0
0
À medida que mais empresas migram para a nuvem, a maneira como as empresas protegem os dados também muda. Em uma arquitetura de rede tradicional no local, as empresas conseguiram seguir a filosofia “confiança, mas verificar”. No entanto, proteger os dados da nuvem precisa adotar a abordagem “nunca confie sempre verifique”. Entender o que é uma Arquitetura de Confiança Zero e como implementá-la pode ajudar a melhorar a segurança.
O que é Zero Trust?
O modelo de segurança cibernética de confiança zero requer que todos os usuários, dispositivos e aplicativos conectados à rede da organização sejam continuamente autenticados, autorizados e monitorados para garantir configurações e posturas apropriadas antes de conceder acesso a redes e dados, independentemente de estarem no local ou remotos.
Nas arquiteturas de rede locais tradicionais, usuários e dispositivos que se conectavam a redes eram considerados “confiáveis” porque você poderia limitar sua atividade usando conexões e firewalls com fio. No entanto, com o surgimento das redes sem fio, o conceito de confiança corroeu. Confiança zero é uma maneira de as empresas reduzirem o risco exigindo continuamente autenticação e autorização.
Quais são os princípios básicos da Confiança Zero?
Zero Trust significa o que diz e diz o que significa. Não confie em ninguém. De acordo com o National Institute of Standards and Technology Special Publication (NIST SP) 800-207, os princípios básicos de uma arquitetura de segurança cibernética corporativa Zero Trust incluem:
- Assumindo violação
- Assumindo que o ambiente de propriedade da empresa não é diferente ou mais confiável do que o ambiente não pertencente à empresa
- Analisando e avaliando continuamente o risco
- Promulgar continuamente proteções de mitigação de riscos
- Minimizando o acesso de usuários e ativos aos recursos
- Autenticando e autorizando continuamente identidade e segurança para cada solicitação de acesso
Quais são as diferentes abordagens para a Arquitetura Zero Trust?
Tal como acontece com tudo em segurança cibernética, não existe uma abordagem de “tamanho único” para confiança zero. Embora existam três variações diferentes no tema de confiança zero, muitas empresas optam por adotar uma abordagem de “mistura e combinação” em todas as três.
Governança de identidade aprimorada
Governança de identidade é o processo de gerenciar o ciclo de vida da identidade desde o momento em que você concede acesso a um usuário ou entidade a sistemas, redes e software até encerrar esse acesso.
Como prática recomendada, você deve limitar o acesso de acordo com o princípio do menor privilégio, fornecendo a menor quantidade de acesso necessária para que uma pessoa, dispositivo ou software conclua sua função. Além disso, você deve considerar incorporar o seguinte como atributos adicionais ao considerar permissões:
- Localização da rede
- Dispositivo usado
- Risco de recursos
A governança de identidade aprimorada inclui restringir o acesso à rede de acordo com o princípio do menor privilégio e exigir autenticação multifatorial (MFA).
Microssegmentação
Microssegmentação é o processo de proteger recursos, em grupos ou individualmente, colocando-os em um segmento de rede exclusivo usando um switch, firewall ou outro dispositivo de gateway.
Embora essa abordagem incorpore governança de identidade, ela também depende de dispositivos de rede para impedir o acesso não autorizado. Ao usar a microssegmentação para proteger dados, as organizações precisam garantir que os dispositivos possam responder a ameaças ou alterações no fluxo de trabalho.
Infraestrutura de rede e perímetros definidos por software
Muitas vezes referida como um perímetro definido por software, essa abordagem geralmente usa tecnologias como Redes Definidas por Software (SDN) e redes baseadas em intenção (IBN). Sob essa abordagem, a organização implanta um gateway na camada de aplicativos que estabelece um canal seguro entre o usuário e o recurso.
Qual é a diferença entre Acesso de Confiança Zero (ZTA) e Arquitetura de Rede de Confiança Zero (ZTNA)?
