Operacionalizando o Zero Trust — Etapa 6: Validar, implementar e monitorar

Esta série de blogs expande as ideias apresentadas em minha postagem de março,”Zero Trust não é difícil... se você for pragmático.”

Nesse post, descrevi seis etapas para alcançar o Zero Trust, e aqui eu gostaria de expandir a etapa final, a saber Valide, implemente e monitore. Mostrarei como essa etapa pode apoiar a implementação de uma estrutura sólida que pode ser usada por qualquer profissional de microssegmentação para tornar seus projetos mais bem-sucedidos, independentemente do tamanho da organização.

Antes de começar, aqui está uma atualização sobre as seis etapas:

‍

Recapitulação — Etapa 5: Elaborar a política

Na última postagem desta série, eu li “Designing the Policy”. Lá, mostrei como o mapeamento de dependências de aplicativos identifica fluxos relevantes:

E a partir daqui, derivamos o seguinte conjunto de regras de permissão:

• Regra 1:
• Fonte: Servidor Web, Pagamentos, Produção, Reino Unido
• Destino: Respondente de DNS, Infraestrutura de DNS, Produção, Reino Unido
• Serviço de destino: 53/udp
• Processo de destino: nomeado
• Regra 2:
• Fonte: App Server, Pagamentos, Produção, Reino Unido
• Destino: Respondente de DNS, Infraestrutura de DNS, Produção, Reino Unido
• Serviço de destino: 53/udp
• Processo de destino: nomeado
• Regra 3:
• Fonte: Servidor Web, Pagamentos, Produção, Reino Unido
• Destino: servidor de aplicativos, pagamentos, produção, Reino Unido
• Serviço de destino: 8080/tcp
• Processo de destino: tomcat

Tendo em mente os princípios do Zero Trust, as regras de permissão listadas acima definem exatamente o que será permitido — qualquer coisa que não seja explicitamente permitida é eliminada implicitamente, mantendo assim a propriedade de menor privilégio.

Etapa 6: Validar, implementar e monitorar

Agora que você definiu as regras de microssegmentação, está pronto para aplicá-las e proteger suas cargas de trabalho. No entanto, um desafio importante permanece. Seu aplicativo de pagamentos está em produção e você não quer interromper sua funcionalidade enquanto o protege. Como você mitiga esse risco?

Com qualquer esforço de segmentação, o estágio que acarreta o maior risco é aplicar as políticas que foram escritas de forma que nenhum outro tráfego seja permitido entrar ou sair das cargas de trabalho. Se as políticas estiverem erradas, existe a chance de causar uma interrupção na produção. Portanto, a mudança para a fiscalização deve ser controlada e com oportunidades suficientes de monitoramento para que quaisquer problemas possam ser rapidamente detectados e corrigidos.

É aqui que entram os testes de políticas. O Illumio Core fornece uma maneira poderosa, mas simples, de fazer isso. Um dos recursos mais úteis da plataforma Illumio Core é sua capacidade de mover cargas de trabalho (ou grupos de cargas de trabalho) para o modo de teste — como o modo Construção, o modo de teste é um modo sem bloqueio com a vantagem adicional de relatar violações de políticas. Para uma carga de trabalho no modo de teste, o PCE sobreporá o gráfico de conectividade criado usando dados de fluxo de cargas de trabalho com o gráfico de políticas.

O gráfico de políticas pode ser considerado uma forma de colocar bolhas em torno de cargas de trabalho que podem se comunicar em conjunto por meio de um conjunto específico de portas e protocolos. O gráfico de conectividade mostra as tentativas de comunicação entre cargas de trabalho.

• Quando o gráfico de conectividade está dentro de uma bolha no gráfico de políticas, você obtém linhas verdes — esses são fluxos que correspondem à política que criamos.

• Quando o gráfico de conectividade cruza a bolha no gráfico de políticas, você obtém linhas vermelhas — esses são fluxos que não correspondem a uma política criada.

No modo de teste, essas linhas “vermelhas”, embora não bloqueiem nenhum fluxo, indicam onde temos tentativas de conectividade que violam a política. Como proprietário de um aplicativo, esses são os fluxos que você analisa e suas opções são:

• O fluxo é necessário -> escreva a política para tornar a linha verde
• O fluxo não é necessário -> não é necessário realizar nenhuma ação

Portanto, o processo de validação da política exige a iteração de todas essas linhas “vermelhas” para determinar se elas precisam ser tornadas verdes. Depois de analisar todas essas “violações” e fazer sua escolha, você estará pronto para começar a proteger as cargas de trabalho — nosso processo de validação está concluído, é hora de aplicar.

Tendo em mente que o objetivo da fase de validação, implementação e monitoramento é realmente minimizar os riscos, o ideal é não adotar uma abordagem exagerada para aplicar políticas em suas cargas de trabalho. Apesar da validação detalhada que você talvez já tenha feito, você ainda desejará realizar etapas incrementais nesta fase final. Novamente, o controle granular que o Illumio fornece sobre as cargas de trabalho permite exatamente isso. Cada carga de trabalho em um aplicativo pode ser movida individualmente para o modo aplicado — isso significa que, depois de ter uma política totalmente validada, você pode selecionar em quais cargas de trabalho deseja ativar a proteção total primeiro, permitir que elas sejam executadas com a política aplicada (ou seja, somente o tráfego permitido pela política pode entrar/sair da carga de trabalho) e mover as outras cargas de trabalho para um estado obrigatório após algum “tempo de absorção”. A vantagem dessa abordagem é que, caso haja algum problema com a política, ela afetará apenas um pequeno conjunto de cargas de trabalho, em vez de toda a frota, e oferece mais uma oportunidade de ajuste fino antes de habilitá-la para todo o aplicativo.

Agora que nossas cargas de trabalho estão todas aplicadas e o aplicativo está protegido, a tarefa em questão é monitorar continuamente os eventos de tráfego em busca de qualquer coisa inesperada — quedas e aceitações — e investigar qualquer coisa que esteja fora do normal.

Encerrando

Então, aí está: um passo a passo das seis etapas em uma abordagem pragmática em direção ao Zero Trust. Como afirma a Forrester, Zero Trust não é um resultado por si só, mas uma estratégia de segurança, e cada organização precisa entender sua própria maturidade nos pilares do Zero Trust, identificar quais pilares precisam de mais foco e tomar medidas incrementais para melhorar essa maturidade. Illumio é um fornecedor líder da ZTX Ecosystem Platform e oferece um conjunto completo de recursos para realizar essas etapas nas áreas de visibilidade e segurança da rede e da carga de trabalho.

Perdeu as etapas 1 a 5 em nossa série de operacionalização do Zero Trust? Confira agora:

• Etapa 1: Identificar o que proteger
• Etapas 2 e 3: Determine em qual pilar Zero Trust focar e especifique o controle exato
• Etapa 4: prescrever quais dados são necessários
• Etapa 5: Projetar a política

E para saber mais sobre Zero Trust, visite nosso página de solução — saiba como você pode começar sua jornada hoje.