Tema 3 de 6
El modelo Zero Trust
Zero Trust es una estrategia, no un producto. Parte de una idea simple: ninguna red, usuario, dispositivo o aplicación es confiable por defecto, aunque ya haya iniciado sesión o esté en una red "de confianza". Cada solicitud se verifica.
Contenido
¿Qué es Zero Trust?
Una estrategia de seguridad basada en "no confíes en nadie, verifica todo". En vez de suponer que todo lo que está dentro de la red corporativa es seguro, exige autenticar y autorizar cada solicitud de acceso, venga de donde venga.
El modelo tradicional funcionaba cuando los empleados trabajaban desde una oficina fija y los datos vivían en servidores locales. Hoy se trabaja desde cualquier lugar, con dispositivos personales y corporativos, desde casa o redes públicas, y los datos se mueven entre datacenters, plataformas en la nube y aplicaciones de terceros. En ese entorno, el perímetro de red ya no es una frontera fiable.
Los atacantes saltan el perímetro con phishing, robo de credenciales y vulnerabilidades de aplicaciones. Una vez dentro, si todo lo interno se considera confiable, se mueven libremente. Zero Trust responde a esa realidad: ninguna red, dispositivo, usuario o aplicación es confiable por defecto, ni siquiera los que ya se autenticaron.
Castillo y foso frente a Zero Trust
| Castillo y foso | Zero Trust | |
|---|---|---|
| Confianza | Todo lo que está dentro de la red es confiable | Nada es confiable por defecto |
| Control principal | El perímetro de red | La identidad y las señales de cada solicitud |
| Acceso | Amplio y permanente una vez dentro | Explícito, condicional, temporal y acotado |
| Si el atacante entra | Se mueve libremente | Segmentación y monitoreo limitan el daño |
| Dónde aplica | Red corporativa | Local, nube, SaaS y cargas de IA por igual |
Los 3 principios
Guían cómo se autentican los usuarios, cómo se confía en los dispositivos, cómo se autorizan las aplicaciones y cómo se protegen los datos.
✅ Verificar explícitamente (Verify explicitly)
Autenticar y autorizar siempre con todas las señales disponibles, no con un solo factor como la contraseña o la ubicación de red.
- Identidad del usuario
- Ubicación de inicio de sesión
- Dispositivo y su estado de cumplimiento
- Servicio o aplicación al que se accede
- Clasificación de los datos
- Anomalías, como horarios o lugares inusuales
→ En Microsoft: Acceso condicional + MFA
🔑 Usar acceso con privilegios mínimos (Use least privileged access)
Dar a usuarios y sistemas solo el acceso mínimo, y solo durante el tiempo necesario.
- Just-in-time (JIT): acceso cuando hace falta, retirado después
- Just-enough-access (JEA): solo los permisos de la tarea, no permisos amplios "por si acaso"
- Políticas adaptativas que limitan el acceso cuando se detecta actividad de riesgo
→ En Microsoft: Privileged Identity Management, roles personalizados
💥 Asumir una brecha (Assume breach)
Diseñar como si el atacante fuera a superar las defensas tarde o temprano.
- Segmentar el acceso para que una cuenta o dispositivo comprometido no llegue a todo
- Cifrar de extremo a extremo para que lo interceptado sea ilegible
- Monitoreo y analítica para detectar rápido, saber qué se accedió y limitar el daño
→ En Microsoft: Segmentación de red, Defender XDR, Microsoft Sentinel
Los 7 pilares
Seis pilares son a la vez fuentes de señales, puntos de control y recursos que proteger. El séptimo junta todas esas señales para responder.
🪪 Identidades
Usuarios, servicios o dispositivos. Se verifican con autenticación fuerte antes de dar acceso y luego reciben solo el acceso necesario para la tarea. Es el plano de control principal: casi todos los ataques exitosos terminan comprometiendo o abusando de una identidad.
💻 Dispositivos
Crean una gran superficie de ataque a medida que los datos fluyen entre dispositivos, cargas locales y la nube. Se monitorea su estado y cumplimiento, y un dispositivo que no cumple o muestra señales de compromiso se bloquea o recibe acceso restringido.
📱 Aplicaciones
Son la forma en que se consumen los datos. Hace falta visibilidad de todas, incluidas las no autorizadas (shadow IT), y control de los permisos que las apps piden a las plataformas y de los que los usuarios les conceden.
💾 Datos
Se clasifican, etiquetan y cifran según sus atributos y sensibilidad. Todos los demás pilares existen para protegerlos, y los datos deben llevar su propia protección para seguir seguros fuera de los entornos que controla la organización.
🏗️ Infraestructura
Local o en la nube, es una gran superficie de ataque. Se evalúa continuamente por versión, cumplimiento de configuración y comportamiento inusual. El acceso just-in-time a interfaces administrativas reduce la ventana de exposición y la telemetría permite detectar y responder automáticamente.
🌐 Redes
Se segmentan para que comprometer una parte no dé acceso libre al resto, con microsegmentación dentro de cada zona, no solo en el borde. Se suman protección en tiempo real, cifrado de extremo a extremo, monitoreo continuo y analítica.
