Abordagem Zero Trust

Imagine que na porta de entrada de sua residência tem um “olho mágico”. Logicamente o “olho mágico” é um dispositivo de segurança, tem por objetivo identificar a pessoa do lado de fora antes de abrir a porta. Você verifica primeiro quem é, e depois abre a porta. Assim é com o modelo Zero Trust. Qualquer pessoa e qualquer dispositivo devem sempre ser verificados antes de acessar um sistema. Basicamente, o acesso é encarado como um privilégio. Parece até algo extremo e trabalhoso, mas é uma postura recomendada para garantir a segurança e a privacidade dos dados estipulada pela LGPD.

Não podemos ignorar o fato de que, também, a transformação digital está batendo a porta de muitas companhias, e ela tem implicações significativas quando relacionadas a segurança da informação.

Na prática o que é o Zero Trust? 

Zero Trust é um modelo de segurança de tecnologia, uma abordagem de cybersegurança, cuja premissa define que na proteção dos dados confiar é se expor a riscos, ou seja, ninguém é confiável por padrão.

Partindo do princípio de que se tem um rigoroso processo de verificação de identidade e uma estrutura onde somente usuários e dispositivos autenticados e autorizados podem acessar aplicações e dados, podemos considerar que temos um nível mais elevado de segurança, protegendo aplicações e usuários contra ameaças avançadas na Internet.

Isso é Zero trust! E está ligado com a LGPD e com a Transformação Digital.

O modelo foi criado por John Kindervag, durante sua gestão como vice-presidente e analista principal da Forrester Research, com base na constatação de que os modelos de segurança tradicionais operam na suposição desatualizada de que tudo dentro da rede de uma organização deve ser confiável. Sob esse modelo de confiança quebrada, presume-se que a identidade de um usuário não seja comprometida e que todos os usuários ajam com responsabilidade e sejam confiáveis.

O modelo Zero Trust reconhece que a confiança é uma vulnerabilidade. Uma vez na rede, os usuários, incluindo agentes de ameaças e usuários internos mal-intencionados, são livres para mover-se lateralmente e acessar ou exfiltrar quaisquer dados aos quais não estejam limitados.

O ponto de infiltração de um ataque em uma rede nem sempre é o local de destino. É obvio que este modelo se tornou cada vez mais importante para a transformação digital moderna e seu impacto na arquitetura de segurança de rede empresarial.

O que grandes player falam a respeito?

A Forrester Research é uma empresa norte-americana de pesquisa de mercado que presta assessoria sobre o impacto existente e potencial da tecnologia para seus clientes e o público. Foi fundada em 1983 e se tornou uma das principais empresas de pesquisa, ajudando executivos de setores em todo o mundo a tomar decisões de negócios informadas que terão um impacto positivo em suas organizações.

Há um guia para compradores, The Forrester Wave, que consideram suas opções de compra em um mercado de tecnologia. Na publicação Privileged Identity Management, quarto trimestre de 2018, este modelo de confiança continua a sofrer abuso de credenciais. Zero Trust não significa tornar um sistema confiável, mas sim eliminar a confiança.

O que diz a Akamai Technologies?

Com a força de trabalho moderna se tornando cada vez mais remota, acessando aplicações a partir de múltiplos dispositivos fora do perímetro corporativo, as empresas adotaram um modelo de “verificar primeiro, confiar depois”, o que significa que alguém que tenha as credenciais de usuário corretas será admitido em qualquer website, aplicação ou dispositivo solicitado.

Isso resultou em um risco cada vez maior de exposição, dissolvendo o que antes era a zona empresarial confiável de controle e deixando muitas organizações expostas a violações de dados, ataques de malware e ransomware.

A proteção agora é necessária onde as aplicações, os dados, os usuários e os dispositivos estão localizados. Para serem competitivas, as empresas precisam de uma arquitetura de rede Zero Trust capaz de proteger os dados da empresa, onde quer que os usuários e dispositivos estejam, enquanto garante o funcionamento das aplicações de forma rápida e integrada.

 

O que diz a Microsoft?

As organizações atuais precisam de um novo modelo de segurança que se adapte de maneira mais efetiva à complexidade do ambiente moderno, aborde a força de trabalho móvel e proteja pessoas, dispositivos, aplicativos e dados onde quer que estejam.

Isso é o que a Microsoft chama de “Confiança Zero”, resumidamente descritos em três princípios.
Verificar explicitamente: Sempre autentique e autorize com base em todos os pontos de dados disponíveis, inclusive identidade do usuário, local, integridade do dispositivo, serviço ou carga de trabalho, classificação de dados e anomalias.

