Hoje, as violações de dados são comuns e as empresas estão sempre prestes a comprometer gravemente informações confidenciais, portanto, as práticas recomendadas de segurança cibernética são necessárias agora mais do que nunca. Durante anos, as empresas modelaram sua segurança cibernética em torno de um perímetro virtual de confiança que inclui infraestrutura de rede, usuários e dispositivos confiáveis.
Infelizmente, cibercriminosos e agentes mal-intencionados exploram esse modelo de cibersegurança há anos. Sem dúvida, há uma necessidade imediata de sistemas robustos de segurança cibernética que não deixem brechas (pense em vários dispositivos, pontos de contato digitais e usuários), fornecendo um ecossistema livre de riscos. Aqui é onde um modelo de confiança zero entra em jogo.
Então, como você pode transformar o conceito de segurança de confiança zero em uma realidade para sua empresa ou organização? Este guia definitivo explica o que significa confiança zero e como funciona.
Índice:
O que significa confiança zero?
O que é uma rede de confiança zero?
Como funciona a confiança zero?
Princípios de segurança de confiança zero
O que é arquitetura de confiança zero?
Segurança de confiança zero
Por que a confiança zero é importante?
Como implementar a segurança de confiança zero?
Benefícios da segurança de confiança zero
Desafios da segurança de confiança zero
A linha de fundo
A confiança zero refere-se a uma filosofia de segurança decorrente do conceito de “não confie em nada, verifique tudo”. A abordagem de segurança cibernética garante que as organizações concedam acesso apenas a usuários, sistemas, redes e processos autorizados e seguros confirmados. Como resultado, evita que maus atores obtenham acesso e causem danos. As empresas também podem se defender contra ameaças emergentes, como ransomware.
A confiança zero é um modelo de segurança de TI relativamente novo que exige verificação rigorosa de identidade para cada dispositivo ou usuário que tente acessar os recursos de uma rede privada, independentemente de estarem dentro ou fora do perímetro da rede.
Embora a principal tecnologia associada ao modelo de confiança zero seja o Zero Trust Network Access (ZTNA), a estrutura é uma abordagem holística para a segurança da rede, incorporando várias tecnologias e princípios diferentes.
Simplificando, a segurança de rede de TI tradicional confia em usuários e dispositivos dentro da rede, enquanto a arquitetura de confiança zero não confia em nada nem em ninguém.
A segurança de rede de TI tradicional dependia do conceito de castelo e fosso, onde era difícil obter acesso de fora, enquanto a rede confiava em todos dentro por padrão. No entanto, surgiram problemas quando atores mal-intencionados obtiveram acesso e tiveram rédea solta sobre tudo dentro da rede.
Em sua essência, o modelo de segurança de confiança zero refere-se a uma mudança de paradigma em como as empresas e organizações concebem suas redes, sistemas e infraestrutura de TI. No modelo anterior, todos os servidores, computadores e outros dispositivos existiam na mesma rede e confiavam uns nos outros.
As equipes de TI tiveram que configurar ferramentas de segurança como antivírus e firewalls, que consideravam tudo fora do perímetro virtual como ruim e tudo dentro do perímetro como bom, sem necessidade de exame adicional. No entanto, a explosão de dispositivos móveis, trabalho remoto e serviços em nuvem desafiou radicalmente essas suposições. Hoje, as organizações não mantêm mais seus dados em um só lugar. Em vez disso, está espalhado por servidores e fornecedores de nuvem, dificultando o controle primário de segurança para toda a rede.
As organizações de hoje não podem mais controlar fisicamente todos os dispositivos que seus funcionários usam. Além disso, mesmo que pudessem controlar todos os dispositivos em suas redes, o modelo antigo nunca era seguro. Depois que um invasor contorna as defesas do perímetro remotamente ou fisicamente, infiltrando-se na organização, a rede concede a ele acesso, confiança e liberdade.
A confiança zero é um conceito e uma preocupação contínua, não uma ação pontual. Por exemplo, em vez de confiar em conexões, usuários e dispositivos específicos de determinados locais (como funcionários de uma organização), a confiança zero exige que os usuários provem que devem obter acesso.
