La gestión de identidades de máquinas (MIM) implica la emisión, rotación y revocación de credenciales que las máquinas, como servidores, endpoints, dispositivos de red, máquinas virtuales y dispositivos IoT, utilizan para la autenticación y la comunicación segura.
Al igual que los humanos, las máquinas deben presentar credenciales para acceder a los sistemas y datos. Pero mientras que los humanos se basan en nombres de usuario, contraseñas y autenticación multifactor (MFA), las máquinas se basan en credenciales de dispositivos, como claves y certificados.
Estas credenciales permiten a las máquinas demostrar su identidad. Los formularios comunes incluyen certificados TLS para conexiones de red seguras, claves SSH para acceso remoto y certificados de dispositivo emitidos por infraestructura de clave pública (PKI) para la autenticación de dispositivos.
A medida que crece la comunicación máquina a máquina, proteger las identidades de las máquinas contra las ciberamenazas se ha convertido en un gran desafío. Según el IBM® X-Force Threat Intelligence Index, los ataques basados en identidad, donde los ciberdelincuentes abusan de credenciales válidas para acceder a las redes, representan el 32 % de las vulneraciones de datos.
Las infraestructuras modernas también pueden dificultar la gestión de las identidades de las máquinas. Los entornos de TI escalan rápido, proporcionan y desactivan dispositivos con frecuencia y necesitan renovar constantemente las credenciales.
MIM ayuda a poner orden en esta complejidad y a mejorar la ciberseguridad. Permite a los equipos de seguridad descubrir dónde se encuentran las credenciales de los dispositivos, automatizar la rotación y revocación, aplicar políticas de seguridad y monitorizar la caducidad o el uso indebido.
Con MIM, las organizaciones pueden admitir la arquitectura zero trust y reducir el acceso no autorizado, las vulneraciones de datos y las interrupciones por certificados caducados. También pueden limitar la posible exposición de las claves filtradas y recopilar los registros de auditoría necesarios para el cumplimiento de la normativa.
En seguridad de identidades, las identidades no humanas (NHI) son identidades digitales asignadas a “usuarios” no humanos, como aplicaciones, servicios, cargas de trabajo, contenedores, API, bots y agentes de IA y dispositivos.
Una identidad de máquina es un subconjunto de NHI asociadas específicamente a un dispositivo, como un servidor, una máquina virtual, un endpoint, un dispositivo de red o un dispositivo IoT.
El término identidad de máquina se utiliza a veces como un término general que designa cualquier NHI, aunque este uso es técnicamente incorrecto. La gestión de identidades de máquinas se centra específicamente en gestionar las identidades de las máquinas y sus credenciales.
Dicho esto, las máquinas interactúan con frecuencia con el software y los servicios que se autentican mediante cuentas de servicio y credenciales, como las claves de API. Los programas MIM suelen implementarse junto con esfuerzos más amplios de gestión y gobierno de identidades no humanas.
El auge de los agentes de IA también está difuminando aún más la división entre las identidades no humanas y las de las máquinas. Los agentes de IA suelen ejecutar el trabajo a través de cargas de trabajo e identidades de servicio e incluso pueden delegar tareas entre sistemas. Esto significa que suelen actuar en la intersección entre las identidades no humanas y las identidades de las máquinas.
Únase a los líderes de seguridad que confían en el boletín Think para obtener noticias seleccionadas sobre IA, ciberseguridad, datos y automatización. Aprenda rápidamente de tutoriales de expertos y artículos explicativos, directamente en su bandeja de entrada. Consulte la Declaración de privacidad de IBM.
Las estimaciones varían, de 45:1 a 92:1, pero en la mayoría de los entornos de TI, las identidades no humanas superan significativamente en número a las de los humanos.
Y los entornos de TI continúan evolucionando, impulsados por la adopción de la infraestructura en la nube y el software como servicio (SaaS), el auge de los sistemas distribuidos y los microservicios y el crecimiento de los dispositivos conectados. Con cada uno, crece el número de máquinas, junto con la variedad de credenciales.
Además de ser numerosas, las credenciales de máquinas son atractivas para los ciberdelincuentes. A diferencia de los usuarios humanos, las máquinas suelen funcionar de forma continua, se autentican automáticamente y no pueden depender de controles interactivos, como las instrucciones de MFA. También suelen confiar implícitamente en las redes y los flujos de trabajo, lo que puede aumentar el impacto cuando las credenciales se ven comprometidas.
