta de gestionar y proteger de forma centralizada a las credenciales, en conjunto con controles flexibles que equilibren los requisitos de seguridad cibernética y de acuerdo con las necesidades operativas y las de los usuarios finales.
Beneficios del privilegio mínimo
Una de las primeras ventajas que se derivan del principio del mínimo privilegio es la reducción de la superficie de ataque. La mayoría de las intrusiones actuales se basan en la explotación de credenciales privilegiadas. Al limitar el acceso del super usuario y del administrador (que proporciona a los administradores un acceso sin restricciones a los sistemas), la imposición de privilegios mínimos ayuda a disminuir las posibilidades de ser víctima de la ciberdelincuencia.
Del mismo modo, impide la propagación de malwares. Al imponer privilegios mínimos en endpoints, este tipo de ataques no consiguen usar privilegios elevados para aumentar su acceso y moverse lateralmente para instalar o ejecutar malwares o dañar la máquina.
Además, el principio del menor privilegio ayuda a simplificar cumplimiento de normas y simplificar auditorías. Muchas políticas internas y requisitos regulatorios exigen que las empresas implementen la metodología en cuentas privilegiadas, para evitar daños malintencionados o no intencionales a sistemas críticos. La imposición de privilegios mínimos ayuda a las empresas a demostrar acatamiento a un línea de auditoria completa de actividades privilegiadas.
Cómo implementar
En primer lugar, se debe auditar todo el ambiente para localizar cuentas privilegiadas, como contraseñas, llaves SSH, hashes de contraseñas y llaves de acceso, en el local, la nube, en ambientes DevOps y endpoints. Es necesario también eliminar privilegios de administrador local innecesarios, garantizando que todos los usuarios humanos y no humanos tengan solamente los privilegios necesarios para realizar su trabajo.
En cuanto a las cuentas de administrador, lo ideal es separarlas de las cuentas estándar, aislando las sesiones de usuarios privilegiados. Por eso, se deben registrar las credenciales de cuenta de administrador privilegiado en un «caja fuerte» digital, para comenzar a proteger y gerenciar las contas.
Otro paso importante es, después de cada uso, cambiar todas las contraseñas de administrador para invalidar cualquier credencial que haya podido ser capturada por softwares maliciosos, reduciendo aún más el riesgo de sufrir un ataque tipo Pass the Hash.
También es importante monitorear todas las actividades relacionadas a cuentas de administrador, para permitir la rápida detección y alertas de actividades sospechosas que puedan avisar un ataque en curso. Pudiendo habilitar la elevación de acceso just-in-time, para que los usuarios accedan a cuentas privilegiadas o ejecuten comandos privilegiados temporalmente, según sea necesario.
Evitando desastres
Cuando las empresas deciden revocar todos los derechos administrativos de los usuarios corporativos, el equipo de TI generalmente precisa conceder nuevamente tales privilegios, para que ellos puedan ejecutar determinadas tareas. Por ejemplo, muchas aplicaciones legadas e internas usadas en ambientes de TI corporativos, requieren privilegios para ser ejecutados.
Para que los empleados utilicen este software, TI necesita devolver los privilegios de administrador local a algunos usuarios. Después de que se concedan de nuevo los privilegios, raramente se derogan. De esta manera, con el tiempo, las empresas pueden acabar, de nuevo, con muchos de sus usuarios con derechos de administrador local.
Es una situación que reabre las brechas de seguridad relacionadas con el exceso de derechos administrativos. Haciendo que las empresas sean más vulnerables, aunque sus directivos crean que están mejor protegidas.
Al aplicar controles de acceso con privilegios mínimos, las empresas pueden ayudar a prevenir lo que se está llamando un «desastre de privilegios», y garantizar que los usuarios humanos y no humanos tengan a penas los niveles mínimos de acceso necesarios.
En este contexto, el principio de mínimo privilegio es un componente clave de las estructuras de confianza cero. Se centra en el pensamiento de que las empresas no deben confiar automáticamente en nada dentro o fuera de su perímetro. A razón de que Zero Trust exige que se verifique toda y cualquier acción que intente conectarse a los sistemas antes de liberar el acceso.
A medida que muchas empresas aceleran sus estrategias de transformación digital, están pasando de los enfoques tradicionales de seguridad perimetral a Zero Trust para proteger sus activos digitales más importantes, algo que el principio de privilegio mínimo ayuda a obtener.
This post is also available in: Português Español