Usar o acesso menos privilegiado: Limite o acesso do usuário com acesso JIT e JEA (just-in-time e just-enough-access), políticas adaptativas baseadas em risco e proteção de dados para ajudar a proteger os dados e a produtividade.

Supor violações: Minimize o raio do impacto das violações e evite o movimento lateral, segmentando o acesso pela rede, usuário, dispositivos e reconhecimento de aplicativos. Verifique se todas as sessões são criptografadas de ponta a ponta. Use as análises para obter visibilidade, direcionar a detecção de ameaças e melhorar as defesas.

Em vez de supor que tudo atrás do firewall corporativo está seguro, o modelo de Confiança Zero supõe a existência de violações e verifica cada solicitação como se fosse originária de uma rede aberta.

O que diz a Palo Alto?

Assim como “aprendizado de máquina” e “IA”, Zero Trust se tornou uma das últimas palavras da moda em segurança cibernética. Zero Trust é uma iniciativa estratégica que ajuda a prevenir violações de dados bem-sucedidas, eliminando o conceito de confiança da arquitetura de rede de uma organização.

Enraizado no princípio de “nunca confie, sempre verifique”, o Zero Trust foi projetado para proteger ambientes digitais modernos, aproveitando a segmentação de rede, evitando o movimento lateral, fornecendo prevenção de ameaças da Camada 7 e simplificando o controle granular de acesso do usuário.

Zero Trust não depende de um local. Usuários, dispositivos e cargas de trabalho de aplicativos agora estão em todos os lugares, então você não pode impor Zero Trust em um local, ele deve ser proliferado em todo o seu ambiente. Os usuários certos precisam ter acesso aos aplicativos e dados certos.

Os usuários também estão acessando aplicativos e cargas de trabalho críticos de qualquer lugar: casa, cafeterias, escritórios e pequenas filiais. Zero Trust requer visibilidade consistente, aplicação e controle que podem ser entregues diretamente no dispositivo ou por meio da nuvem.

Um perímetro definido por software fornece acesso seguro ao usuário e evita a perda de dados, independentemente de onde os usuários estão, quais dispositivos estão sendo usados ​​ou onde suas cargas de trabalho e dados estão hospedados, ou seja, data centers, nuvens públicas ou aplicativos SaaS.

O que diz a Cloudflare?

Segurança de confiança zero é um modelo de segurança de TI que requer verificação de identidade estrita para cada pessoa e dispositivo que tenta acessar recursos em uma rede privada, independentemente de estarem dentro ou fora do perímetro da rede.

Nenhuma tecnologia específica está associada à arquitetura de confiança zero; é uma abordagem holística à segurança de rede que incorpora vários princípios e tecnologias diferentes.

A segurança de rede de TI tradicional é baseada no conceito de castelo e fosso. Na segurança de castelo e fosso, é difícil obter acesso de fora da rede, mas todos dentro da rede são confiáveis ​​por padrão. O problema com essa abordagem é que, assim que um invasor obtém acesso à rede, ele tem controle sobre tudo que está dentro dela.

Esta vulnerabilidade em sistemas de segurança de castelo e fosso é exacerbada pelo fato de que as empresas não têm mais seus dados em apenas um lugar. Hoje, as informações costumam se espalhar entre os fornecedores de nuvem, o que torna mais difícil ter um único controle de segurança para uma rede inteira.

Segurança de confiança zero significa que ninguém é confiável por padrão, de dentro ou de fora da rede, e a verificação é necessária de todos que tentam obter acesso aos recursos da rede. Esta camada adicional de segurança demonstrou prevenir violações de dados.

Na prática temos 4 frentes: quem, por que, onde e quando.

 

Quem?

Fazer sempre a verificação de identidade de quem está acessando os dados. Isso inclui não apenas as pessoas, mas quais são os dispositivos que elas usam. Na prática, defina a autenticação multifator (MFA ou 2FA) como padrão, já que apenas senhas não são suficientes. Uma alternativa ainda mais segura é o uso de chaves físicas de baixo custo, que fazem parte do sistema U2F (Universal 2nd Factor). É o método que o Google utiliza. Ela permite que o usuário conclua o login inserindo a chave no computador e apertando um botão, como se estivesse destravando um cofre. O que significa que mesmo que se uma senha for roubada, ela não servirá de nada sem a chave.

Por quê?

Para cada acesso concedido é importante saber antes por que alguém precisa dele. Na prática, o responsável pela liberação precisa saber o contexto por trás do pedido para permitir o acesso a um determinado sistema ou grupo de dados. Dessa forma, ele concede o acesso apenas aos caminhos necessários.

Onde?

Talvez essa seja a parte mais exigente do Zero Trust. Ela estipula que o acesso a um grupo de dados precisa acontecer em um ambiente próprio para isso. Na prática, o computador que as pessoas usam para trabalhar precisa passar pela averiguação e ajustes.