Normalmente, obter acesso à rede significa fazer login em uma conta corporativa usando nomes de usuário e senhas, além de biometria ou chaves de segurança de hardware, tornando mais difícil para agentes mal-intencionados se passarem por usuários.
Além disso, o sistema é configurado com base na necessidade de acesso ou na necessidade de conhecimento, mesmo após a passagem. Então, por exemplo, significa que se faturar um contratante não faz parte do seu trabalho, sua conta corporativa não deve ter acesso à plataforma de cobrança. Assim, uma rede de confiança zero:
Limita e controla o acesso a redes privadas
Reduz o tráfego da rede
Verifica e protege os recursos de rede
Isso significa que o modelo de confiança zero garante que os dados e os recursos de rede permaneçam inacessíveis por padrão. Consequentemente, os usuários só podem acessá-los nas circunstâncias certas e por tempo limitado; isso é conhecido como acesso de privilégio mínimo.
O modelo de segurança verifica e autoriza todas as conexões, como quando os usuários se conectam a aplicativos ou software a conjuntos de dados usando uma interface de programação de aplicativos (API). Além disso, garante que todas as interações atendam aos requisitos condicionais das políticas de segurança da organização.
Além disso, uma estratégia de segurança de confiança zero autentica e autoriza dispositivos, fluxos de rede e conexões com base em políticas dinâmicas. Ele usa o contexto de várias fontes de dados.
A confiança zero requer um portfólio de recursos e experiências de segurança, incluindo:
Identidade: define e governa as políticas de segurança de confiança zero e gerencia o acesso entre usuários e contas privilegiadas usando autenticação multifator, SSO e gerenciamento do ciclo de vida.
Dados: Protege dados críticos usando as melhores práticas comprovadas de confiança zero; descobre, classifica e gerencia o acesso aos dados de acordo com o risco
Análise e Visibilidade: Monitora e impõe políticas de confiança zero com análiseinteligente; permite que as organizações visualizem e monitorem o comportamento do usuário, recursos e conexão de dados
Dispositivos e cargas de trabalho: defende a organização usando práticas de confiança zero – de aplicativos seguros a monitoramento e gerenciamento de endpoints
Rede e Endpoint: Aplica soluções modernas e habilidades e conhecimentos comprovados para proteger infraestruturas de rede e endpoints
Automação e orquestração: resolve e itera rapidamente problemas de segurança como parte da prática de confiança zero usando ações orquestradas e playbooks típicos
A confiança zero se baseia nos seguintes princípios básicos para proteger e proteger o ambiente de TI da empresa:
1. Monitoramento e validação contínuos
O modelo de confiança zero assume a presença de invasores dentro e fora da rede. Portanto, não concede confiança e acesso automáticos a ninguém ou a nada. Em vez disso, ele verifica a identidade e os privilégios de cada usuário, além da identidade e segurança do dispositivo. Além disso, as organizações podem definir conexões e logins para expirar periodicamente depois de estabelecidos, o que força a nova verificação contínua de usuários e dispositivos.
2. Princípio do menor privilégio
O acesso com privilégios mínimos significa dar aos usuários acesso com base na necessidade de acesso e na necessidade de conhecimento. Como resultado, minimiza a exposição de cada usuário às partes sensíveis de uma rede.
A implementação do privilégio mínimo requer o gerenciamento cuidadoso das permissões do usuário. Além disso, as VPNs não são adequadas para abordagens de privilégio mínimo para autorização, pois fornecem aos usuários acesso a toda a rede conectada.
3. Microssegmentação
É a prática de dividir os perímetros de segurança de uma rede em zonas menores, garantindo acesso separado para áreas separadas. Por exemplo, uma rede que armazena arquivos em um único centro de dados pode microssegmentá-los em dezenas de zonas distintas e seguras. Portanto, um usuário ou programa requer autorização separada para as diferentes zonas de arquivo.
4. Controle de acesso ao dispositivo
A confiança zero também requer controles rígidos de acesso ao dispositivo. Eles devem monitorar como diferentes dispositivos tentam acessar sua rede, garantir que sejam autorizados e avaliá-los para determinar se os invasores os comprometeram.