Ao discutir confiança zero, as pessoas muitas vezes discutem os termos ZTA e ZTNA. Os dois permitem confiança zero, mas fazem isso de forma diferente.
Acesso de confiança zero (ZTA)
A ZTA conta com as políticas de Gerenciamento de Identidade e Acesso (IAM) da organização, muitas vezes exigindo MFA como forma de verificar se eles são quem dizem ser. Além disso, o ZTA geralmente inclui manter um inventário contínuo de dispositivos e usuários que se conectam à rede enquanto verificam continuamente novos acessos.
Arquitetura de rede de confiança zero (ZTNA)
Enquanto o ZTA se concentra em quem e o que se conecta a uma rede, o ZTNA se concentra em quem e o que pode se conectar a aplicativos localizados na rede. O ZTNA coloca os aplicativos atrás de um portão chamado “ponto proxy”, criando um túnel seguro e criptografado pelo qual os dados atravessam. Isso facilita a proteção de usuários e entidades remotas sem ter que usar uma VPN.
Cinco casos de uso para confiança zero
Se você está considerando se a confiança zero é apropriada para sua organização, os seguintes casos de uso podem facilitar a compreensão de como ela se encaixaria no seu cenário atual de TI.
1. Satélites corporativos
Muitas vezes, as organizações têm uma sede com escritórios ou funcionários remotos. Como os locais remotos, domésticos ou prédios, não se conectam à rede local da empresa, uma empresa pode decidir criar um portal para usuários que precisam de acesso a recursos.
2. Arquitetura multinuvem
Cada vez mais, as organizações usam mais de um provedor de serviços em nuvem, hospedando vários aplicativos nas diferentes nuvens. Uma abordagem de confiança zero permite uma melhor segurança tanto para Infraestrutura como Serviço (IaaS) quanto para Plataforma como Serviço (PaaS), exigindo que usuários e entidades acessem os recursos por meio de um portal ou agência instalada. Isso dá à empresa mais controle sobre como os usuários obtêm acesso ao recurso da nuvem e garante melhor visibilidade da segurança na nuvem.
3. Gerenciando acesso de terceiros e não funcionários
Para mitigar os riscos associados ao acesso de pessoas de fora aos recursos corporativos, a confiança zero pode ser usada para criar um portal para aqueles que precisam de conectividade de rede para executar suas tarefas. Usar confiança zero permite que você ofereça acesso enquanto obscurece os recursos corporativos.
4. Além das fronteiras da empresa
Muitas organizações empresariais têm bancos de dados diferentes usados por várias subsidiárias. Criar várias contas para usuários que precisam acessar mais de um banco de dados nas linhas subsidiárias se torna esmagador.
Por exemplo, uma empresa pode ter Sub 1 e Sub 2 com Banco de Dados A e Banco de Dados B. Tanto o Sub 1 quanto o Sub 2 usam o Banco de Dados A, mas apenas o Sub 2 precisa de acesso ao Banco de Dados B. Criar logins exclusivos para cada banco de dados aumenta o risco de roubo de credenciais. Neste caso, a confiança zero oferece o mesmo benefício que funcionários e escritórios remotos.
5. Serviços voltados para o cliente
Em alguns casos, as empresas oferecem serviços ao cliente que exigem registro de usuário. Nesse caso, a organização precisa proteger ativos internos e informações do cliente. A confiança zero permite segurança aprimorada quando as organizações podem segregar esses serviços ao cliente dos serviços corporativos e usar portais que levam os clientes aos recursos de que precisam.
Entendendo as considerações de risco para Confiança Zero
Embora a confiança zero permita que as organizações protejam melhor os dados, ela também vem com seu próprio conjunto de riscos.
Configuração de componentes
Qualquer componente de software ou hardware usado deve ser configurado e mantido com segurança. Isso pode incluir o monitoramento de novos riscos decorrentes de:
- Vulnerabilidades de hardware
- Vulnerabilidades de software
- Malware/ransomware
- Roubo de credenciais
Ataque de Negação de Serviço (DoS) ou interrupção de rede
Todas as tecnologias que permitem uma Arquitetura Zero Trust dependem da conectividade de rede. Uma interrupção de rede, seja como parte de um ataque DoS ou tempo de inatividade do provedor de serviços em nuvem, pode prejudicar as principais tecnologias que protegem os ativos digitais. Além disso, o uso pesado inesperado pode levar a um serviço mais lento que leva à interrupção dos negócios. Qualquer um desses cenários pode levar os usuários a não conseguirem acessar recursos. Isso significa que funcionários ou clientes podem não conseguir se conectar a recursos, diminuindo a produtividade ou interrompendo os serviços ao cliente.
Credenciais roubadas/ameaça interna
Não importa qual método de implantação você escolha, a confiança zero depende inteiramente da autenticação de usuários e entidades em redes ou aplicativos. Credenciais roubadas ou um informante malicioso podem minar suas metas de confiança zero.
Para mitigar esse risco, você deve considerar:
- Atribuindo atributos adicionais aos controles de acesso, incluindo geolocalização e endereço IP
- MFA para mitigar o uso de credenciais roubadas
- Análise de comportamento de usuário e entidade (UEBA) para determinar comportamentos anormais indicando uso de recursos maliciosos
- Segmentação de rede para evitar movimentos laterais
9 Passos para uma Arquitetura de Confiança Zero
Embora estabelecer uma Arquitetura de Confiança Zero possa melhorar a segurança, muitas organizações acham a implementação desafiadora. Entender as etapas envolvidas pode ajudar a avançar em direção a uma abordagem de segurança de confiança zero.
Adotar uma abordagem de rip-and-replace não é o caminho mais provável, mas algumas organizações podem fazê-lo. Esta abordagem requer:
- Conhecendo todos os aplicativos/serviços
- Entendendo todos os fluxos de trabalho
- Decidindo sobre as tecnologias a serem usadas
- Mapeando como as tecnologias interagem
- Construindo a infraestrutura
- Configurando todas as tecnologias
É mais provável que você já tenha uma infraestrutura de rede instalada. Em última análise, isso significa adotar uma abordagem baseada em perímetro que requer o envolvimento nas 8 etapas a seguir.
1. Identifique os usuários que precisam de acesso à rede
O primeiro passo é entender quem precisa acessar seus recursos digitais. No entanto, você também precisa fazer mais do que apenas obter uma lista de funcionários. Ao identificar usuários, você precisa considerar:
- Funcionários
- Empreiteiros terceirizados
- Contas de serviço
- Automatização robótica de processos (RPAs/bots)
- Funções sem servidor
Além disso, você precisa considerar usuários com acesso privilegiado, incluindo:
- Administradores de sistema
- Desenvolvedores
2. Identifique os dispositivos que precisam de acesso à rede
A confiança zero também rastreia todos os dispositivos que se conectam à sua rede. O aumento do uso de dispositivos da Internet das Coisas (IoT) tornou a identificação e catalogação de dispositivos mais desafiadoras.
Ao criar o catálogo de ativos, você deve incluir:
- Estações de trabalho (laptops/desktops)
- Smartphones
- Comprimidos
- Dispositivos IoT (impressoras, câmeras de segurança inteligentes)
- Switches
- Roteadores
- Modems
Como parte de uma arquitetura de confiança zero, você precisa manter configurações seguras para todos esses dispositivos.
3. Identifique os artefatos digitais que precisam de acesso à rede
Cada vez mais, aplicativos e outros artefatos digitais não tangíveis exigem acesso à rede. Ao criar sua lista, você deve considerar:
- Contas de usuário
- Aplicações
- Certificados digitais
Outro desafio aqui é a TI sombra, tecnologias que se conectam à rede que sua equipe de TI pode não conhecer. Como parte de sua migração de confiança zero, você deseja se envolver em uma verificação de rede para garantir que conheça todos os pontos de acesso.
