c4.9 Aplicar acceso zero trust
Use el contexto como factor de autenticación adicional para el acceso sin VPN a aplicaciones internas: origen de red, postura del dispositivo (anti-malware corriendo/actualizado, SO aprobado) y otras señales deciden cuándo permitir el acceso o exigir verificación adicional. AWS Verified Access lo implementa.
Guía de implementación
Acceso consciente del contexto, sin VPN
El zero trust reduce la fricción y a la vez mejora la seguridad al evaluar el contexto en cada solicitud en lugar de confiar en una ubicación de red. Señales como el origen de red, la postura del dispositivo (¿el anti-malware está corriendo y actualizado?, ¿el SO está aprobado?) y la configuración de la estación de trabajo deciden si permitir el acceso o exigir verificación adicional como MFA.
AWS Verified Access
AWS Verified Access provee acceso seguro y sin VPN a aplicaciones internas al: 1. Autenticar con su proveedor de identidad (por ejemplo Okta o Microsoft Entra ID). 2. Recopilar la postura del dispositivo de proveedores de confianza como CrowdStrike y Jamf. 3. Combinar las señales de identidad y de dispositivo con el recurso solicitado en políticas que deciden cuándo permitir el acceso.
Verified Access usa Cedar, un lenguaje de políticas open source optimizado para la evaluación rápida de condiciones zero trust.
Cómo encaja
Cómo validar
- ¿Evalúa el contexto (identidad, postura del dispositivo, red) en el acceso a aplicaciones internas en vez de confiar en una ubicación de red?
- ¿Exige verificación adicional (como MFA) cuando las señales son anómalas?
- ¿Usa un servicio de acceso zero trust (como AWS Verified Access) integrado con su IdP y proveedores de confianza de dispositivos?
Amenazas que atiende
- Confiar en una ubicación de red (por ejemplo "en la VPN") permite que un dispositivo comprometido o una sesión robada alcance las aplicaciones internas; sin verificaciones de contexto por solicitud, no hay señal que dispare la verificación adicional.
Servicios AWS
AWS Verified Access 
AWS IAM Identity Center