Redes Zero Trust en AWS - Seguridad sin perímetro con Verified Access y PrivateLink
Explicamos la implementación de redes Zero Trust con AWS Verified Access, PrivateLink y VPC Lattice, comparando las diferencias de diseño con Azure Private Link.
Principios Zero Trust y el enfoque de implementación de AWS
Zero Trust es un modelo de seguridad basado en no confiar en nada y verificar siempre. A diferencia de la seguridad perimetral tradicional que confiaba en la red interna y defendía la frontera con el exterior, Zero Trust no otorga confianza implícita a ninguna ubicación de red. AWS implementa Zero Trust a través de múltiples capas: verificación de identidad con IAM, control de acceso a nivel de aplicación con Verified Access, conectividad privada entre servicios con PrivateLink y gestión unificada de comunicación entre microservicios con VPC Lattice. Estos servicios se combinan para construir una arquitectura de seguridad sin perímetro.
Verified Access - Acceso a aplicaciones sin VPN
AWS Verified Access es un servicio que proporciona acceso seguro a aplicaciones empresariales sin VPN. Tradicionalmente, los trabajadores remotos necesitaban conexión VPN para acceder a aplicaciones internas, pero las VPN tienen problemas de rendimiento, complejidad de gestión y el riesgo de movimiento lateral una vez conectados. Verified Access evalúa cada solicitud de acceso individualmente, verificando la identidad del usuario y la postura de seguridad del dispositivo para determinar si se permite el acceso. Se integra con proveedores de identidad (Okta, Azure AD, etc.) y servicios de gestión de dispositivos (CrowdStrike, Jamf, etc.) para tomar decisiones de acceso basadas en múltiples señales.
Conectividad privada entre servicios con PrivateLink
AWS PrivateLink es un mecanismo para conectar de forma privada recursos dentro de una VPC a servicios de AWS u otros servicios de VPC sin pasar por internet. Al usar PrivateLink, el tráfico permanece dentro de la red de AWS sin exponerse a internet, eliminando riesgos de seguridad. Se crean interfaces de red elásticas (ENI) dentro de la VPC del consumidor, y el tráfico hacia el servicio fluye a través de estas ENI. Esto permite acceder a servicios de AWS (S3, DynamoDB, etc.) y servicios de terceros publicados en AWS Marketplace de forma completamente privada.
VPC Lattice - Gestión unificada de comunicación entre microservicios
VPC Lattice es un servicio relativamente nuevo que alcanzó GA en 2023, proporcionando gestión unificada de la comunicación entre microservicios como servicio de red de aplicaciones. Tradicionalmente, gestionar la comunicación entre microservicios requería configurar load balancers, service mesh y reglas de seguridad individualmente, con una complejidad que aumentaba con el número de servicios. VPC Lattice abstrae esta complejidad, proporcionando descubrimiento de servicios, balanceo de carga, autenticación y autorización de forma unificada. Funciona a través de VPCs y cuentas, permitiendo la comunicación segura entre servicios en entornos multi-cuenta.
Diferencias de diseño con Azure Private Link
Azure también ofrece Private Link con un concepto básico compartido con AWS PrivateLink: crear endpoints privados dentro de la VNet para acceder a servicios de Azure de forma privada. Sin embargo, hay diferencias en los detalles de diseño. AWS PrivateLink permite publicar servicios propios como endpoints de PrivateLink, facilitando la provisión de servicios entre cuentas y a clientes. Azure Private Link Service ofrece funcionalidad similar pero con diferencias en la configuración de aprobación y la gestión de conexiones. En cuanto a equivalentes de VPC Lattice, Azure no tiene un servicio directamente comparable, requiriendo la combinación de Azure Front Door, Application Gateway y service mesh para lograr funcionalidad similar. Para profundizar en seguridad de red y Zero Trust, los libros relacionados (Amazon) también pueden ser útiles.
Resumen
Las redes Zero Trust de AWS se implementan a través de control de acceso a nivel de aplicación con Verified Access, conectividad privada entre servicios con PrivateLink y gestión unificada de comunicación entre microservicios con VPC Lattice. Estos servicios se combinan para construir una arquitectura de seguridad sin perímetro que no depende de la ubicación de red. Comparado con Azure, AWS tiene ventaja en la madurez de la publicación de servicios con PrivateLink y la gestión unificada de comunicación entre microservicios con VPC Lattice.