Como as agências federais podem criar um projeto piloto Zero Trust

I spoke to a Federal Security Operations Branch Chief at a civilian agency last week. Zero Trust continues to get his attention, especially at the endpoint. He wants to immerse himself in Zero Trust principles when the inevitable day comes down from the office of the CIO that he must implement a Zero Trust architecture. He also relayed that his CIO has compliance pressures on the agency HVAs (high value assets). Even this branch chief has his own subset of HVAs. I am sure this pressure has something to do with wanting to improve their overall FISMA score – since part of the scorecard specifically calls out HVAs.

Embora haja um “burburinho” em torno do Zero Trust nessa agência, ir direto ao assunto em termos de selecionar um evento ou caso de uso claramente definido para iniciar um projeto pode ser complicado. Isso me lembra de alguém querendo escrever um romance e não saber por onde ou como começar. Embora aprender os princípios da escrita seja sempre bom, nunca será suficiente, assim como conhecer apenas os princípios do Zero Trust nunca será suficiente. É na escrita em si que se começa a desenvolver o hábito e a consistência da escrita. Se você quiser escrever um romance, mantenha um diário para manter a consistência e busque a oportunidade de escrever artigos ou até mesmo contos para expandir suas habilidades de escrita.

Se você quiser implementar o Zero Trust em sua organização, comece descobrindo as prioridades críticas de segurança e os recursos atuais do Zero Trust. Defina como seria o estado final do Zero Trust desejado. Quando você tem um problema, objetivos e resultados desejados de Zero Trust com escopo restrito, é mais fácil solicitar o apoio de suas principais partes interessadas.

O NIST 800-207 afirma isso quando diz que o Zero Trust é uma jornada, e o objetivo deve ser implementar o Zero Trust de forma incremental. Você não quer se surpreender mais tarde tentando escrever esse romance sem um ou dois contos em seu currículo. Por que esperar por um evento externo convincente, como uma violação, um malware ou um ataque de dia zero? Comece seu projeto piloto Zero Trust hoje mesmo.

Para recomendar um bom lugar para começar o projeto piloto Zero Trust do chefe da filial da agência, eu queria saber mais sobre seus HVAs — e a importância de melhorar a visibilidade dos HVAs — seus componentes e conexões legítimas. Algumas perguntas importantes são:

1. Quais aplicativos são considerados HVAs?
2. Quais são os componentes de aplicação desses HVAs?
3. Qual é a aparência do nível do aplicativo, da rede e da infraestrutura computacional?
4. Você está usando aplicativos em contêineres?
5. Quais são as conexões legítimas de aplicativo/carga de trabalho com o HVA?
6. Quais são as conexões legítimas do usuário final e do terminal com o HVA?

Visibilidade e dados precisos sobre os componentes e as conexões dos HVAs são essenciais. As respostas a essas perguntas ajudarão a responder à questão de “por onde começar?”

Depois de reduzirem as aplicações de HVA, a próxima etapa é avaliar os recursos existentes do Zero Trust.

A abordagem atual da agência para proteger seus HVAs revela seus pontos cegos e aponta oportunidades para viabilizar o Zero Trust.

Devido à rápida transição para o trabalho remoto, também era importante entender como sua postura de segurança HVA evoluiu.

I asked the branch chief to tell me more about his endpoints. The branch is currently implementing Carbon Black EDR for threat detection. As you may know, Carbon Black continuously records and stores endpoint data so that security operations professionals can visualize threats in real time for an ‘attack kill chain.’ In most instances, once the attack has already occurred, it may be too late. Your mission could be compromised or your data already exfiltrated.

Para realmente implementar o Zero Trust no endpoint, você deve interromper o malware antes que ele seja executado e, o mais importante, impedir que o malware se espalhe lateralmente. A agência pode aumentar seus investimentos em endpoints e EDR controlando proativamente as conexões peer-to-peer de entrada com os endpoints usando uma “lista de permissões” de conexões legítimas e negando todo o resto. Esse é o cerne do Zero Trust no endpoint. Ele certamente tem a oportunidade de iniciar um projeto piloto do Zero Trust nos terminais da filial.

When I probed a bit deeper about the HVAs in the context of lateral movement attacks within its data center and cloud environment, the branch chief noted that loss or corruption would have a serious impact on the branch’s ability to perform its mission. The HVAs are a combination of years of accumulated data. The applications involved have to do with the analysis and visualization of this data. To date, the majority of their investments in Zero Trust focused on perimeter network segmentation and on user identity and access governance. These solutions do not address the weaknesses of an open and flat internal network.

Se você segue uma verdadeira arquitetura Zero Trust, deve presumir que uma violação já ocorreu. Quando o pacote estiver dentro do perímetro da rede, agentes mal-intencionados irão direto para seus HVAs sem nada atrapalhando. Claramente, proteger o tráfego leste-oeste de HVAs é outra área em que um projeto piloto da Zero Trust pode começar agora.

Identificamos os endpoints e os HVAs de sua filial como duas áreas para iniciar um projeto piloto do Zero Trust.

A próxima etapa é contar o número de endpoints e o número de cargas de trabalho e aplicativos que farão parte do projeto piloto. Um pequeno projeto piloto pode ter apenas 50 cargas de trabalho e terminais ou até algumas centenas, e o piloto envolverá a segmentação e a microssegmentação desses itens. O segredo é não se deixar levar por nenhuma complexidade potencial.

Próxima etapa: microssegmentação baseada em host

The next step is to load what NIST 800-207, section 3.1.2 calls out as “host-based micro-segmentation using software agents.” With Illumio’s solution, you load a lightweight software agent on each workload, application, or server. The agent merely reports context and telemetry on your network back to a ‘central brain’ that builds a baseline real-time application dependency map. This map is critically important from a monitoring point of view as it maps to NIST 800-53 and the RMF (risk management framework). The first RMF ‘bucket’ is identify, providing real-time application dependency mapping to enforce micro-segmentation policy. You need to see what is happening in your network – from an application and workload perspective – before you can improve or enforce a Zero Trust policy.

Pode levar menos de cinco dias para implementar um projeto piloto do Zero Trust usando microssegmentação baseada em host, especialmente se o escopo e os resultados desejados estiverem bem definidos e houver treinamento para mostrar à pessoa encarregada desse piloto as formas mais eficientes de prosseguir.

A única hesitação do chefe da filial foi devido às limitações de recursos. Ele não tinha uma pessoa para se dedicar a esse esforço. Vale a pena investir de três a cinco dias para transformar sua escrita em um hábito — para expandir seu conhecimento sobre o Zero Trust, desde o estudo até a implementação?

In addition to a well-defined scope, having a clearly defined and measurable outcome is important to selling your Zero Trust pilot project internally. Improvements in specific areas of the FISMA CIO scores are just one of the desired outcomes and measures of project success that the agency may want to consider. For example, the agency branch can use the Illumio traffic reporting to validate the identity and scope of the HVA application components and connections and use micro-segmentation as a compensating control, enhancing its protection scores. It can also use Illumio’s vulnerability maps to validate if a vulnerable system can be used as a lateral attack pathway, further enhancing its FISMA scores. These metrics and visibility are even more important with the recent hacks into US government networks.

Depois de implementar seu projeto piloto Zero Trust e demonstrar os resultados desejados mensuráveis, expandi-lo é muito simples: adicionar aplicativos, cargas de trabalho e endpoints adicionais até que você tenha escrito seu romance: uma arquitetura Zero Trust para toda a agência.

To learn more about how Illumio can help federal agencies secure high value assets and accelerate Zero Trust, visit the federal solutions page.