Algunos de los riesgos de seguridad más comunes asociados a las identidades de las máquinas incluyen:
El gran número de identidades de máquinas en un sistema, y el ritmo al que se aprovisionan nuevos dispositivos e instancias, pueden dificultar la visibilidad, creando brechas por las que los ciberdelincuentes pueden colarse.
Muchas organizaciones tampoco se preocupan por dar de baja oficialmente las identidades de las máquinas cuando retiran servidores, desactivan imágenes de máquinas virtuales o sacan dispositivos del servicio. Estas identidades antiguas suelen estar sin monitorizar y conservan sus permisos intactos.
Dado que forman parte integral de los flujos de trabajo principales, a las identidades de las máquinas se les suele conceder acceso privilegiado a datos confidenciales. Con el fin de garantizar que estos procesos “simplemente funcionen”, las organizaciones suelen conceder a las credenciales de los dispositivos permisos más amplios de los que necesitan.
Es posible que las máquinas no tengan contraseñas, pero utilizan tokens OAuth, certificados y otros secretos para autorizarse y autenticarse. Estos secretos se pueden robar y utilizar indebidamente de la misma manera que las contraseñas de los usuarios humanos, lo que permite el acceso no autorizado, el movimiento lateral y la escalada de privilegios.
Los dispositivos y los sistemas de gestión de dispositivos a menudo se conectan a plataformas de terceros (por ejemplo, proveedores de gestión de flotas de IoT o monitorización de dispositivos). Sin embargo, si las credenciales de esas plataformas de terceros se ven comprometidas, los atacantes pueden desplazarse lateralmente por los distintos entornos.
Cuando se retiran servidores, se eliminan imágenes de máquinas virtuales o se retiran dispositivos del servicio, las credenciales antiguas pueden seguir existiendo. Sin una revocación y un desmantelamiento sistemáticos, estas credenciales de dispositivos huérfanos pueden convertirse en riesgos para la seguridad.
Las organizaciones suelen gestionar varios tipos de credenciales de identidades de máquinas, cada una con características y requisitos de seguridad distintos.
La gestión de identidades de máquinas automatiza y pone en práctica el ciclo de vida de las identidades de máquinas, gestionando las credenciales desde su emisión hasta su desactivación.
Las etapas centrales del ciclo de vida de la gestión de identidades de máquinas incluyen:
El descubrimiento implica escanear redes, entornos de nube, almacenes de certificados y configuraciones de aplicación para identificar todas las credenciales de dispositivo en uso, incluidas las credenciales fuera de los sistemas de TI formales.
Los equipos de seguridad se pueden encontrar con frecuencia credenciales que ni siquiera sabían que existían, como claves SSH en servidores olvidados o certificados de dispositivos incrustados en sistemas heredados.
Cuando se establece o identifica una nueva identidad de máquina, MIM implica emitir nuevas credenciales de esa identidad. Un programa MIM formal permite a las organizaciones crear credenciales a través de procesos controlados y auditables en lugar de un manejo manual ad hoc.
Al aprovisionar, dar las credenciales correctas a las máquinas adecuadas, las organizaciones suelen intentar seguir el principio de privilegio mínimo, otorgando a cada máquina solo el nivel exacto de acceso que necesita para llevar a cabo sus funciones.
Por ejemplo, a una máquina virtual creada en la nube se le puede asignar una identidad específica dentro de un sistema IAM. MIM puede entonces ayudar a garantizar que la máquina virtual reciba automáticamente las credenciales de corta duración que necesita. Estas credenciales le permiten acceder únicamente a los recursos específicos de la nube que está destinado a utilizar, como un único depósito de almacenamiento o un almacén de secretos, sin almacenar claves de acceso a largo plazo en el equipo.
La rotación consiste en sustituir las credenciales periódicamente o tras una posible exposición. Implica emitir nuevos certificados o claves y retirar los antiguos.
Las credenciales tienen una vida útil limitada por diseño. Por ejemplo, los certificados TLS suelen caducar entre 90 días y un año. Esta duración limitada tiene dos finalidades.
En primer lugar, reduce las posibilidades de los atacantes. Si se roban las credenciales, estas dejan de ser válidas cuando se rotan.
En segundo lugar, la rotación regular ayuda a prevenir cortes causados por certificados caducados, lo que puede sorprender a los equipos de TI.
La automatización hace que la rotación y la renovación sean gestionables a escala al eliminar la necesidad del seguimiento manual. En lugar de hojas de cálculo y recordatorios en el calendario, las plataformas de gestión de identidades de máquinas pueden monitorizar las fechas de caducidad mediante un inventario de credenciales y activar automáticamente la renovación de certificados y la rotación de claves.