5. Prevenção de movimento lateral
O movimento lateral na segurança da rede refere-se à capacidade de um invasor se mover dentro da rede após obter acesso. Os invasores podem comprometer outras partes da rede à medida que se movem por elas, dificultando sua detecção. A segmentação de rede evita o movimento lateral e permite que a equipe de TI detecte e coloque em quarentena a conta de usuário ou dispositivo comprometido.
6. Autenticação multifator (MFA)
Requer mais do que uma única evidência de autenticação do usuário, o que significa que apenas inserir um nome de usuário e senha não é suficiente para obter acesso. Por exemplo, a autorização de 2 fatores (2FA) é uma aplicação comum de MFA usada em plataformas como Google e Facebook. O 2FA exige que os usuários insiram uma senha mais uma senha enviada a um dispositivo secundário.
Arquitetura de confiança zero (ZTA) refere-se a uma infraestrutura de segurança cibernética corporativa baseada em componentes e princípios de confiança zero projetados para evitar violações de dados e rede, limitando o movimento lateral interno. A ZTA fortalece a segurança cibernética de uma organização, mantém usuários não autorizados fora de sua rede privada e protege seus ativos contra ameaças.
Essencialmente, o ZTA permite que os usuários da rede acessem apenas o que precisam para realizar seus trabalhos. Ele também identifica atividades potencialmente maliciosas ou anômalas e permite a quarentena dos segmentos afetados para evitar a propagação de ataques cibernéticos pela rede.
A segurança de confiança zero assume que os usuários ou dispositivos comprometeram a rede e os desafia a provar que não são invasores.
O Instituto Nacional de Padrões e Tecnologia (NIST) já estabeleceu princípios de arquitetura de confiança zero para agências governamentais. Esses princípios do NIST também são aplicáveis a organizações privadas e incluem o seguinte:
As organizações devem considerar todas as fontes de dados e serviços de computação como recursos.
Eles devem proteger toda a comunicação, independentemente da localização da rede.
Eles devem conceder acesso a recursos empresariais individuais por conexão.
Eles devem determinar o acesso aos recursos usando políticas, incluindo o estado do sistema solicitante e a identidade do usuário, além de outros atributos comportamentais.
Eles devem garantir que todos os sistemas (próprios e associados) estejam em um estado seguro e monitorá-los para garantir que permaneçam protegidos.
As empresas devem impor rigorosamente a autenticação do usuário antes de conceder acesso. É um ciclo constante de acesso, verificação e avaliação de ameaças, adaptação e autenticação contínua.
Existem algumas tecnologias e considerações que as organizações precisam para implementar uma arquitetura de confiança zero eficiente e eficaz. Por exemplo:
Acesso à rede de confiança zero: ZTNA permite que novos serviços de nuvem de confiança zero forneçam aos funcionários e equipes remotos acesso a redes privadas internas sem os riscos, complexidades e gargalos das redes privadas virtuais (VPNs).
Firewall de próxima geração: esta ferramenta fornece proteção de rede, auxilia na microssegmentação e descriptografa o tráfego.
Data Loss Prevention (DLP): Isso permite que as organizações vão além de simplesmente controlar o acesso de usuários e dispositivos para gerenciar o uso de dados.
Monitoramento contínuo: As organizações devem assumir a presença de agentes mal-intencionados dentro e fora de suas redes, por isso precisam de tecnologias que permitam o monitoramento contínuo de seus sistemas e dados.
O surgimento do modelo de confiança zero foi uma resposta a um mundo digital sem fronteiras, onde inovações como tecnologias de nuvem, traga seu próprio dispositivo (BYOD) e até mesmo a internet das coisas (IoT) moldam o cenário das organizações em todo o mundo. Hoje, os usuários podem trabalhar remotamente a partir de qualquer dispositivo e colaborar online por meio de compartilhamento de rede e ferramentas SaaS baseadas em nuvem.