4. Identifique os principais processos
Depois de conhecer todos os aplicativos que sua empresa usa, você precisa definir os mais críticos para suas operações. Esses principais processos de negócios ajudam você a definir políticas de acesso a recursos.
Processos de baixo risco geralmente são bons candidatos para a primeira rodada de migração, porque movê-los não causará tempo crítico de inatividade dos negócios.
Enquanto isso, recursos críticos baseados em nuvem são bons candidatos em geral, porque colocar controles em torno deles protege dados e serviços confidenciais. Ao colocar os controles em torno desses processos, no entanto, você deve se envolver em uma análise de custo-benefício que inclua:
- Desempenho
- Experiência do usuário
- Impacto nos fluxos de trabalho
5. Estabeleça políticas
Com todos os usuários, tecnologias e principais processos de negócios identificados, agora você começa a estabelecer políticas.
Para cada ativo ou fluxo de trabalho, você precisa identificar:
- Recursos upstream (coisas que fluem para o ativo atual, como gerenciamento de ID, sistemas, bancos de dados)
- Recursos a jusante (coisas que fluem do ativo atual, como logs de eventos)
- Entidades (conexões com o ativo, como contas de usuários e serviços)
6. Identifique soluções
A solução que você escolher deve ser baseada nas etapas anteriores, porque diferentes ferramentas permitem diferentes objetivos de negócios. De acordo com o NIST, as principais perguntas que você deve fazer a si mesmo ao tomar a decisão são:
- A solução exige que os componentes sejam instalados no ativo do cliente?
- A solução funciona onde os recursos do processo de negócios existem inteiramente nas instalações da empresa?
- A solução fornece um meio de registrar interações para análise?
- A solução fornece amplo suporte para diferentes aplicativos, serviços e protocolos?
- A solução requer mudanças no comportamento do sujeito?
7. Implantar solução
A implantação da sua solução deve ser feita em etapas para mitigar o risco de interrupção dos negócios. Esta primeira etapa deve considerar:
- Inicialmente operando no modo de observação e monitoramento
- Garantindo que todas as contas de usuário privilegiado tenham acesso
- Garantindo que todo o acesso privilegiado à conta de usuário seja adequadamente limitado
- Revisando o acesso para garantir que ninguém tenha mais acesso do que precisa
8. Controles de monitor
Depois de saber que tudo funciona como pretendido para a primeira rodada de processos migrados, você deve se envolver em um período de monitoramento. Durante esse período, você deve se certificar de definir linhas de base para atividades como:
- Solicitações de acesso a ativos e recursos
- Comportamentos
- Padrões de comunicação
Além disso, você deseja monitorar a funcionalidade básica da política como:
- Negando solicitações que falham no MFA
- Negando solicitações de endereços IP controlados ou subvertidos por invasores conhecidos
- Concedendo acesso para a maioria das outras solicitações
- Garantindo que todos os logs necessários sejam gerados
9. Expanda a Arquitetura Zero Trust
Com a primeira fase de migração concluída, agora você tem linhas de base e registros que devem lhe dar confiança sobre fluxos de trabalho e monitoramento. No entanto, cada fase da implantação deve seguir um processo semelhante em que você implementa, analisa, monitora, define linhas de base e garante documentação.
SecurityScorecard: Varredura e monitoramento contínuos do ambiente
A plataforma de classificações de segurança do SecurityScorecard permite que as organizações verifiquem continuamente seu ambiente em busca de novos riscos. Nossa plataforma verifica todos os endereços IP, dando visibilidade de todos os pontos de acesso, incluindo dispositivos IoT. Nossas classificações de segurança usam um sistema A-F que oferece visibilidade rápida do risco, e nossos alertas prioritários incorporam etapas de correção que você pode tomar para melhorar sua postura de segurança.
FONTE: SECURITYSCORECARD