Como implementar um modelo de segurança Zero Trust em um cenário aberto

Não faz muito tempo que a segurança envolvia armazenamento local com perímetros protegidos. As organizações podiam confiar na força de sua proteção porque sabiam onde os dados confidenciais viviam e o número limitado de pessoas que tinham acesso físico.

Esse simplesmente não é o mundo digital em que vivemos hoje. Os perímetros fortificados foram substituídos por ambientes remotos e uma proliferação de dispositivos móveis. Os dados corporativos agora estão espalhados pelo armazenamento virtualizado alojado em servidores em todo o mundo. Embora isso ofereça grande flexibilidade e escalabilidade para as empresas, também amplia a superfície de ataque para agentes mal-intencionados que buscam explorar brechas de segurança.

Em resposta a esse desafio, os profissionais de segurança estão inaugurando uma nova era de segurança Zero Trust. Em sua forma mais básica, um Abordagem Zero Trust exige a verificação de cada solicitação de acesso entre todos os recursos, não importa quem, o que ou onde estejam. Fundamentalmente, o Zero Trust é uma mentalidade e uma estratégia de segurança, que podem ser difíceis de implementar completamente.

Neste post, discutiremos a origem da metodologia Zero Trust e explicaremos como as organizações podem implementar a segurança Zero Trust em um cenário cada vez mais remoto, sem perímetro e que prioriza a nuvem.

Uma breve história do Zero Trust

O termo Zero Trust foi discutido pela primeira vez na década de 1990 em uma tese de doutorado sobre segurança computacional, embora não tenha sido usado em seu significado atual. O conceito ganhou mais tração por volta de 2010, após uma discussão da Forrester Research sobre os princípios do que se tornaria a base do paradigma.

A Forrester reconheceu que a ideia de um perímetro confiável nas organizações é arriscada. As credenciais não só podem ser comprometidas, mas também não menciona a prevenção de ameaças internas. Portanto, todo tráfego de rede deve ser considerado não confiável, a menos que se prove o contrário.

Alguns anos depois, nossa força de trabalho cada vez mais móvel (e agora, cada vez mais remota) está redefinindo até mesmo a ideia básica de um perímetro. Isso, combinado com o aumento das soluções em nuvem, exige uma mudança adicional da autenticação baseada em credenciais. Além de focar nas pessoas, agora devemos estender a estrutura Zero Trust para se concentrar nos dados. Isso significa que as ferramentas de segurança da próxima geração devem levar em consideração a atividade da rede, o acesso e os privilégios do usuário e o acesso e uso dos dados.

O Zero Trust agora exige mais do que apenas perguntar quem é o usuário. Cada tentativa de login deve exigir contexto, como:

• O dispositivo está sendo usado como um dispositivo conhecido?
• O login vem de um local ou rede conhecido?
• Quais dados ou aplicativos eles estão tentando acessar?

Obviamente, exigir e verificar todo esse contexto pode ser mais fácil falar do que fazer em nosso cenário cada vez mais aberto. Os profissionais de segurança precisam prepare-se para novas tendências em um cenário digital cada vez mais aberto. Vamos dar um passo adiante para ver como adotar o paradigma Zero Trust em um ambiente de segurança moderno.

Implementando Zero Trust em um ambiente sem fronteiras

Atualmente, a natureza da proliferação de dados e do trabalho remoto torna quase impossível aplicar perímetros de segurança da mesma forma que fazíamos antes. Então, vamos dar uma olhada em algumas etapas práticas para transformar essa estratégia em resultados e em um paradigma de segurança orientado pela tecnologia.

Defina a superfície de proteção

A primeira etapa para proteger o ambiente da sua organização é definir esse ambiente. Em essência, você está tentando estabelecer uma fronteira onde não existe nenhuma. Essa abordagem requer uma visão holística da rede e do ambiente, incluindo todos os usuários, dispositivos, privilégios e tráfego

Isso é particularmente desafiador se você usa serviços baseados em nuvem ou tem hospedagem compartilhada para seus servidores. De acordo com o especialista do setor Alex Williams, da Hosting Data, sempre que os recursos são compartilhados, a segurança pode ser atingida. “A natureza muito comum do servidor pode permitir que os vírus se espalhem pelo site do servidor, infectando aqueles vinculados a ele”, diz Williams. “Você não tem como personalizar sua segurança. Basicamente, você está confiando na sua equipe de hospedagem para protegê-lo.”

Não importa sua configuração específica, nossa superfície de ataque moderna está sempre se expandindo. Existem várias maneiras de definir uma superfície de ataque, mas com o Zero Trust, nós o abordamos especificamente em termos do que deve ser protegido.

