5 etapas em direção à segurança zero trust

O Zero Trust tem sido o sucessor lógico do modelo de segurança de perímetro, que não funcionou muito bem para proteger as empresas de ataques cibernéticos e está se tornando cada vez mais desatualizado à medida que os funcionários se tornam mais móveis e os aplicativos migram para a nuvem.

Mas a adoção do modelo Zero Trust, criado pelo ex-analista da Forrester John Kindervag há mais de uma década, tem sido lenta devido em parte à aversão à mudança e às preocupações de que substituir a segurança do perímetro por algo novo seria arriscado, complexo e caro.

Tudo mudou quando a pandemia atingiu, os escritórios corporativos se esvaziaram e milhões de trabalhadores de repente se viram trabalhando em casa. Os executivos de TI correram para mover os aplicativos para a nuvem para torná-los mais acessíveis para sua força de trabalho remota. Em seguida, eles se esforçaram para proteger essas conexões de borda com metodologias que são consistentes com a arquitetura Zero Trust, como autenticação multifator, controles de acesso e borda de serviço de acesso seguro (SASE), um serviço baseado em nuvem que combina conectividade e segurança.

Na verdade, as empresas haviam “inadvertidamente” iniciado sua jornada Zero Trust, diz Steve Turner, analista da Forrester. “Estamos vendo muitos dos mesmos clientes voltando e dizendo: ‘Onde mais posso ir com Zero Trust?’ Eles percebem que existem muitas soluções por aí que se anunciam como Zero Trust. Eles querem eliminar o ruído e entender como serão as próximas etapas. ”

A seguir estão as cinco etapas que garantirão que sua jornada de confiança zero permaneça no caminho certo e agregue valor ao negócio.

Etapa 1: saber o que realmente significa Zero Trust

Parte da confusão associada ao termo deriva do uso da palavra “confiança” ou “trust”. Como Kindervag, atualmente vice-presidente sênior de estratégia de segurança cibernética do provedor de serviços de segurança gerenciados ON2IT, afirma, “Zero Trust é simplesmente a ideia de que a confiança é o que precisamos eliminar. A confiança é uma emoção humana que foi injetada em sistemas digitais sem motivo algum. Zero trust é uma iniciativa estratégica que ajuda a prevenir violações de dados bem-sucedidas, eliminando a confiança de sua organização. Está enraizado no princípio de nunca confiar, sempre verificar. ”

Por exemplo, todos na empresa conhecem John e todos gostam e confiam em John. Os pacotes estão entrando na rede de um dispositivo atribuído a John, mas como sabemos se é realmente John e não um hacker? O modelo Zero Trust simplesmente diz a afirmação de que é John precisa ser verificado e verificado. As organizações precisam criar políticas destinadas a confirmar a identidade de John, controlar quais recursos John pode avaliar, impedir que John tome ações que não estão dentro da política e monitorar e registrar todas as atividades de John.

Praticamente, isso significa não apenas ir além das senhas para a autenticação multifator, mas também considerar como verificar o próprio dispositivo, sua localização e comportamento – como os próximos pontos confirmam.

Etapa 2: identifique o que você deseja proteger

O objetivo do Zero Trust é proteger a empresa das consequências financeiras, regulatórias e de reputação de violações de dados, portanto, a primeira etapa é descobrir o que você precisa proteger.

Podem ser dados de clientes, dados de funcionários, dados financeiros, propriedade intelectual, dados de processos de negócios, dados gerados por dispositivos IoT, dados de aplicativos ou um serviço como DNS ou Active Directory. “Concentre-se nos resultados de negócios”, diz Kindervag. “Se você não conhece as necessidades do seu negócio, você irá falhar.”

Depois de saber quais dados precisam ser protegidos e identificar onde estão localizados, os princípios de confiança zero assumem o controle. Isso significa estabelecer políticas que permitem o acesso apenas quando necessário e inspecionar todo o tráfego de e para dados protegidos.

Ter políticas de segurança em vigor que protejam contra a exfiltração de dados confidenciais é extremamente importante porque evita que os hackers configurem o comando e o controle, o que bloqueia efetivamente muitos tipos de ataques, incluindo explorações de ransomware.