Quando?

Na sua empresa existe uma quantidade limitada de salas que você pode entrar sem bater antes, certo? A mesma lógica se aplica ao acesso aos dados. Ou seja, um colaborador não pode ter passe livre a todos os arquivos da empresa. Isso expõe a corporação a invasores, que ao roubarem um login por meio de phishing, por exemplo, avançam lateralmente pelo servidor até onde estão os dados sensíveis. Na prática, deve-se limitar o acesso a apenas o que o colaborador precisa para trabalhar. Se alguém precisar de informações extras, o acesso deve ser monitorado e temporário. Isso torna a infraestrutura do servidor invisível, microssegmentando os ativos virtuais.

 

Além disso, ainda há se considerar 6 princípios relacionado ao privilégio.

 

Verificar identidade: as identidades incluem não apenas pessoas, mas cargas de trabalho, serviços e máquinas. Verificar adequadamente significa aproveitar as identidades do diretório corporativo, eliminando contas locais e diminuindo o número geral de contas e senhas, reduzindo a superfície de ataque. A parte importante é estabelecer a identidade dos usuários por meio de identidades de diretório corporativo, avaliadas pelo setor de Recursos Humanos por exemplo, o que significa que essas identidades são desativadas automaticamente quando a pessoa é demitida ou sai da empresa por algum motivo.

 

Solicitação e aprovação ou contextualização: é importante ter um processo de acesso de “solicitação e aprovação”. Por exemplo, faz sentido que um administrador de banco de dados (DBA) não tenha direitos padrão para acessar todos os bancos de dados, apenas aqueles de que precisa para trabalhar naquele dia.  Dessa forma, se as credenciais desse DBA forem comprometidas, limitamos a superfície de ataque. Para cada solicitação, é importante saber por que alguém ou algo está realizando uma atividade privilegiada.

 

Ambientes de administração seguros: ao acessar recursos privilegiados, é obvio que não devemos habilitar o acesso de malware aos servidores ou infecções durante nossa conexão. Para conseguir isso, precisamos nos certificar de que o acesso só seja obtido por meio de uma fonte limpa. Zero Trust significa impedir o acesso direto das estações de trabalho dos usuários que também têm acesso à Internet e e-mail, que são facilmente infectados por malware.

Conceder privilégio mínimo: o conceito de privilégio mínimo é mais comum do que você imagina. Pense no controle de acesso físico em seu escritório: diferentes níveis de usuários têm diferentes direitos de acesso e, para obter acesso a determinadas áreas, você deve solicitar e ser aprovado. Tudo isso é muito bem reconhecido no espaço de segurança física, e a mesma lógica se aplica à segurança lógica. Aplica-se ao conceder acesso granular baseado em função a recursos privilegiados.

 

Auditorias: para sessões privilegiadas, é claro que a melhor prática é auditar tudo. Com um registro documentado de todas as ações executadas, os logs de auditoria não só podem ser usados ​​na análise forense para localizar exatamente o problema, mas também para atribuir ações executadas a um usuário específico.

 

Controle adaptativo: os controles de Zero Trust  precisam ser adaptáveis ​​ao contexto de risco. Zero Trust  significa saber que, mesmo que as credenciais corretas tenham sido inseridas por um usuário, mas a solicitação venha de um local potencialmente arriscado, uma verificação mais forte é necessária para permitir o acesso. Algoritmos modernos de aprendizado de máquina podem ser usados ​​para analisar cuidadosamente o comportamento de um usuário privilegiado e identificar atividades “anômalas” ou “não normais” e alertar ou notificar a segurança.

 

Conclusão

A segurança Zero Trust pode melhorar sua postura em relação a segurança da informação, mas a verdade é que mesmo com sistemas aparentemente blindados, sempre há a possibilidade de uma violação de dados. Nem sempre as empresas conseguem acompanhar a sofisticação dos invasores. O número de ciberataques disparando no mundo todo é prova disso. E além de um grande dano à imagem e às atividades das corporações, sabemos que um vazamento de dados resulta em multas milionárias pela LGPD.

É um desafio, mas é de responsabilidade do time de tecnologia e da alta administração garantir que usuários e dispositivos possam se conectar com segurança à Internet, independentemente de onde estejam se conectando, sem a complexidade associada às abordagens legadas.

Além disso, a TI precisa identificar, bloquear e mitigar proativamente ameaças direcionadas, como malware, ransomware, phishing, exfiltração de dados e ataques avançados. A alta administração e a diretoria fazem parte deste escopo de atuação. Se a direção não está envolvida, não há sucesso no emprego de ações, nem mesmo no emprego correto de ferramentas e plataformas.