Como implementar um modelo de segurança Zero Trust em um cenário aberto

Não faz muito tempo que a segurança envolvia armazenamento local com perímetros protegidos. As organizações podiam confiar na força de sua proteção porque sabiam onde estavam os dados confidenciais e o número limitado de pessoas que tinham acesso físico.

Esse simplesmente não é o mundo digital em que vivemos hoje. Os perímetros fortificados foram substituídos por ambientes remotos e uma proliferação de dispositivos móveis. Os dados corporativos agora estão espalhados pelo armazenamento virtualizado alojado em servidores em todo o mundo. Embora isso ofereça grande flexibilidade e escalabilidade para as empresas, também amplia a superfície de ataque para agentes mal-intencionados que buscam explorar brechas de segurança.

Em resposta a esse desafio, os profissionais de segurança estão inaugurando uma nova era de segurança de Confiança Zero. Em sua essência, uma abordagem de Confiança Zero exige a verificação de cada solicitação de acesso entre todos os recursos, independentemente de quem sejam, do que sejam ou de onde estejam. Fundamentalmente, o Zero Trust é uma mentalidade e uma estratégia de segurança — cuja implementação completa pode ser desafiadora.

Neste post, discutiremos a origem da metodologia Zero Trust e explicaremos como as organizações podem implementar a segurança Zero Trust em um cenário cada vez mais remoto, sem perímetro e que prioriza a nuvem.

Uma breve história do Zero Trust

O termo Zero Trust foi discutido pela primeira vez na década de 1990 em uma tese de doutorado sobre segurança computacional, embora não tenha sido usado exatamente com o seu significado atual. O conceito ganhou mais força por volta de 2010, após uma discussão da Forrester Research sobre os princípios que se tornariam a base do paradigma.

A Forrester reconheceu que a ideia de um perímetro confiável nas organizações é arriscada. As credenciais não só podem ser comprometidas, mas também não menciona a prevenção de ameaças internas. Portanto, todo tráfego de rede deve ser considerado não confiável, a menos que se prove o contrário.

Avançando alguns anos, nossa força de trabalho cada vez mais móvel (e agora, cada vez mais remota) está redefinindo até mesmo a ideia básica de perímetro. Isso, aliado ao crescimento das soluções em nuvem, exige uma mudança ainda maior em relação à autenticação baseada em credenciais. Além de focar nas pessoas, agora precisamos estender a estrutura de Confiança Zero para focar também nos dados. Isso significa que as ferramentas de segurança de próxima geração devem levar em consideração a atividade da rede, o acesso e os privilégios dos usuários, bem como o acesso e o uso dos dados.

O Zero Trust agora exige mais do que apenas perguntar quem é o usuário. Cada tentativa de login deve exigir contexto, como:

• O dispositivo está sendo usado como um dispositivo conhecido?
• O login vem de um local ou rede conhecido?
• Quais dados ou aplicativos eles estão tentando acessar?

É claro que exigir e verificar todo esse contexto pode ser mais fácil dizer do que fazer em nosso cenário cada vez mais aberto. Os profissionais de segurança precisam se preparar para as novas tendências em um cenário digital cada vez mais aberto. Vamos dar um passo além e ver como adotar um paradigma de Confiança Zero em um ambiente de segurança moderno.

Implementando Zero Trust em um ambiente sem fronteiras

Atualmente, a natureza da proliferação de dados e do trabalho remoto torna quase impossível aplicar perímetros de segurança da mesma forma que fazíamos antes. Então, vamos dar uma olhada em algumas etapas práticas para transformar essa estratégia em resultados e em um paradigma de segurança orientado pela tecnologia.

Defina a superfície de proteção

O primeiro passo para proteger o ambiente da sua organização é definir esse ambiente. Em essência, você está tentando criar uma fronteira onde ela não existe. Essa abordagem exige uma visão holística da rede e do ambiente, incluindo todos os usuários, dispositivos, privilégios e tráfego.

Isso é particularmente desafiador se você usa serviços baseados em nuvem ou tem hospedagem compartilhada para seus servidores. Segundo o especialista do setor Alex Williams, da Hosting Data, sempre que os recursos são compartilhados, a segurança pode ser comprometida. “A própria natureza comunitária do servidor pode permitir que vírus se espalhem por todo o site, infectando aqueles que estão conectados a ele”, diz Williams. “Não há como personalizar sua segurança.” Basicamente, você está confiando na sua equipe de hospedagem para protegê-lo.”

Não importa sua configuração específica, nossa superfície de ataque moderna está sempre se expandindo. Existem várias maneiras de definir uma superfície de ataque, mas com o Zero Trust, nós o abordamos especificamente em termos do que deve ser protegido.

