La gestión de identidades de máquinas (MIM) consiste en emitir, renovar y revocar las credenciales que utilizan las máquinas (como servidores, endpoints, dispositivos de red, máquinas virtuales y dispositivos IoT) para la autenticación y la comunicación segura.
Al igual que los humanos, las máquinas deben presentar credenciales para acceder a los sistemas y datos. Pero mientras los humanos dependen de nombres de usuario, contraseñas y autenticación multifactor (MFA), las máquinas dependen de credenciales de dispositivo como claves y certificados.
Estas credenciales permiten a las máquinas probar su identidad. Entre los formatos más comunes se encuentran los certificados TLS para conexiones de red seguras, las claves SSH para el acceso remoto y los certificados de dispositivos emitidos por la infraestructura de clave pública (PKI)para la autenticación de dispositivos.
A medida que crece la comunicación máquina a máquina, proteger las identidades de las máquinas contra las amenazas cibernéticas se ha convertido en un desafío importante. Según el IBM X-Force Threat Intelligence Index, los ataques basados en la identidad, en los que los delincuentes cibernéticos abusan de las credenciales de cuentas válidas para acceder a las redes, representan el 32 % de las filtraciones de datos.
Las infraestructuras modernas también pueden complicar la gestión de las identidades de las máquinas. Los entornos de TI escalan rápidamente, aprovisionan y desactivan dispositivos con frecuencia y necesitan renovar constantemente las credenciales.
La MIM ayuda a poner orden en esta complejidad y a mejorar la ciberseguridad. Permite a los equipos de seguridad descubrir dónde residen las credenciales de los dispositivos, automatizar la rotación y revocación, aplicar políticas de seguridad y monitorear la caducidad o el uso indebido.
Con la MIM, las organizaciones pueden admitir la arquitectura de confianza cero y reducir el acceso no autorizado, las filtraciones de datos y las interrupciones debidas a certificados caducados. También pueden limitar la posible exposición de claves filtradas y recopilar los registros de auditoría necesarios para cumplir con la normativa.
En la seguridad de identidades, las identidades no humanas (NHI) son identidades digitales asignadas a “usuarios” no humanos, como aplicaciones, servicios, cargas de trabajo, contenedores, API, bots y agentes de IA y dispositivos.
Una identidad de máquina es un subconjunto de las NHI específicamente asociado a un dispositivo, como un servidor, una máquina virtual, un endpoint, un dispositivo de red o un dispositivo IoT.
El término “identidad de máquina” a veces se utiliza como un término genérico para cualquier NHI, aunque este uso es técnicamente incorrecto. La gestión de identidades de máquinas se centra específicamente en gestionar las identidades de las máquinas y sus credenciales.
Dicho esto, las máquinas frecuentemente interactúan con software y servicios que se autentican mediante el uso de cuentas de servicio y credenciales como claves API. Los programas de MIM a menudo se implementan junto con esfuerzos más amplios de gestión y gobernanza de identidades no humanas.
El auge de los agentes de IA también está difuminando aún más la línea divisoria entre las identidades no humanas y las de las máquinas. Los agentes de IA suelen realizar tareas mediante cargas de trabajo e identidades de servicio, e incluso pueden delegar tareas entre sistemas. Esto significa que frecuentemente operan en la intersección tanto de identidades no humanas como de identidades de máquinas.
Únase a los líderes de seguridad que confían en el boletín Think para obtener noticias seleccionadas sobre IA, ciberseguridad, datos y automatización. Aprende rápido con tutoriales de expertos y documentos explicativos, que se envían directamente a su bandeja de entrada. Consulte la Declaración de privacidad de IBM.
Las estimaciones varían, de 45:1 a 92:1, pero en la mayoría de los entornos de TI, las identidades no humanas superan significativamente a los humanos.
Y los entornos de TI continúan evolucionando, impulsados por la adopción de la infraestructura en la nube y el software como servicio (SaaS), el auge de los sistemas distribuidos y los microservicios, y el crecimiento de los dispositivos conectados. Con cada uno, la cantidad de máquinas crece, junto con la variedad de credenciales.
Además de ser numerosas, las credenciales de las máquinas son atractivas para los delincuentes cibernéticos. A diferencia de los usuarios humanos, las máquinas suelen funcionar de manera continua, se autentican automáticamente y no pueden recurrir a controles interactivos, como las instrucciones de MFA. También suelen confiar implícitamente en redes y flujos de trabajo, lo que puede aumentar el impacto cuando las credenciales se ven comprometidas.