🛰️ Visibilidad, automatización y orquestación
El séptimo pilar integra las señales de los otros seis. Sin él, el equipo recibe un volumen enorme de alertas separadas, se pierden amenazas y aparece la fatiga del analista. Aquí entran el SIEM, que ingiere y correlaciona señales para detectar amenazas, y el SOAR, que usa esas detecciones para lanzar playbooks de respuesta automática.
Ojo con material viejo
Guías antiguas hablan de 6 pilares. El módulo oficial actual del SC-900 agrega el séptimo: visibilidad, automatización y orquestación.
Pilares y soluciones de Microsoft
El resto del examen recorre productos que encajan en estos pilares. Tenerlos asociados ayuda a ubicar cada servicio:
| Pilar | Soluciones que lo cubren |
|---|---|
| Identidades | Microsoft Entra ID, acceso condicional, PIM, ID Protection |
| Dispositivos | Microsoft Intune, Defender for Endpoint |
| Aplicaciones | Defender for Cloud Apps (incluido el descubrimiento de shadow IT) |
| Datos | Microsoft Purview: clasificación, etiquetas, DLP |
| Infraestructura | Defender for Cloud, PIM para acceso just-in-time |
| Redes | Azure Firewall, NSG, Global Secure Access |
| Visibilidad y automatización | Microsoft Sentinel (SIEM y SOAR), Defender XDR |
Zero Trust en la práctica
Ejemplo del material oficial: un usuario inicia sesión desde una ubicación desconocida, con un dispositivo personal no administrado, e intenta abrir una aplicación financiera sensible. Las señales de todos los pilares se evalúan a la vez:
Identidades: Valida las credenciales y marca la ubicación inusual como señal de riesgo.
Dispositivos: Detecta que el equipo no está inscrito ni cumple las políticas.
Aplicaciones: Aplica la política que exige un dispositivo compatible para apps sensibles.
Redes: Monitorea la conexión y registra el intento.
Datos: La información financiera ya está cifrada y con acceso controlado.
Infraestructura: Registra el intento en la telemetría.
Visibilidad y automatización: En vez de que cada pilar registre un evento de baja gravedad por separado, correlaciona todo en una detección de alto riesgo: pide más autenticación, bloquea el acceso y alerta al equipo, sin intervención manual.
Eso es Zero Trust en acción: verificación continua en cada pilar, respuesta automática que limita el daño y visibilidad central para entender qué pasó y por qué.
Escenarios de examen
| Situación | Principio o pilar | Por qué |
|---|---|---|
| Se pide MFA solo cuando el inicio de sesión viene de un país inusual | Verificar explícitamente | Se evalúan señales como la ubicación además de la contraseña. |
| Un administrador recibe permisos solo durante 2 horas para una tarea | Privilegios mínimos (just-in-time) | Acceso solo cuando hace falta y solo el tiempo necesario. |
| Se da a un técnico solo el permiso de reiniciar VMs, no de borrarlas | Privilegios mínimos (just-enough-access) | Solo los permisos concretos de la tarea. |
| Se segmenta la red para que un equipo comprometido no llegue a las bases de datos | Asumir una brecha | Se limita el alcance de un atacante que ya entró. |
| Se correlacionan alertas de identidad, dispositivo y red en un solo incidente | Pilar de visibilidad, automatización y orquestación | Integra señales de los demás pilares (SIEM/SOAR). |
| Se descubren apps en la nube que usan empleados sin aprobación | Pilar de aplicaciones | Incluye visibilidad del shadow IT. |
Trampas frecuentes del examen
❓ ¿Zero Trust es un producto que se compra?
No. Es una estrategia de seguridad. Varios productos de Microsoft ayudan a aplicarla, como el acceso condicional, PIM o Sentinel, pero ninguno "es" Zero Trust.
❓ Dar acceso de administrador solo durante una ventana de mantenimiento, ¿qué principio aplica?
Usar acceso con privilegios mínimos (just-in-time). Verificar explícitamente se refiere a evaluar señales en cada solicitud.
❓ Segmentar la red y cifrar de extremo a extremo, ¿qué principio aplica?
Asumir una brecha: limita lo que un atacante puede alcanzar si ya entró.
❓ ¿Un usuario que ya inició sesión desde la red corporativa es confiable?
No en Zero Trust. Ninguna identidad ni red es confiable por defecto, aunque ya se haya autenticado.
❓ ¿Cuántos pilares tiene Zero Trust según el material actual?
Siete. El séptimo, visibilidad, automatización y orquestación, integra las señales de los otros seis.
❓ ¿En qué pilar encajan SIEM y SOAR?
En visibilidad, automatización y orquestación. El SIEM detecta correlacionando señales; el SOAR responde con playbooks.
❓ "Defensa en profundidad" ¿es uno de los principios de Zero Trust?
No. Los principios son verificar explícitamente, privilegios mínimos y asumir una brecha. La defensa en profundidad es otra estrategia complementaria.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una política exige MFA cuando un usuario inicia sesión desde un país inusual con un dispositivo no administrado, aunque la contraseña sea correcta. ¿Qué principio de Zero Trust aplica?
¿Listo para poner a prueba "Zero Trust: principios y pilares"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro