Perguntas sobre microssegmentação que você não sabe fazer: O que é preciso para envolver sua equipe de aplicativos?

Os proprietários de aplicativos estão acostumados a um relacionamento distante com suas equipes de segurança e rede. A rede deveria “simplesmente funcionar” e os firewalls são difíceis de suportar com pouca frequência. Afinal, a infraestrutura não parece “próxima” do proprietário médio do aplicativo. Mas quando as equipes de segurança e infraestrutura anunciam que querem mover os limites da fiscalização para o sistema operacional ou cercar o aplicativo, de repente, conceitos abstratos assumem uma nova realidade.

O principal medo é que a implementação dos controles seja incompleta, causando interrupções, ou talvez que eles prejudiquem o desempenho ou causem dores de cabeça que não existiam antes. Em geral, também é verdade que, nas instâncias do servidor de aplicativos, a equipe de aplicativos exerce um controle considerável e geralmente pode atrasar as implementações se suas preocupações não forem resolvidas. Então, como desenvolvemos um relacionamento durável e confiável com nossos proprietários de aplicativos, equipes de DevOps e nuvem?

Faça o juramento de Hipócrates

Para proprietários de aplicativos, a disponibilidade do serviço está no topo da lista e geralmente compreende uma parte de seus MBOs ou bônus de desempenho. Qualquer coisa que ameace o tempo de atividade do aplicativo encontrará resistência imediata. Por esse motivo, é importante que as equipes de aplicação e automação saibam que você efetivamente fez o Juramento de Hipócrates — você não permitirá que a aplicação delas seja prejudicada no desenvolvimento da política de microssegmentação. Lembre-se de que eles foram condicionados por interrupções e reconfigurações do firewall para que possam ser quebradas sempre que as regras de microssegmentação forem ajustadas. Mas não precisa ser assim. Ao escolher uma solução com uma forte metodologia de “Construir, testar, aplicar”, toda política de microssegmentação será exaustivamente testada pelo tempo necessário para garantir a correção.

Durante a implantação inicial, não tente executar solicitações anteriores para testar ou certificar agentes baseados em host. Qualquer agente de qualidade passará por testes. Escolha um agente que não esteja alinhado ao tráfego, que não seja um adaptador de rede virtual e que não modifique o kernel, e a aceitação do proprietário do aplicativo aumentará vertiginosamente. Evite agentes em linha que falhem na abertura (sem política de firewall) ou no fechamento (o aplicativo quebra). Escolha um agente certificado para funcionar em ambientes de missão crítica, como Oracle Exadata, e há poucas dúvidas de que o agente não é seguro. Quando você combina um agente seguro com um caminho seguro para a fiscalização, os proprietários do aplicativo e as equipes operacionais podem entender que você compartilha a preocupação deles com a segurança e o tempo de atividade do aplicativo.

Capacite-os a participar

Mas qualquer solução de segmentação Zero Trust de qualidade vai muito além das garantias de segurança e oferecerá aos proprietários do aplicativo a capacidade de participarem de forma significativa. No mínimo, dê aos proprietários de aplicativos acesso à visualização de seus aplicativos usando o Controle de Acesso Baseado em Funções (RBAC). Assim que eles virem o mapa de dependência de aplicativos, o proprietário do aplicativo pode verificar se os fluxos observados são esperados e devem ser permitidos. À medida que a política se desenvolve, o proprietário do aplicativo pode ver que os serviços principais, as conexões de banco de dados e os métodos de acesso do usuário necessários são permitidos. Eles fazem parte da cadeia de aprovação para garantir que a política proteja e habilite. Algumas organizações vão além e dão aos proprietários do aplicativo o controle para criar a política interna do aplicativo. Quando fornecido sob controles rígidos do RBAC, cada proprietário do aplicativo só pode ver seu próprio aplicativo, e o controle de políticas pode ser delegado e limitado conforme desejado. Com a aprovação final reservada para as equipes de segurança e infraestrutura, isso confere verdadeira propriedade às equipes de operações e aumenta a confiança e a conexão com o resultado.

Ofereça a capacidade de automatizar

Quase todos os aplicativos criados nos últimos anos são automatizados em grande parte. Eles se destacam usando scripts fornecidos pelo fornecedor. Eles oferecem APIs e geralmente se integram a SaaS, instâncias de nuvem, contêineres ou outras tecnologias avançadas de hospedagem de aplicativos. Para equipes de DevOps, qualquer coisa que não tenha uma API pode muito bem não existir!

Historicamente, as equipes de aplicativos ficaram frustradas com o ritmo lento das regras de microssegmentação digitadas manualmente e com os processos que as cercam. Então, ofereça segmentação como um serviço! Forneça a eles chaves de API para sua solução de segmentação Zero Trust. Peça que usem seus metadados como fonte de abstração de rótulos/tags/políticas. Se seus metadados se tornarem o ponto de partida para visualização e política, a microssegmentação pode ser simplesmente solicitada pela API e automatizada desde o primeiro dia. Mostre às equipes de aplicativos como acessar a segmentação como serviço — incentive-as a incorporá-la em seus cadernos de instruções e imagens douradas e, em seguida, você estará falando a língua nativa delas. Todos se beneficiam quando a política de microssegmentação é atualizada continuamente durante todo o ciclo de vida do aplicativo.

O negócio depende dos aplicativos, e as equipes que os fornecem e dão suporte não estão acostumadas com as solicitações técnicas detalhadas que uma equipe de firewall normalmente exige. Mas a segmentação Zero Trust não precisa atrapalhá-los ou fazer com que eles coloquem obstáculos. Com comunicação e recursos adequados, uma implantação de microssegmentação permitirá que os proprietários do aplicativo interajam com o projeto com segurança. As melhores equipes de projeto ainda as convidam a considerar a microssegmentação como um serviço disponível orientado por API, assim como os outros serviços SaaS que eles consomem regularmente. Quando a microssegmentação avançada é fácil de consumir, segura de operar e está sob sua capacidade de controlar e influenciar, você encontrará equipes de aplicativos dispostas a ajudá-lo a proteger seus sistemas contra ameaças que ninguém quer que afetem seus sistemas.

Saiba mais sobre segmentação de aplicativos hoje.