This post is also available in: Português
Não confie em nada e nem em ninguém. É essencialmente esse o conceito do modelo de segurança chamado de Zero Trust (Confiança Zero, em inglês, cuja sigla é ZTN). Na prática, significa verificar sempre e nunca confiar em nenhum usuário ou máquina que esteja tentando acessar a rede da empresa. Por isso, a rede de confiança zero verifica todo tipo de tentativa de acesso, independentemente de quem, como e de onde alguém está tentando entrar.
Com o conceito de home office cada vez mais presente, ficou ainda mais claro que a segurança cibernética deve permanecer como a principal prioridade para as empresas, que agora possuem um considerável percentual de funcionários atuando em seus próprios lares. Quando eles estão trabalhando em casa, precisam acessar dados organizacionais, recursos e serviços para fazer seu trabalho. A ZTN ajuda a verificar qualquer pessoa que esteja tentando acessar a rede ao aplicar menos privilégios, reduzindo os danos em caso de ataque cibernético.
O mesmo vale para fornecedores e parceiros terceirizados. Nesses casos, pode ser necessário liberar algum grau de acesso aos ativos, serviços ou banco de dados da empresa. A metodologia de Confiança Zero pode ajudar a verificar a identidade de pessoas de fora aplicando o Gerenciamento de Identidade e Acesso (IAM) ou Autenticação Multifator (MFA) para que se possa gerenciar o acesso deles aos recursos ou serviços.
Princípios fundamentais do ZTN
O primeiro princípio da ZTN faz jus ao seu nome: todos dentro e fora da rede não são confiáveis. Então, aqueles que estão acessando a rede da empresa devem passar pela fase de identificação, independentemente de ser um humano ou uma máquina. Se for uma pessoa, também não importa se é o diretor-presidente ou um funcionário de nível básico, tampouco se é colaborador interno ou terceirizado.
Nesse contexto, o segundo princípio pressupõe que sempre há uma violação de segurança na rede. Afinal, se a confiança é zero, a desconfiança é constante. Portanto, a rede ZTN continua verificando a identidade após um determinado período. Se um usuário permanecer inativo por um intervalo de tempo específico, a rede fará o logout desse usuário automaticamente e exigirá o login quando o usuário voltar à ativa.
É comum também solicitar acesso com privilégio mínimo ao usuário da rede. Eles permitem tempo e acesso apenas o suficiente para o usuário trabalhar, e implementam políticas adaptativas baseadas em risco. Por exemplo, se alguém precisar usar o Microsoft Office, conseguirá usar apenas o Microsoft Office. Assim, não terá possibilidade de usar outro software instalado na rede.
Como implementar o ZTN?
A adoção da ZTN varia de empresa para empresa, dependendo de sua infraestrutura e do fluxo de tráfego e de seus usuários. No entanto, existem algumas técnicas de implementação mais comuns, que são recomendáveis:
- Definir o que deve ser protegido
Na primeira etapa, deve-se estar ciente do que é essencial proteger – seja serviço, dado ou ativo. Categorize e priorize a importância dos pontos fracos que exigem proteção extra contra ataques cibernéticos.
- Monitorar e classificar o fluxo de tráfego
As empresas têm uma quantidade enorme de fluxo de tráfego, que muitas vezes acontece 24 horas por dia e 7 dias por semana. É necessário monitorar e analisar esse mar de informação continuamente. Com base nessa análise, é possível categorizar a origem do tráfego máximo e mínimo. Essas informações irão ajudar – e muito – durante a implementação da ZTN.
- Microssegmentação
Já ouviu falar em dividir para conquistar? O mesmo vale para a rede zero trust. Afinal, é mais fácil gerenciar, controlar e proteger os pequenos pedaços da rede ao invés de toda a rede de uma vez só. Os dados dos pontos 1 e 2 podem ser usados para fazer com que os microssegmentos da rede apliquem ZTN de forma eficiente e eficaz, o que impedirá o movimento lateral do invasor com microssegmentação efetiva.
- Construção
Aqui, é necessário desenvolver um projeto aproximado de sua rede de confiança zero. É hora de identificar os pontos onde vai implementar a ZTN e em que medida vai impô-la, definindo se será uma abordagem centrada em dados ou centrada em identidade – bem como delinear quanto de privilégio será concedido aos usuários. Devem ser considerados ainda vários fatores associados ao negócio e à rotina diária, pois são itens que precisam de atenção para proteger a rede usando ZTN.
- Identificar processo e risco associado à execução
Nessa fase de execução, é preciso definir como um processo específico de ZTN funcionará. Determina-se então se será aplicada a MFA de 2FA, ou como um novo usuário se autenticará e se autorizará. Além disso, deve-se identificar quanto risco total está associado ao implementar a ZTN. Como você vai implementá-lo? Implementação direta, paralela, faseada ou piloto? Um caminho recomendável é usar a modalidade que traga menos risco para a rede, algo que varia muito de empresa para empresa – e que provavelmente exigirá uma análise customizada de cada caso.
- Implantar e monitorar
No estágio final, os gestores devem adotar a ZTN em definitivo e monitorá-la continuamente – mantendo um registro das alterações. Afinal, é preciso analisar se as metas de proteção estão sendo atingidas, ou se ainda é necessário algum ajuste. O zero trust não é imutável, e pode se adaptar conforme surgirem novas necessidades – algo que o monitoramento contínuo auxilia a identificar.
