Validación y monitorización continuas

Zero Trust no termina con la autenticación. Las decisiones de acceso deben reevaluarse continuamente durante las sesiones, según señales de riesgo en tiempo real. Una sesión de confianza a las 9:00 puede dejar de serlo a las 9:05 si el dispositivo se ve comprometido.

Señales utilizadas para la verificación continua:

• Cambios en el estado de cumplimiento del dispositivo (alerta de EDR, fallo de actualización)
• Anomalías en el comportamiento del usuario (hora o volumen de acceso inusuales)
• Cambio de ubicación (viaje imposible)
• Inteligencia de amenazas de red (comunicación con C2 detectada)
• Anomalías en el acceso a aplicaciones

La autenticación adaptativa ajusta dinámicamente los requisitos de autenticación según el riesgo. Acceso de bajo riesgo (dispositivo conocido, horario habitual) → no se requiere fricción adicional. Señales de alto riesgo → requieren volver a autenticarse o realizar un paso adicional de MFA. Los IdP con reconocimiento de contexto (Okta, Azure AD) implementan esta función.

Cuando se activa una señal de riesgo, las sesiones deben poder revocarse de inmediato. Implementación:

• Tiempos de vida cortos para los tokens (15 minutos) + tokens de actualización
• Listas de revocación de tokens
• Invalidación de la sesión de SSO en el IdP
• Forzar la reautenticación mediante el cierre de sesión de OIDC por el canal de retorno

SIEM agrega registros de todas las fuentes (IdP, endpoints, red y aplicaciones) y correlaciona eventos para detectar ataques. Un SIEM de Zero Trust supervisa:

• Eventos y anomalías de autenticación
• Escalación de privilegios
• Acceso o exfiltración de datos inusuales
• Incumplimientos de políticas

UEBA crea líneas base de comportamiento para usuarios y entidades y, después, detecta desviaciones:

• El usuario X siempre accede desde Nueva York — genere una alerta si accede desde Moscú
• La cuenta de servicio nunca realiza conexiones externas — genere una alerta cuando lo haga
• Anomalía en el volumen de descargas de datos — genere una alerta ante una descarga 100 veces superior a la normal

La caza de amenazas consiste en buscar de forma proactiva amenazas que las herramientas automatizadas no han detectado. Los analistas desarrollan hipótesis basadas en inteligencia de amenazas y TTP de ATT&CK, y después buscan evidencias en los registros. No se trata de esperar alertas, sino de buscar activamente a los atacantes que se ocultan en el entorno.

Una pila completa de observabilidad para la supervisión de Zero Trust:

• Registros: Elasticsearch + Kibana (ELK), Splunk
• Métricas: Prometheus + Grafana
• Rastros: Jaeger, Zipkin (rastreo distribuido)
• Red: Zeek, Suricata, VPC Flow Logs

Zero Trust también se extiende al cumplimiento continuo:

• Las herramientas CSPM analizan continuamente las configuraciones de la nube, no solo periódicamente
• Policy as Code (OPA/Rego) aplica el cumplimiento automáticamente
• La detección de desviaciones genera alertas cuando las configuraciones se apartan de la línea base

La supervisión continua alimenta la respuesta automatizada (SOAR):

• Aísle el dispositivo comprometido del IdP → bloquee de inmediato todo acceso
• Bloquee simultáneamente la IP maliciosa en el firewall y la CDN
• Cree un ticket del incidente, notifique al responsable de guardia y ponga el sistema en cuarentena

La velocidad es importante: la respuesta automatizada opera en segundos, frente a los minutos que requiere la respuesta manual.

Medición del progreso de Zero Trust:

• % de usuarios con MFA resistente al phishing
• % de dispositivos inscritos en MDM y que cumplen las políticas
• % de aplicaciones a las que se accede mediante ZTNA frente a VPN
• Tiempo medio para detectar accesos anómalos
• % del tráfico este-oeste con TLS mutuo

¿Qué sistema crea líneas base de comportamiento para usuarios y entidades con el fin de detectar anomalías como viajes imposibles o descargas de datos anormalmente grandes?

Zero Trust requiere una verificación continua que va más allá de la autenticación inicial. Las señales de riesgo en tiempo real (estado del dispositivo, anomalías de comportamiento e inteligencia de amenazas) activan la autenticación adaptativa o la revocación de sesiones. SIEM + UEBA detectan ataques; la caza de amenazas encuentra lo que la automatización no detecta. SOAR automatiza la respuesta en segundos. Realice un seguimiento de la madurez de Zero Trust mediante la cobertura de MFA, la inscripción en MDM y los porcentajes de mTLS del tráfico este-oeste.