Algunos de los riesgos de seguridad más comunes asociados a las identidades de las máquinas son:
La gran cantidad de identidades de máquinas en un sistema y el ritmo al que se aprovisionan nuevos dispositivos e instancias pueden dificultar la visibilidad, creando brechas que los delincuentes cibernéticos pueden atravesar.
Muchas organizaciones también descuidan la identificación formal de las máquinas al desmantelar servidores, retirar imágenes de máquinas virtuales o quitar dispositivos del servicio. Estas identidades antiguas suelen estar sin supervisar y conservan sus permisos intactos.
Dado que forman parte integral de los flujos de trabajo principales, a las identidades de las máquinas se les suele otorgar acceso privilegiado a datos confidenciales. Con el fin de garantizar que estos procesos “simplemente funcionen”, las organizaciones a menudo otorgan permisos más amplios de los que necesitan las credenciales de los dispositivos.
Es posible que las máquinas no tengan contraseñas, pero utilizan tokens de OAuth, certificados y otros secretos para autorizarse y autenticarse. Estos secretos pueden ser robados y utilizados indebidamente de la misma manera que las contraseñas de los usuarios humanos, lo que permite el acceso no autorizado, el movimiento lateral y la escalada de privilegios.
Los dispositivos y los sistemas de gestión de dispositivos a menudo se conectan a plataformas de terceros (por ejemplo, proveedores de gestión de flotas de IoT o monitoreo de dispositivos). Pero si las credenciales de esas plataformas de terceros se ven comprometidas, los atacantes pueden moverse lateralmente entre entornos.
Cuando los servidores se dan de baja, las imágenes de máquinas virtuales se quitan o los dispositivos se retiran del servicio, las credenciales antiguas pueden persistir. Sin una revocación y desmantelamiento sistemáticos, estas credenciales de dispositivos huérfanos pueden convertirse en riesgos de seguridad.
Las organizaciones suelen gestionar varios tipos de credenciales de identidades de máquinas, cada una con características y requisitos de seguridad distintos.
La gestión de identidades de máquinas automatiza y pone en funcionamiento el ciclo de vida de las identidades de la máquinas, gestionando las credenciales desde la emisión hasta el desaprovisionamiento.
Las etapas centrales del ciclo de vida de la gestión de identidades de máquinas incluyen:
El descubrimiento implica escanear redes, entornos de nube, almacenes de certificados y configuraciones de aplicaciones para identificar todas las credenciales de dispositivos en uso, incluidas las credenciales fuera de los sistemas de TI formales.
Con frecuencia, los equipos de seguridad pueden encontrar credenciales que ni siquiera sabían que existían, como claves SSH en servidores olvidados o certificados de dispositivos integrados en sistemas heredados.
Cuando se establece o identifica una nueva identidad de máquina, la MIM implica emitir nuevas credenciales de esa identidad. Un programa de MIM formal permite a las organizaciones crear credenciales a través de procesos controlados y auditables en lugar de un manejo manual ad hoc.
Al aprovisionar (dar las credenciales correctas a las máquinas adecuadas), las organizaciones suelen intentar seguir el principio de privilegio mínimo, otorgando a cada máquina solo el nivel exacto de acceso que necesita para llevar a cabo sus funciones.
Por ejemplo, a una máquina virtual creada en la nube se le puede asignar una identidad específica dentro de un sistema IAM. La MIM puede ayudar a garantizar que la máquina virtual reciba automáticamente las credenciales de corta duración que necesita. Estas credenciales le permiten acceder solo a los recursos específicos de la nube que está destinado a usar, como un único bucket de almacenamiento o una bóveda, sin almacenar claves de acceso a largo plazo en la máquina.
La rotación consiste en sustituir las credenciales periódicamente o tras una posible exposición. Implica emitir nuevos certificados o claves y retirar los antiguos.
Las credenciales tienen una vida útil limitada por diseño. Por ejemplo, los certificados TLS suelen caducar después de 90 días a un año. Esta vida útil limitada cumple dos propósitos.
En primer lugar, reduce la ventana de oportunidad para los atacantes. Si se roban las credenciales, se vuelven inservibles cuando se rotan.
En segundo lugar, la rotación regular ayuda a prevenir cortes causados por certificados caducados, lo que puede sorprender a los equipos de TI.
La automatización hace que la rotación y la renovación sean manejables a escala al eliminar la necesidad de realizar un seguimiento manual. En lugar de hojas de cálculo y recordatorios de calendario, las plataformas de gestión de identidades de máquinas pueden monitorear las fechas de vencimiento a través de un inventario de credenciales y activar automáticamente renovaciones de certificados y rotaciones de claves.