Isso restringe o foco ao que é mais valioso para a empresa. Uma superfície de proteção " " inclui:

• Dados (como informações de identificação pessoal ou informações de cartão de pagamento)
• Aplicativos (aqueles usados para acessar os dados, como CRM ou processo de pagamentos)
• Ativos (servidores ou equipamentos que processam os dados, como terminais de ponto de venda)
• Serviços (serviços essenciais para os negócios usados para acessar dados, como DNS ou Active Directory)

A definição de uma superfície protegida reúne o gerenciamento de dados e o gerenciamento de ativos, além do gerenciamento de acesso tradicional associado à autenticação do usuário.

Elaboração da política Zero Trust

Depois de definir a superfície de proteção, você deve usar essas informações para formalizar a política de toda a organização. O Zero Trust exige perguntar quem tem acesso, a quê, quando e de onde. Cada vez que uma solicitação de acesso é feita a um recurso específico, há várias perguntas que devem ser feitas:

• Quem deveria ter acesso?
• Quais dispositivos devem ter acesso?
• Quando os usuários podem ter acesso?
• De onde os usuários podem ter acesso?
• Para que o recurso pode ser usado?

Essas questões devem ser traduzidas em etapas práticas que sejam específicas o suficiente para atender às necessidades exclusivas de diferentes ativos ou serviços. Um modelo de controle de acesso baseado em atributos (ABAC) será útil na elaboração de políticas direcionadas aos atributos de diferentes grupos de recursos.

No entanto, o fato de você ter políticas diferentes para diferentes tipos de serviço não significa que não seja uma política da empresa como um todo. Se você é iniciante no assunto, considere consultar um especialista para ajudar a formular sua estratégia de política de Confiança Zero.

Forme o perímetro virtual " "

Existem várias ferramentas e táticas que podem ser aplicadas para reforçar o perímetro virtual. O foco principal em um cenário aberto deve ser mapear fluxos de rede e aumentar a visibilidade dos recursos nativos da nuvem.

É possível que você tenha um ambiente de nuvem híbrida com alguns recursos locais e outros virtuais. Você também terá que lidar com softwares internos versus softwares de terceiros. O modelo ABAC ajudará a consolidar as regras para proporcionar uma visibilidade mais completa. Além disso, você precisará segmentar seus serviços para implementar o princípio de Confiança Zero.

Uma ferramenta de microsegmentação que oferece controle granular da sua fonte protegida ajudará a reduzir a gravidade de um ataque em caso de violação. A segmentação é particularmente crítica quando se utilizam microsserviços baseados na nuvem — sem a implementação de barreiras virtuais, um invasor poderia se movimentar lateralmente pelo sistema com apenas um conjunto de credenciais roubadas. A ferramenta certa também lhe dará visibilidade em tempo real dos comportamentos do sistema, o que ajudará na aplicação de suas políticas.

Monitore e teste de forma consistente

Mesmo quando você estiver confiante em suas políticas e na implementação delas, nunca pare de testar seu sistema em busca de vulnerabilidades. Teste suas políticas pré-configuradas para garantir que elas estejam detectando atividades suspeitas e possam ser usadas para acionar medidas de emergência em caso de ameaça. Também pode ser útil realizar testes adversários periódicos, internamente ou terceirizados, para mapear vulnerabilidades e evitar a complacência.

Eduque suas equipes

Finalmente, para promover um paradigma de Zero Trust em toda a sua organização, você deve usar a educação direcionada para atrair todos a bordo. É importante que todos, da TI à diretoria executiva, saibam por que as mudanças nas políticas estão sendo implementadas e como elas as afetarão.

Por exemplo, convém treinar os funcionários sobre como o gerenciamento de acesso e a autenticação multifator mudarão seus processos de login e por que isso é importante para a empresa, funcionários e clientes.

Conclusão

O mundo digital está em constante mudança, e os profissionais de segurança têm o ônus de se adaptar a essas mudanças. Os dias dos dispositivos locais e restritos acabaram, substituídos pela nuvem híbrida, computação de borda e Internet das Coisas.

O Zero Trust ajuda as empresas a estarem à altura da ocasião com segurança centrada em dados em várias camadas. E, se implementada corretamente, não há motivo para que a segurança pareça um inconveniente. Em vez disso, pode ser uma mudança de prioridade em toda a organização que incentiva a responsabilidade e a higiene cibernética saudável.

Saiba como a Illumio, pioneira e líder em Segmentação de Confiança Zero, pode ajudar:

• Leia os últimos relatórios da Forrester Wave sobre Zero Trust e microsegmentação.
• Obtenha orientações passo a passo no ebook " 6 Passos para Implementar um Modelo de Confiança Zero".
• Faça o download do estudo da Forrester Consulting, "Confiando na Confiança Zero".