0 
0 À medida que as organizações adotam o modelo de segurança de confiança zero, a tecnologia legada criou alguns obstáculos. Na verdade, substituir ou reconstruir as infraestruturas legadas existentes é o maior desafio para implementar a confiança zero, de acordo com um estudo recente.
O Relatório de Pesquisa Zero Trust de 2022 da General Dynamics pesquisou 300 gerentes de TI e de programas em agências federais, civis e de defesa dos EUA, que são obrigadas a adotar um modelo de confiança zero sob uma ordem executiva presidencial de 2021. A pesquisa descobriu que 58% deles listaram o desafio de tecnologia legada antes de determinar qual conjunto de tecnologias é necessário (50%), falta de experiência da equipe de TI (48%) e custo (46%).
Não é apenas a TI governamental que enfrenta esses desafios. Os líderes de segurança cibernética pesquisados para o relatório Zero Trust Strategies for 2022 da empresa de software e serviços de segurança cibernética Optiv também citaram a tecnologia legada como um desafio para seus roteiros de confiança zero. Cerca de 44% dos 150 entrevistados, que abrangem vários setores, citaram muitas tecnologias legadas que não suportam confiança zero como um grande obstáculo. Foi o fator nº 2 que impediu as evoluções de confiança zero dentro de suas organizações. (Primeiro foi “muitos silos internos/partes interessadas para diferentes componentes de confiança zero”, citado por 47%).
Imran Umar entende os desafios que a tecnologia legada apresenta ao adotar uma estrutura de segurança moderna. “As tecnologias legadas em geral tendem a ser de natureza muito estática e não projetadas para lidar com os conjuntos de regras dinâmicas necessárias para impor decisões políticas”, diz Umar, que como arquiteto sênior de soluções cibernéticas da empresa de serviços profissionais Booz Allen Hamilton e está liderando zero -iniciativas de confiança em toda a empresa em apoio ao Departamento de Defesa dos EUA, agências civis federais e a comunidade de inteligência.
Como tal, a tecnologia legada está complicando os planos de muitas organizações para implementar e amadurecer práticas de confiança zero, mesmo quando o interesse na abordagem de segurança aumenta. Cerca de 97% das organizações pesquisadas para o relatório The State of Zero Trust Security 2022 da fabricante de software de gerenciamento de identidade e acesso Okta disseram que têm uma iniciativa de confiança zero ou que terão uma nos próximos 12 a 18 meses. Isso é acima de apenas 16% há quatro anos.
A abordagem de confiança zero para a segurança cibernética corporativa elimina essa noção de confiança implícita. Em teoria, isso significa que a organização não deve confiar em nenhum usuário, dispositivo ou conexão até que se verifique como confiável. A Zero Trust acredita que todos os usuários, dispositivos e sistemas de software devem estabelecer confiança por meio de vários mecanismos antes de se conectarem ao ambiente de TI corporativo; a confiança zero também exige que todos os usuários, dispositivos e sistemas de software restabeleçam essa confiança à medida que buscam acessar outras redes e sistemas, bem como dados corporativos, após obterem a entrada inicial no ambiente de TI corporativo.
Isso é em teoria; todos esses princípios são difíceis de implementar na prática do dia-a-dia. Isso nos traz de volta à tecnologia legada, que pode ser uma barreira para a implementação de uma prática de confiança zero em uma empresa porque a própria tecnologia não oferece suporte ou funciona bem com as práticas e tecnologias necessárias para verificar o acesso autorizado e restringir o acesso não autorizado. “A confiança zero é a maneira como as organizações precisam se mover, mas não é uma perspectiva simples”, diz Tony Velleca, CISO da UST, uma empresa de soluções de transformação digital.
Restrições herdadas à confiança zero decorrem da defesa do perímetro
A confiança zero está substituindo um modelo de segurança mais antigo que dependia de defesas de perímetro. Essa estratégia de defesa, como os CISOs veteranos sabem, basicamente constrói uma barreira em torno do ambiente de TI da empresa para bloquear o mundo exterior, ao mesmo tempo em que permite acesso extensivo e, em alguns casos, quase ilimitado a qualquer pessoa dentro da barreira.
No entanto, o perímetro de tecnologia corporativa vem se deteriorando nas últimas décadas, devido a uma confluência de fatores da computação em nuvem aos requisitos de trabalho em qualquer lugar. Essa deterioração tornou a defesa do perímetro obsoleta. Portanto, em vez de tentar bloquear o castelo, a abordagem de confiança zero busca garantir apenas o acesso autorizado no momento certo apenas aos sistemas e dados necessários.
“Então, à medida que você move mais de seus sistemas de dentro de sua própria rede para fora, a capacidade de validar se torna um dos componentes mais importantes de sua segurança”, diz Velleca, acrescentando que “toda a ideia de confiança zero é que você estamos tentando adotar uma abordagem muito mais granular para usuários, dispositivos e conexões.”
A confiança zero faz isso abordando a segurança em vários “pilares” (identidade, dispositivo, rede, carga de trabalho do aplicativo e dados) e usando políticas e tecnologias para habilitar ou restringir o acesso. As principais ferramentas para dar suporte e habilitar a confiança zero incluem software de gerenciamento de acesso e identidade (IAM), análise de comportamento de usuário e entidade (UEBA) e microssegmentação. Os defensores da confiança zero – que são muitos – dizem que essa abordagem oferece suporte ao acesso autorizado, mas ao mesmo tempo tem a melhor chance de impedir que hackers entrem ou, se entrarem, de se movimentarem no ambiente de TI corporativo.
“Há um grande desejo de todas as organizações neste momento de migrar para a arquitetura de confiança zero, o motivo é que ela resiste ao movimento lateral”, diz Christine C. Owen, diretora da prática de segurança cibernética da consultoria de gerenciamento Guidehouse. Mas aqui está o problema de trazer confiança zero para um ambiente legado: essa tecnologia, grande parte da qual foi desenvolvida e implementada na era da defesa de perímetro, nem sempre tem as construções para funcionar facilmente – ou até mesmo – com essa segurança moderna abordagem.
Umar aponta, como exemplo, para equipamentos de rede legados que dependem muito de regras estáticas de controle de acesso da Camada 4 para permitir ou negar acesso a um recurso. Essa estrutura, no entanto, contrasta com uma arquitetura moderna de confiança zero, em que as decisões de acesso são baseadas em conjuntos de regras dinâmicas, como local de acesso do usuário, conformidade do dispositivo e identidade do usuário. Ele também observa que as tecnologias legadas têm suporte limitado para acesso condicional, um fator chave para a confiança zero.
Enquanto isso, muitas organizações lutam para identificar e classificar os dados mantidos em seus sistemas legados para que possam adicionar controles de acesso apropriados em vários níveis de classificação, dizem os especialistas. “Esses sistemas podem ser uma caixa preta”, observa Ashish Rajan, líder de segurança corporativa, apresentador do Cloud Security Podcast e instrutor da organização de certificação e treinamento SANS. Isso, por sua vez, torna complicados os principais componentes de confiança zero, como microssegmentação e acesso contextualizado a esses sistemas.
Para complicar ainda mais o cenário estão os problemas de desempenho ou experiência do usuário que surgem quando as organizações tentam adicionar confiança zero à sua tecnologia legada, diz Owen. “Descobri que confiança zero pode causar atrito e, nesse ponto, a organização precisa decidir se não há problema em adicionar esse atrito”, diz ela. “E assim que você criar uma nova arquitetura de confiança zero, você descobrirá que as coisas quebram.”
Todas essas questões também tornam um desafio para as organizações saber por onde e como começar , diz Torsten Staab, diretor de inovação da unidade de negócios Cyber, Intelligence and Services da Raytheon Intelligence & Space. Ainda assim, ele adverte os líderes de segurança corporativa a não permitir que esses desafios atrasem suas jornadas de confiança zero. “Existem restrições, mas também há oportunidades para implantar confiança zero mesmo nesses ambientes legados.”
Adote uma abordagem de confiança zero em fases para gerenciar os obstáculos tecnológicos legados
Outros especialistas concordam com os comentários de Staab, dizendo que a tecnologia legada não impede e não deve impedir que as organizações implementem ou avancem seu modelo de segurança de confiança zero. Na verdade, eles enfatizam que um grande ponto de venda da confiança zero é sua base multipilares e multicamadas. Em outras palavras, não é uma abordagem de tudo ou nada. “Há coisas que podem ser feitas. Adotar quais peças você pode de confiança zero para sistemas legados faz sentido. Isso ajudará a reduzir seu risco”, diz ele.
A chave, dizem os especialistas, é identificar quais componentes de confiança zero podem ser adicionados e, mais especificamente, quais podem ser adicionados com mais facilidade e começar com eles. “A abordagem geral com confiança zero, esteja você lidando com legado ou não, é uma abordagem em fases”, observa Staab. “Com a segurança de confiança zero, trata-se de vários níveis; não é só olhar para um. Então comece com um e depois implemente mais recursos.”
Ele observa, por exemplo, que as equipes de segurança geralmente podem adicionar autenticação multifator (MFA) a sistemas legados sem complicações. “Para muitas organizações, isso não é uma tarefa difícil”, diz ele.
Especialistas dizem que as organizações podem fazer a reengenharia de sistemas legados, dividindo-os para isolar partes umas das outras e criar uma arquitetura microssegmentada; adicione mais recursos de descoberta para criar visibilidade em ativos e atividades e, em seguida, em camadas em análises e UEBA; e solte controles de acesso na frente de aplicativos mais antigos.
“À medida que uma organização se move em direção à confiança zero, ela deve começar conduzindo uma avaliação de maturidade de confiança zero de seu ambiente atual, baseando suas capacidades atuais e, em seguida, desenvolvendo uma arquitetura de estado de destino e um roteiro para alcançá-la. Essa jornada para a confiança zero também requer um plano para integrar tecnologias legadas na arquitetura de confiança zero”, acrescenta Umar. “Por exemplo, as tecnologias legadas têm suporte limitado para acesso condicional, um fator chave para a confiança zero. Portanto, as organizações precisam aumentá-los com tecnologia mais recente para levar em conta essas limitações.”
É claro que há custos para fazer todo esse trabalho. Garantir o financiamento é mais um obstáculo que os CISOs enfrentam ao passar para a confiança zero. Especialistas em segurança dizem que os CISOs, juntamente com seus colegas executivos, precisam decidir onde em seus ambientes legados eles enfrentam os maiores riscos, quanto custará a mudança para a confiança zero e, em seguida, determinar se os retornos do risco reduzido excederão os investimentos.
A esse respeito, dizem eles, as decisões de confiança zero não são muito diferentes daquelas tomadas pelos CISOs em outros pontos da estratégia de segurança. Algumas análises mostrarão que os benefícios da implementação da confiança zero excederão o custo, outras vezes não. “É por isso que você precisa ser muito intencional”, diz Staab. “Você não precisa fazer tudo de uma vez; ninguém espera que você seja totalmente compatível em todas as áreas. Mas a abordagem tradicional – segurança baseada em perímetro – não está funcionando, e isso deve levar você a uma segurança de confiança zero. E há coisas que podem ser feitas, coisas que você pode fazer com sua infraestrutura existente para avançar em direção à confiança zero. É factível, mas você tem que ter disposição.”
FONTE: CSO ONLINE