Cuando sea necesario, como cuando un certificado se ve comprometido o un dispositivo se da de baja, la MIM puede revocar los certificados de inmediato. La revocación suele consistir en agregar el certificado a una lista de certificados revocados o en utilizar servidores de respuesta del Protocolo de estado de certificados en línea (OCSP), que responden en tiempo real a consultas sobre si un certificado sigue siendo válido.
El desaprovisionamiento también implica la eliminación regular de credenciales cuando se retiran dispositivos y componentes de infraestructura. Para los recursos efímeros que existen durante segundos o minutos, la MIM ayuda a garantizar que el desaprovisionamiento se produzca automáticamente cuando se destruyen los recursos.
Varias tecnologías y prácticas forman la base de la MIM. Algunas de las más significativas incluyen:
La infraestructura de clave pública es un marco integral para asignar, identificar y verificar identidades de usuarios a través de certificados digitales. Es el marco principal que muchas organizaciones utilizan para emitir, gestionar y revocar certificados digitales.
Una autoridad de certificación (CA) emite certificados después de validar la identidad de la entidad solicitante, como un servidor, dispositivo u organización. Los certificados contienen información valiosa, como la clave pública de la entidad solicitante y la firma digital de la CA, que ayudan a probar la identidad de la entidad.
Por ejemplo, cuando un servidor web necesita un certificado TLS, envía una solicitud (a menudo en forma de solicitud de firma de certificado o CSR) a una CA. La CA valida la solicitud y emite el certificado. Luego, el servidor puede usar el certificado para establecer conexiones HTTPS.
En algunos despliegues de PKI, una autoridad de registro (RA) también puede aprobar las solicitudes de certificado antes de que la CA emita el certificado. La RA puede fortalecer la seguridad agregando un paso de aprobación y haciendo cumplir la separación de funciones.
Las herramientas de CLM automatizan el descubrimiento, el seguimiento, la renovación y la revocación de certificados. Proporcionan visibilidad centralizada en entornos híbridos que abarcan sistemas en la nube y on premises. Las herramientas de CLM pueden alertar a los administradores sobre los próximos vencimientos y activar flujos de trabajo automatizados para renovar, rotar y revocar credenciales.
Por ejemplo, una herramienta de CLM podría descubrir 500 certificados en los entornos on premises y en la nube de una organización, marcar 30 que caducan en un plazo de 30 días y renovarlos automáticamente, evitando interrupciones sin intervención manual.
Las soluciones de gestión de secretos pueden almacenar y rotar de manera segura las credenciales utilizadas por la automatización de la infraestructura y los flujos de trabajo de gestión de dispositivos (por ejemplo, claves SSH y otros secretos privilegiados). Las herramientas de gestión de secretos permiten a los equipos almacenar los secretos de los dispositivos en una bóveda protegida en lugar de en un repositorio de código u otra ubicación no segura.
Las herramientas de gestión de secretos a menudo pueden integrarse con los flujos de trabajo de DevOps para ayudar a proporcionar credenciales bajo demanda, aplicar políticas de acceso y mantener registros de auditoría.
Las herramientas de gestión de acceso privilegiado (PAM) ayudan a gestionar credenciales altamente privilegiadas. A menudo ofrecen características como la supervisión de sesiones y el aprovisionamiento justo a tiempo, lo que permite conceder acceso solo cuando es necesario y revocarlo automáticamente después.
Por ejemplo, en lugar de dar a un ingeniero acceso raíz permanente a los servidores de producción, la PAM puede proporcionar credenciales SSH temporales que caducan después de una ventana de mantenimiento, lo que reduce el privilegio permanente.
Los HSM son dispositivos de hardware a prueba de manipulaciones para almacenar claves privadas. Protegen el material criptográfico de la extracción, incluso si los atacantes acceden al servidor. Los HSM suelen ser valiosos para los servicios financieros y el cumplimiento normativo.
Por ejemplo, un banco podría almacenar las claves privadas de sus certificados de procesamiento de pagos en un HSM, lo que ayuda a garantizar que las claves no se puedan extraer incluso si los delincuentes cibernéticos violan el servidor de aplicaciones.
La MIM y la gestión de identidad y acceso (IAM) forman parte de la seguridad de la identidad, que se centra en proteger las identidades digitales y los sistemas que las gestionan.
La principal diferencia está en lo que protegen. La IAM se centra principalmente en los usuarios humanos, mientras que la MIM se centra en las máquinas.
Los sistemas IAM a menudo utilizan flujos interactivos (ingreso de contraseña, instrucciones de MFA, datos biométricos) que asumen que una persona está presente, mientras que la MIM debe usar el intercambio automatizado de credenciales sin intervención humana.
