Descrever o modelo de Confiança Zero
Confiança Zero é uma estratégia de segurança, não um único produto ou tecnologia. Ele opera com base no princípio de "não confie em ninguém, verifique tudo." Em vez de assumir que tudo dentro de uma rede corporativa é seguro e confiável, o Confiança Zero requer que todas as solicitações de acesso sejam autenticadas e autorizadas, independentemente de onde se originem.
Abordagens de segurança tradicionais muitas vezes dependiam de um modelo de "castelo e fosso": controles de perímetro fortes mantinham o tráfego não confiável fora, e tudo dentro da rede era considerado seguro. Esse modelo funcionava razoavelmente bem quando os funcionários trabalhavam de um escritório fixo e os dados viviam inteiramente no local. Mas esse ambiente não descreve mais a maioria das organizações.
Hoje, o trabalho acontece de qualquer lugar. Os funcionários usam dispositivos pessoais e corporativos, conectam-se de redes domésticas e locais públicos e acessam dados em vários serviços de nuvem. Os dados corporativos são movidos entre datacenters locais, plataformas de nuvem e aplicativos de terceiros. Nesse ambiente, o perímetro de rede sozinho não é mais um limite de segurança confiável. Os invasores rotineiramente ignoram controles de perímetro por meio de phishing, roubo de credenciais e vulnerabilidades de aplicativo e, uma vez dentro, podem se mover pela rede se o interior for considerado confiável por padrão.
Confiança Zero aborda essa realidade supondo que nenhuma rede, dispositivo, usuário ou aplicativo deve ser confiável por padrão, mesmo aqueles que já foram autenticados ou estão conectados a uma rede confiável.
Assista a este vídeo para saber mais sobre Confiança Zero.
Confiança Zero princípios orientadores
O modelo de Confiança Zero baseia-se em três princípios orientadores que moldam como as decisões de segurança são tomadas em cada parte de uma organização.
Verifique explicitamente: sempre autentique e autorize com base em todos os sinais disponíveis, não apenas em um único fator, como uma senha ou local de rede. Os sinais incluem a identidade do usuário, sua localização de entrada, o dispositivo que ele está usando e seu status de conformidade, o serviço ou aplicativo sendo acessado, a classificação dos dados envolvidos e quaisquer anomalias, como horários ou locais de entrada incomuns. Quanto mais sinais você puder avaliar, mais confiante você poderá estar de que a pessoa certa está acessando o recurso certo.
Use o acesso menos privilegiado: conceda aos usuários e sistemas apenas o acesso mínimo necessário para fazer seu trabalho, apenas desde que eles precisem dele. Esse princípio é implementado por meio do acesso just-in-time (JIT) — concedendo acesso somente quando necessário e revogando-o posteriormente — e acesso just-enough (JEA) — concedendo apenas as permissões específicas necessárias para uma tarefa, em vez de permissões amplas "just in case". As políticas adaptáveis baseadas em risco também podem limitar automaticamente o acesso quando são detectadas atividades incomuns ou arriscadas.
Suponha violação: projete sua estratégia de segurança como se um invasor eventualmente passasse por suas defesas. Quando você assume a violação, segmenta o acesso para que uma conta ou dispositivo comprometido não possa alcançar livremente todo o resto. Você criptografa dados de ponta a ponta para que os dados interceptados não possam ser lidos. Você implanta monitoramento e análise para que, quando ocorre uma violação, detecte-a rapidamente, entenda o que foi acessado e possa limitar os danos.
Esses três princípios orientam como todos os aspectos da segurança são implementados: como os usuários se autenticam, como os dispositivos são confiáveis, como os aplicativos são autorizados e como os dados são protegidos.
Sete pilares fundamentais
No modelo Confiança Zero, a segurança é implementada em sete pilares interconectados. Seis desses pilares são fontes de sinal, um plano de controle para a imposição e recursos críticos a serem defendidos. O sétimo pilar coleta sinais de todos os seis e fornece a visibilidade, a automação e a orquestração necessárias para responder e atenuar as ameaças.
As identidades podem ser usuários, serviços ou dispositivos. Quando uma identidade tenta acessar um recurso, ela deve ser verificada com autenticação forte antes que o acesso seja concedido. Após a autenticação, o acesso é regido por princípios de privilégios mínimos, concedendo apenas o acesso necessário para a tarefa específica. A identidade é o principal plano de controle para a segurança moderna, porque quase todos os ataques bem-sucedidos eventualmente dependem de comprometer ou abusar de uma identidade.