Cuando sea necesario, como cuando un certificado se ve comprometido o un dispositivo se retira, MIM puede revocar los certificados inmediatamente. La revocación suele consistir en añadir el certificado a una lista de certificados revocados o en utilizar servidores OCSP (Online Certificate Status Protocol), es decir, servidores que responden en tiempo real a consultas sobre si un certificado sigue siendo válido.
El desaprovisionamiento también implica la eliminación regular de las credenciales cuando se retiran los dispositivos y los componentes de la infraestructura. Para los recursos efímeros que existen durante segundos o minutos, MIM ayuda a garantizar que el desaprovisionamiento se produzca automáticamente cuando se destruyen los recursos.
Hay varias tecnologías y prácticas que forman la base de MIM. Entre los más destacados se encuentran:
La infraestructura de clave pública es un marco global para asignar, identificar y verificar las identidades de los usuarios mediante certificados digitales. Es el marco principal que utilizan muchas organizaciones para emitir, gestionar y revocar certificados digitales.
Una autoridad de certificación (CA) emite certificados después de validar la identidad de la entidad solicitante, como un servidor, dispositivo u organización. Los certificados contienen información valiosa, como la clave pública de la entidad solicitante y la firma digital de la CA, que ayudan a demostrar la identidad de la entidad.
Por ejemplo, cuando un servidor web necesita un certificado TLS, envía una solicitud (a menudo en forma de solicitud de firma de certificado o CSR) a una CA. La CA valida la solicitud y emite el certificado. A continuación, el servidor puede utilizar el certificado para establecer conexiones HTTPS.
En algunas implementaciones de PKI, una autoridad de registro (RA) también puede aprobar las solicitudes de certificado antes de que la CA emita el certificado. Las RA pueden reforzar la seguridad añadiendo un paso de aprobación y aplicando la separación de funciones.
Las herramientas CLM automatizan el descubrimiento, el seguimiento, la renovación y la revocación de certificados. Proporcionan visibilidad centralizada entre entornos híbridos que abarcan sistemas en la nube y on-premises. Las herramientas CLM pueden alertar a los administradores sobre los próximos vencimientos y activar flujos de trabajo automatizados para renovar, rotar y revocar credenciales.
Por ejemplo, una herramienta de gestión del ciclo de vida de los certificados (CLM) podría detectar 500 certificados en los entornos en la nube y on-premises de una organización, señalar los 30 que caducan en un plazo de 30 días y renovarlos automáticamente, evitando así interrupciones del servicio sin necesidad de intervención manual.
Las soluciones de gestión de secretos pueden almacenar y rotar de forma segura las credenciales utilizadas por la automatización de infraestructuras y los flujos de trabajo de gestión de dispositivos (por ejemplo, claves SSH y otros secretos privilegiados). Las herramientas de gestión de secretos permiten a los equipos guardar los secretos de los dispositivos en un almacén protegido, en lugar de en un repositorio de código u otra ubicación no segura.
Las herramientas de gestión de secretos a menudo pueden integrarse con los flujos de trabajo DevOps para ayudar a proporcionar credenciales bajo demanda, aplicar políticas de acceso y mantener registros de auditoría.
Las herramientas de gestión de acceso privilegiado (PAM) ayudan a gestionar las credenciales con privilegios elevados. A menudo ofrecen características como la monitorización de sesiones y el aprovisionamiento justo a tiempo, que consiste en conceder acceso solo cuando es necesario y revocarlo automáticamente después.
Por ejemplo, en lugar de conceder a un ingeniero acceso permanente con privilegios de root a los servidores de producción, PAM puede proporcionar credenciales SSH temporales que caducan tras un periodo de mantenimiento, lo que reduce los privilegios permanentes.
Los HSM son dispositivos de hardware resistentes a manipulaciones para almacenar claves privadas. Protegen el material criptográfico de la extracción, incluso si los atacantes acceden al servidor. Los HSM suelen ser valiosos para los servicios financieros y el cumplimiento normativo.
Por ejemplo, un banco podría almacenar las claves privadas de sus certificados de procesamiento de pagos en un HSM, lo que contribuye a garantizar que las claves no puedan extraerse aunque los ciberdelincuentes logren acceder al servidor de aplicaciones.
MIM y la gestión de identidades y accesos (IAM) forman parte de la seguridad de identidades, que se centra en proteger las identidades digitales y los sistemas que las gestionan.
La principal diferencia está en lo que protegen. IAM se centra principalmente en los usuarios humanos, mientras que MIM se centra en las máquinas.