Desafios do ZTN
A confiança zero é uma ótima ferramenta para ajudar as empresas a reduzir a superfície de ataque e limitar os riscos. Porém, não é um mar de rosas; sua complexidade traz desafios, que precisam ser contornados. O primeiro deles está ligado aos requisitos dos dispositivos. Algumas implementações de confiança zero são baseadas em abordagens de implantação no local, com necessidade de certificados de dispositivo e suporte para o protocolo 802.1x para controle de acesso à rede (NAC) baseado em porta.
Outro ponto é o suporte à nuvem. Habilitar o suporte completo, de ponta a ponta em várias implantações de nuvem pública e local, muitas vezes pode ser uma tarefa tediosa e demorada – demandando muita atenção.
Há ainda um desafio que “provoca” o próprio nome da ZTN: é necessário confiar nessa metodologia. Ela diz que nada é digno de confiança, mas ao menos nela é preciso confiar. Então, é necessário que as empresas confiem em uma solução de confiança zero.
E mais: não se trata de apenas mais uma ferramenta de segurança. Normalmente, uma organização já possui várias barreiras de segurança, incluindo VPNs e firewalls. Como um provedor de soluções de confiança zero precisa navegar nesse mar de soluções, isso faz com que esse quesito se torne um desafio importante.
Considerações
Os modelos de confiança zero funcionam como sobreposições nas topologias de rede e aplicativos existentes. Como tal, ter um plano de dados ágil que possa gerenciar uma rede distribuída é essencial.
A quantidade de esforço necessário para instalar certificados e binários de dispositivo em um sistema de usuário final, geralmente é composta por vários desafios – como já dito, incluindo demandas de tempo e recursos. Usar uma solução sem agente é uma consideração importante, pois pode fazer toda a diferença na hora de ter uma solução que pode ser implantada rapidamente em um ambiente de produção.
Portanto, devem ser consideradas ferramentas de confiança zero com um modelo de segurança baseado em host. Muitos aplicativos são entregues pela Web e a adoção de uma abordagem baseada em host se alinha a esse modelo. Nessa modalidade, o sistema entende que um determinado sistema de usuário final está devidamente autorizado a receber um token de acesso para um recurso específico.
Compreender como a criptografia funciona no modelo de confiança zero também é importante. Uma opção interessante é aplicar a criptografia de ponta a ponta em uma implantação de confiança zero.
Zero Trust vale a pena?
A resposta é sim, mesmo que geralmente os recursos de TI sejam limitados e poucas empresas dediquem o orçamento necessário para fazer o ZTN da maneira ideal. Afinal, trazer mais uma camada de segurança com confiança zero pode, às vezes, ser visto como mais uma peça complexa que exigirá tempo e demandas adicionais dos recursos de um departamento de TI.
No entanto, a confiança zero tem potencial para reduzir as tarefas da equipe de TI. Em um ambiente de rede não baseado em confiança zero, o nome de usuário e a senha são geralmente os principais meios de acesso, juntamente com o Active Directory baseado em identidade e tecnologia de gerenciamento de acesso. O firewall e o sistema de proteção contra intrusões (IPS) também são comumente implantados para ajudar a melhorar a segurança.
No entanto, o que nenhum desses sistemas realmente faz é validar continuamente o estado de uma determinada solicitação de acesso. Se e quando algo der errado, nos casos de credenciais perdidas ou roubadas, haverá tempo e esforço adicionais exigidos pela equipe de TI para localizar a causa raiz e, em seguida, remediar.
Em um ambiente de confiança zero devidamente configurado e implantado, todo acesso é validado. Isso significa que, ao invés de a equipe de TI precisar descobrir que uma credencial foi violada e/ou um sistema for invadido, a rede de confiança zero sempre começa com a suposição de acesso zero. Somente através da validação a entrada é permitida. Assim, ZTN é símbolo de superfície de ataque reduzida que normalmente se traduz em risco diminuído.
Resultado: menos horas gastas pela TI tentando descobrir se uma conta foi violada, vasculhando os logs para determinar o que de fato aconteceu. Com a ZTN, o acesso jamais é concedido a uma máquina comprometida, e o movimento lateral potencial de um invasor em uma rede é bem restrito.
Situações que podem ocorrer durante o processo de definição e implantação da ZTN
- Facilidade de implantação: Quão rápido se pode colocar um sistema em funcionamento? O fornecedor o força a mudar seu ambiente para se adequar à solução dele?
- Suporte a várias nuvens: a solução de confiança zero permite facilmente o suporte em vários provedores de nuvem pública? Você pode proteger efetivamente as cargas de trabalho em mais de uma nuvem?
- Criptografia: como a solução de confiança zero lida com a criptografia e mantém os dados seguros? Onde a chave de criptografia é armazenada? Você pode trazer suas próprias chaves?
- Escalabilidade: Quão escalável é a arquitetura de confiança zero? Ele atende às demandas de suas cargas de trabalho?
- Segurança: Quais medidas de segurança estão sendo aplicadas pelo provedor? Ele mantém um ciclo de segurança simplificado? Ele pode fornecer camadas de segurança adicionais, como proteção DDoS no nível de acesso do aplicativo ou requer o uso de mecanismos de terceiros?
- Valor: A solução oferece valor adicional? Portanto, entenda como e onde a solução de confiança zero agrega valor, recursos e redução de riscos além do que suas ferramentas de segurança existentes já fornecem.
This post is also available in: Português