Kris Burkhardt, CISO da Accenture, diz que sua empresa está em uma jornada de confiança zero há 20 anos, desde a decisão da empresa de colocar muitos de seus aplicativos na nuvem para que pudessem ser acessados ​​mais facilmente por sua força de trabalho altamente móvel. Em vez de implantar VPNs, que eram caras na época, a Accenture permitiu que os funcionários se conectassem à Internet pública por meio de um navegador simples, mas implantou proteção de endpoint, autenticação multifator, controles de identidade e acesso, bem como microssegmentação.

A empresa trata os sistemas de informação críticos com cuidado especial, incluindo monitoramento extra, gerenciamento de acesso privilegiado e até mesmo exigindo que duas pessoas realizem determinadas ações, diz Burkhardt.

Etapa 3: projetar a rede de dentro para fora

O modelo de segurança de perímetro é baseado na ideia de que existe um interior (sede corporativa) onde todos são confiáveis, e um externo não confiável, que é protegido por firewalls e outras ferramentas de segurança. O modelo Zero Trust elimina a distinção entre interno e externo e a substitui por segmentos de rede criados para fins específicos. Por exemplo, a Kindervag sugere que as empresas podem querer começar com um único fluxo de dados, como dados de cartão de crédito.

Burkhardt diz que a microssegmentação é uma área em que “você pode se meter em problemas se complicar demais as coisas”, mas ele aponta que “o ferramental está evoluindo rapidamente de uma maneira boa para torná-lo mais fácil”. O importante é ter uma estratégia de microssegmentação clara e executá-la corretamente, tanto no local quanto na nuvem.

Ele diz que algumas das abordagens clássicas de segmentação seriam a criação de um microssegmento para recuperação de desastres, separando o data center dos aplicativos de escritório e criando um segmento para DMZ onde as conexões com a Internet são gerenciadas.

Etapa 4: registrar todo o tráfego

Kindervag diz que inspecionar e registrar todo o tráfego é um elemento importante em uma arquitetura Zero Trust. A análise em tempo real dos registros de tráfego pode ajudar a identificar ataques cibernéticos. Kindervag acrescenta que a rica telemetria coletada pode ajudar a criar um loop de feedback que torna a rede mais forte ao longo do tempo.

Burkhardt diz que a Accenture envia seus registros de tráfego ao Splunk para uma variedade de análises, incluindo consultas de caça a ameaças, identificando se condições predefinidas indicativas de um ataque ou alguém tomando uma ação incorreta por engano ocorreram e detectando quando há um invasor presente em o ambiente. A análise dos registros do endpoint pode rastrear quaisquer ações que o invasor possa ter realizado e “ajudá-lo a entender forense o que ocorreu”.

Etapa 5: comprometa-se com o longo prazo, mas dê os primeiros passos

O Zero Trust é “uma jornada contínua”, diz Burkhardt. Escolha um pequeno sistema para usar como caso de teste e certifique-se de ter todos os controles, registro e monitoramento em funcionamento. “Não há razão para seguir em frente. Faça bem pequeno. Então acerte em grande. ”

O Zero Trust é “uma jornada contínua”, diz Burkhardt. Escolha um pequeno sistema para usar como caso de teste e certifique-se de ter todos os controles, registro e monitoramento em funcionamento. “Não há razão para seguir em frente. Faça bem pequeno. Então acerte em grande. ”

Kindervag acrescenta: “Concentre-se em proteger as chaves do reino, as joias da coroa. Faça isso de forma incremental e não destrutiva. ”

Na Accenture, embora a empresa esteja operando com princípios de confiança zero antes mesmo de o termo ser inventado, sempre há mais trabalho a ser feito. Burkhardt diz que o foco atualmente é a nuvem. Com o desenvolvimento de aplicativos ocorrendo na nuvem, os aplicativos migrando para a nuvem e mais dados do que nunca armazenados na nuvem, Burkhardt está “ficando por dentro das novas ofertas dos provedores de nuvem” com o objetivo de aplicar princípios Zero Trust.

Sua recomendação para outros CISOs é entender que o cenário de segurança mudou nos últimos anos. Pense em ataques de estado-nação, SolarWinds, ransomware. O status quo não o corta mais.

“As equipes sabem que o mundo está mudando e precisam mudar com isso. Pode ser assustador, mas a melhor coisa a fazer é abraçar a mudança, entender que o modelo de perímetro teve seu valor por muitos anos, mas confiança zero é muito mais flexível e é a única maneira de você ter sucesso na nuvem pública . ”