Los sistemas IAM suelen utilizar flujos interactivos (introducción de contraseñas, instrucciones de autenticación multifactorial, datos biométricos) que dan por hecho que hay una persona presente, mientras que los sistemas MIM deben recurrir al intercambio automatizado de credenciales sin intervención humana.
Los programas modernos de seguridad de identidades suelen requerir tanto IAM como MIM, y la mayoría de los marcos de gobierno y administración de identidades (IGA) tratan las identidades de las máquinas junto con las humanas. Las máquinas tienen necesidades de gestión similares a las de los usuarios humanos. En ambos casos, las organizaciones deben hacer un seguimiento de lo que existe, a qué puede acceder y si ese acceso sigue siendo adecuado con el tiempo.
MIM puede ayudar a las organizaciones a reforzar la seguridad, mantener el tiempo de actividad y simplificar el cumplimiento.
MIM proporciona una vista unificada de las credenciales de los dispositivos en todo el ecosistema de una empresa.
Esta capacidad puede facilitar a los equipos de seguridad la identificación de vulnerabilidades (credenciales huérfanas, permisos excesivos, certificados a punto de caducar) y corregirlas antes de que los hackers puedan atacar.
La aplicación automatizada de políticas también puede ayudar a los equipos de TI a aplicar las normas de seguridad de forma coherente, reduciendo el riesgo de que se produzcan errores de configuración aprovechables.
Los certificados caducados son una causa común de tiempos de inactividad inesperados. Sin un certificado válido, una máquina no puede autenticarse ni establecer una conexión cifrada, lo que puede provocar que los servicios se desconecten o fallen. La gestión automatizada de certificados puede ayudar a evitar estas interrupciones renovando las credenciales antes de que caduquen.
MIM puede ayudar a las organizaciones a mantener el cumplimiento de reglamentos como el Reglamento General de Protección de Datos (RGPD), el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI-DSS), la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) y la Ley Sarbanes-Oxley (SOX). MIM documenta la titularidad de las credenciales, el historial de rotaciones y el acceso a sistemas sensibles, facilitando la provisión de pruebas de auditoría y agilizando las reseñas de cumplimiento.
MIM puede facilitar el escalado de la infraestructura de TI, lo que permite un rápido crecimiento de las cargas de trabajo en la nube, los contenedores y los dispositivos conectados sin aumentos proporcionales en la gestión. Para ello, automatiza la emisión, rotación y revocación de credenciales, lo que facilita a los equipos de TI la tarea de mantener seguras las identidades a medida que crecen los entornos.
La escalabilidad fluida es cada vez más importante a medida que las organizaciones amplían sus ecosistemas de microservicios, dispositivos IoT y agentes de IA, cada uno añadiendo nuevas identidades y credenciales de máquina que deben gestionarse a lo largo de su ciclo de vida.
Zero trust requiere una validación continua de cada conexión, humana o máquina. MIM puede ayudar a que la validación continua sea práctica al descubrir y catalogar las identidades de las máquinas, un primer paso necesario porque las organizaciones no pueden validar las credenciales que no han identificado. También puede fomentar los privilegios mínimos automatizando los controles de acceso y aplicándolos de forma coherente en todos los entornos.
A pesar de sus muchos beneficios, las organizaciones pueden enfrentar desafíos al implementar y operar MIM.
Las credenciales de las máquinas rara vez se gestionan a través de un único sistema o solución de seguridad. Los equipos de seguridad podrían utilizar una herramienta para los certificados PKI y otra para la gestión de secretos, mientras que los equipos de operaciones mantendrían sus propias credenciales por completo. Esta fragmentación de herramientas puede crear importantes lagunas de visibilidad e incoherencias en las políticas.
Los usuarios humanos suelen tener responsables que aprueban periódicamente las solicitudes de acceso y revisan los permisos. Las identidades de las máquinas pueden carecer de la supervisión equivalente. Por ejemplo, cuando el ingeniero que ha asignado las credenciales cambia de puesto o abandona la organización, la responsabilidad puede desaparecer con él. Sin una propiedad explícita, las credenciales pueden pasar años sin revisarse.
MIM depende de la automatización. Sin embargo, la rotación totalmente automatizada puede provocar fallos en las aplicaciones y los sistemas que esperan credenciales estáticas, como las claves integradas en las configuraciones, lo que da lugar a interrupciones del servicio cuando un sistema deja de poder autenticarse de forma repentina. Las organizaciones deben equilibrar una automatización suficiente para alcanzar sus prioridades con una supervisión suficiente para detectar los errores antes de que lleguen a la producción.