Os dispositivos criam uma grande superfície de ataque à medida que os dados fluem de dispositivos para cargas de trabalho locais e a nuvem. Cada dispositivo que acessa seus recursos representa um possível ponto de entrada para invasores. Monitorar dispositivos para conformidade e status de integridade e tomar decisões de acesso com base nesse status é um aspecto importante do Confiança Zero. Dispositivos fora de conformidade ou que mostram sinais de comprometimento podem ser bloqueados ou ter acesso restrito.
Os aplicativos são a maneira como os dados são consumidos. Em uma estratégia de Confiança Zero, você precisa de visibilidade de todos os aplicativos que estão sendo usados em seu ambiente, incluindo aplicativos não sancionados, às vezes chamados de TI sombra, que os funcionários usam sem aprovação formal. Esse pilar também inclui o gerenciamento das permissões que os aplicativos solicitam das plataformas e as permissões que os usuários concedem a aplicativos que acessam seus dados.
Os dados devem ser classificados, rotulados e criptografados com base em seus atributos e sensibilidade. Os esforços de segurança em todos os outros pilares, em última análise, servem para proteger os dados. Os dados devem ter sua própria proteção, por meio de classificação e criptografia, para que permaneçam seguros mesmo fora dos ambientes que sua organização controla.
A infraestrutura, seja local ou baseada em nuvem, representa uma superfície de ataque significativa. Em Confiança Zero, a infraestrutura é avaliada continuamente quanto à moeda de versão, à conformidade de configuração e ao comportamento incomum. O acesso just-in-time a interfaces administrativas limita a janela de exposição. A telemetria da infraestrutura permite que as equipes detectem ataques e anomalias e respondam automaticamente.
As redes devem ser segmentadas para que um comprometimento em uma parte da rede não forneça acesso irrestrito em outras áreas. Isso inclui uma micro segmentação mais profunda na rede que cria limites dentro de zonas de rede, não apenas no perímetro. A proteção contra ameaças em tempo real, a criptografia de ponta a ponta do tráfego de rede, o monitoramento contínuo e a análise devem ser aplicadas na camada de rede.
Visibilidade, automação e orquestração é o sétimo pilar e a camada de integração que une todos os outros. Cada um dos seis pilares gera seus próprios sinais e alertas. Sem uma maneira de agregar, correlacionar e agir nesses sinais centralmente, as equipes de segurança enfrentam um volume avassalador de alertas separados , um problema que leva a ameaças perdidas e fadiga dos analistas. Esse pilar fornece uma capacidade integrada para gerenciar esse fluxo de dados, fornecendo às equipes de segurança melhores informações para tomar decisões de confiança e habilitar respostas automatizadas a ameaças detectadas. As tecnologias de SIEM (gerenciamento de informações e eventos de segurança) e SOAR (orquestração de segurança e resposta automatizada) são centrais para este pilar — um SIEM ingere e correlaciona sinais através de todos os pilares para detectar ameaças, enquanto um SOAR utiliza essas detecções para acionar playbooks de resposta automatizados.
Confiança Zero na prática
Os sete pilares não operam isoladamente. Considere um cenário real: um usuário entra de um local desconhecido em um dispositivo pessoal não gerenciado e tenta acessar um aplicativo financeiro confidencial.
Em um ambiente Confiança Zero, sinais de vários pilares são avaliados simultaneamente. O pilar de identidade verifica as credenciais do usuário e detecta o local de entrada incomum como um sinal de risco. O pilar de dispositivos localiza que o dispositivo não está registrado ou em conformidade. O pilar de aplicativos impõe uma política que exige acesso de dispositivo em conformidade para aplicativos confidenciais. O pilar de rede monitora a conexão e registra a tentativa. O pilar de dados garante que os dados financeiros sejam criptografados e controlados pelo acesso na camada de dados. O pilar de infraestrutura registra a tentativa de acesso na telemetria.
O pilar de visibilidade, automação e orquestração integra todos esses sinais. Em vez de cada pilar registrar independentemente um evento de baixa gravidade, os sinais combinados são correlacionados em uma detecção de risco de alta confiança. As políticas automatizadas, guiadas pelos princípios "assumir violação" e "verificar explicitamente", intensificam os requisitos de autenticação, bloqueiam o acesso ao aplicativo confidencial e alertam a equipe de segurança, tudo sem intervenção manual.
É assim que Confiança Zero na prática se parece: verificação contínua em todos os pilares, respostas automatizadas que limitam danos e visibilidade centralizada que fornece às equipes de segurança a visão completa do que aconteceu e por quê.