Los programas modernos de seguridad de identidad generalmente requieren tanto la IAM como la MIM, y la mayoría de los marcos de gobernanza y administración de identidades (IGA) tratan las identidades de máquinas junto con los humanos. Las máquinas tienen necesidades de gobernanza similares a las de los usuarios humanos. En ambos casos, las organizaciones deben realizar un seguimiento de lo que existe, a qué puede acceder y si ese acceso sigue siendo apropiado a lo largo del tiempo.
La MIM puede ayudar a las organizaciones a fortalecer la seguridad, mantener el tiempo de actividad y simplificar el cumplimiento.
La MIM proporciona una vista unificada de las credenciales de los dispositivos en todo el ecosistema de una empresa.
Esta capacidad puede facilitar a los equipos de seguridad la identificación de vulnerabilidades (credenciales huérfanas, permisos excesivos, certificados a punto de caducar) y corregirlas antes de que los hackers puedan atacar.
La aplicación automatizada de políticas también puede ayudar a los equipos de TI a aplicar las normas de seguridad de manera coherente, lo que reduce el riesgo de que se produzcan errores de configuración que puedan ser objeto de explotación.
Los certificados caducados son una causa común de tiempo de inactividad inesperado. Sin un certificado válido, una máquina no puede autenticarse ni establecer una conexión cifrada, lo que puede provocar que los servicios dejen de funcionar o fallen. La gestión automatizada de certificados puede ayudar a evitar estas interrupciones al renovar las credenciales antes de que caduquen.
La MIM puede ayudar a las organizaciones a mantener el cumplimiento de regulaciones como el Reglamento General de Protección de Datos (GDPR), el Payment Card Industry Data Security Standard (PCI-DSS), la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) y la Ley Sarbanes-Oxley (SOX). La MIM documenta la titularidad de las credenciales, el historial de rotaciones y el acceso a sistemas sensibles, facilitando la provisión de pruebas de auditoría y agilizando las revisiones de cumplimiento.
La MIM puede facilitar el escalado de la infraestructura de TI, lo que permite un rápido crecimiento de las cargas de trabajo en la nube, los contenedores y los dispositivos conectados sin aumentos proporcionales en la gestión. Para ello, automatiza la emisión, la rotación y la revocación de credenciales, lo que facilita a los equipos de TI mantener la seguridad de las identidades a medida que los entornos crecen.
La escalabilidad fluida cobra cada vez más importancia a medida que las organizaciones amplían sus ecosistemas de microservicios, dispositivos IoT y agentes de IA, ya que cada uno agrega nuevas identidades de máquinas y credenciales que deben gestionarse a lo largo de todo su ciclo de vida.
El modelo de confianza cero exige una validación continua de cada conexión, ya sea de una persona o de una máquina. La MIM puede contribuir a que la validación continua sea viable mediante la detección y catalogación de las identidades de las máquinas, un primer paso imprescindible, ya que las organizaciones no pueden validar credenciales que no hayan identificado. También permite aplicar el principio del privilegio mínimo mediante la automatización de los controles de acceso y su aplicación coherente en todos los entornos.
A pesar de sus muchos beneficios, las organizaciones pueden enfrentar desafíos al implementar y operar la MIM.
Las credenciales de las máquinas rara vez se gestionan a través de un único sistema o solución de seguridad. Es posible que los equipos de seguridad utilicen una herramienta para los certificados PKI y otra para la gestión de secretos, mientras que los equipos de operaciones se encargan por completo de sus propias credenciales. Esta fragmentación de herramientas puede crear importantes brechas de visibilidad e incongruencias en las políticas.
Los usuarios humanos suelen tener administradores que aprueban periódicamente las solicitudes de acceso y revisan los permisos. Las identidades de las máquinas pueden carecer de la supervisión equivalente. Por ejemplo, cuando el ingeniero que proporcionó las credenciales cambia de rol o deja la organización, la responsabilidad puede desaparecer con él. Sin una propiedad explícita, las credenciales pueden pasar años sin revisarse.
La MIM depende de la automatización. Pero la rotación totalmente automatizada puede averiar aplicaciones y sistemas que esperan credenciales estáticas, como claves incrustadas en configuraciones, lo que provoca interrupciones cuando un sistema de repente no puede autenticarse. Las organizaciones deben encontrar el equilibrio entre un nivel de automatización suficiente para cumplir sus prioridades y un nivel de supervisión adecuado para detectar los errores antes de que lleguen a la fase de producción.