Isso restringe o foco ao que é mais valioso para a empresa. Uma “superfície protegida” inclui:

• Dados (como informações de identificação pessoal ou informações de cartão de pagamento)
• Aplicativos (aqueles usados para acessar os dados, como CRM ou processo de pagamentos)
• Ativos (servidores ou equipamentos que processam os dados, como terminais de ponto de venda)
• Serviços (serviços essenciais para os negócios usados para acessar dados, como DNS ou Active Directory)

A definição de uma superfície protegida reúne o gerenciamento de dados e o gerenciamento de ativos, além do gerenciamento de acesso tradicional associado à autenticação do usuário.

Elaboração da política Zero Trust

Depois de definir a superfície de proteção, você deve usar essas informações para formalizar a política de toda a organização. O Zero Trust exige perguntar quem tem acesso, a quê, quando e de onde. Cada vez que uma solicitação de acesso é feita a um recurso específico, há várias perguntas que devem ser feitas:

• Quem deveria ter acesso?
• Quais dispositivos devem ter acesso?
• Quando os usuários podem ter acesso?
• De onde os usuários podem ter acesso?
• Para que o recurso pode ser usado?

Essas perguntas devem ser traduzidas em etapas acionáveis que sejam específicas o suficiente para cobrir as necessidades exclusivas de diferentes ativos ou serviços. Um modelo de controle de acesso baseado em atributos (ABAC) será útil na elaboração de políticas direcionadas aos atributos de diferentes grupos de recursos.

No entanto, só porque você pode ter políticas diferentes para diferentes tipos de serviço, não significa que não seja uma política para toda a empresa. Se você é novo no assunto, você deve considere consultar um especialista para ajudar a formular sua estratégia de política Zero Trust.

Forme o perímetro “virtual”

Existem várias ferramentas e táticas que podem ser aplicadas para reforçar o perímetro virtual. O foco principal em um cenário aberto deve ser mapear fluxos de rede e aumentar a visibilidade dos recursos nativos da nuvem.

Pode ser que você tenha um ambiente de nuvem híbrida com alguns recursos locais e virtuais. Você também terá que lidar com software interno versus software de terceiros. O modelo ABAC ajudará a consolidar as regras para fornecer uma visibilidade mais completa. Além disso, você precisará segmentar seus serviços para aplicar o Zero Trust.

UM ferramenta de microssegmentação que oferece controle granular de sua fonte protegida ajudará a reduzir a gravidade de um ataque no caso de uma violação. A segmentação é particularmente crítica quando você usa microsserviços baseados em nuvem — sem colocar paredes virtuais, um invasor pode se mover lateralmente pelo sistema com apenas um conjunto de credenciais roubadas. A ferramenta certa também fornecerá visibilidade em tempo real dos comportamentos do sistema, o que ajudará na aplicação de suas políticas.

Monitore e teste de forma consistente

Mesmo quando estiver confiante em suas políticas e implementação, você nunca deve parar de testar vulnerabilidades em seu sistema. Teste suas políticas pré-criadas para garantir que eles detectem atividades suspeitas e possam ser usados para adotar medidas de emergência no caso de uma ameaça. Também pode ser útil fazer testes adversos periódicos, internos ou terceirizados, para mapear vulnerabilidades e evitar ser complacente.

Eduque suas equipes

Finalmente, para promover um paradigma de Zero Trust em toda a sua organização, você deve usar a educação direcionada para atrair todos a bordo. É importante que todos, da TI à diretoria executiva, saibam por que as mudanças nas políticas estão sendo implementadas e como elas as afetarão.

Por exemplo, convém treinar os funcionários sobre como o gerenciamento de acesso e a autenticação multifator mudarão seus processos de login e por que isso é importante para a empresa, funcionários e clientes.

Conclusão

O mundo digital está em constante mudança, e os profissionais de segurança arcam com o ônus de se adaptar a essas mudanças. Os dias de dispositivos locais bloqueados acabaram, substituídos pela nuvem híbrida, computação de ponta e a Internet das Coisas.

O Zero Trust ajuda as empresas a estarem à altura da ocasião com segurança centrada em dados em várias camadas. E, se implementada corretamente, não há motivo para que a segurança pareça um inconveniente. Em vez disso, pode ser uma mudança de prioridade em toda a organização que incentiva a responsabilidade e a higiene cibernética saudável.

Saiba como a Illumio, pioneira e líder da Segmentação Zero Trust, pode ajudar:

• Leia as últimas Relatórios da Forrester Wave sobre Zero Trust e microssegmentação.
• Obtenha orientação passo a passo no e-book, Seis etapas para implementar um modelo de confiança zero.
• Baixe o estudo da Forrester Consulting, Confiando em Zero Trust.