As organizações armazenam informações na nuvem, tornando-as acessíveis em qualquer lugar, enquanto os dispositivos pessoais inundaram o mercado e encontraram seu caminho nas redes internas confiáveis das empresas. À medida que o mundo se torna mais interconectado, isso leva ao desaparecimento das fronteiras digitais, aumenta as ameaças à segurança cibernética e transfere o perímetro de confiança virtual para dispositivos finais e contas de usuários.
Para os hackers, agora é mais fácil atingir funcionários individuais e dispositivos pessoais usando um esquema de phishing (como phishing social ou de e-mail) para obter acesso a redes privadas do que atacar diretamente as redes seguras.
Portanto, a premissa de confiança zero é evitar a concessão de confiança implícita a qualquer dispositivo ou usuário. Em vez disso, a rede deve verificar essa confiança antes de conceder acesso com reavaliação regular. Além disso, o modelo consiste em um conjunto de tecnologias que facilitam a avaliação constante da confiança e o controle de dispositivos, identidades e serviços digitais.
As organizações precisam planejar e implementar um modelo de segurança de confiança zero para ajudar a aprimorar sua segurança cibernética e descobrir os benefícios de um paradigma de confiança zero em evolução.
Siga este plano de implementação de confiança zero em seis etapas para garantir que suas bases sejam cobertas:
1. Reúna uma equipe dedicada de segurança de confiança zero
Em primeiro lugar, as organizações precisam identificar e reunir uma equipe dedicada de segurança de confiança zero com a tarefa de planejar e implementar a migração de confiança zero. A equipe pode incluir membros agrupados de equipes ou departamentos de TI, como aplicativos e segurança de dados, identidade de usuário e dispositivo e segurança de rede e infraestrutura.
2. Avalie o ambiente
A próxima etapa envolve fazer um inventário abrangente dos dispositivos que têm acesso à rede. A lista deve incluir dispositivos de propriedade privada e de propriedade da organização. Em seguida, eles devem dar um passo adiante e entender o status e os controles de segurança dos dispositivos.
A organização pode examinar ainda mais os recursos e usuários de software, incluindo contas, grupos, associações a grupos, identidades, identidades não humanas (aplicativos e contas de serviço) e máquinas virtuais e contêineres.
3. Defina a superfície de proteção
Não é viável ou aconselhável tentar reduzir a superfície de ataque em expansão de uma organização, dado o cenário atual de ameaças em rápida evolução. No entanto, o pessoal da equipe de TI pode identificar e definir a superfície de proteção da organização, abrangendo o seguinte:
Dados: informações de saúde protegidas (PHI), informações de cartão de crédito (PCI), propriedade intelectual (IP) e informações de identificação pessoal
Ativos: equipamentos médicos, controles SCADA, ativos de fabricação, dispositivos IoT e pontos de venda
Serviços: DNS, Active Directory e DHCP
Aplicativos: software personalizado
A organização pode então mover seus controles para proteger a superfície protegida e criar um perímetro de segurança com declarações de políticas limitadas, precisas e compreensíveis.
4. Revise a tecnologia de confiança zero disponível
O NIST identifica três abordagens principais para implementar modelos de confiança zero. São microssegmentação, perímetro definido por software e governança aprimorada de identidades – IAM e PAM (Identity Access Management e Privileged Access Management, respectivamente).
A tecnologia essencial que você pode precisar inclui Zero Trust Network Access (ZTNA), firewalls de última geração e Data Loss Prevention (DLP), entre outros.
5. Planeje sua estratégia de segurança de confiança zero
As redes de confiança zero são personalizadas e construídas em torno da superfície protegida de uma organização. Um exemplo de plano de configuração de rede de confiança zero:
Comece com autenticação multifator e logon único (SSO) para reduzir o perímetro do seu sistema de segurança cibernética, especialmente porque o mundo incorpora cada vez mais a adoção de software como serviço por uma força de trabalho remota.
Mude para acesso privilegiado para evitar que hackers façam login no sistema e se movam lateralmente. Cofre e senhas aleatórias para contas altamente privilegiadas impedem tais táticas.
Inclua um firewall de próxima geração como um gateway de segmentação que cria um microperímetro ao redor do perímetro de proteção identificado. Aqui, você pode impor camadas adicionais de inspeção e controle de acesso.
Depois de arquitetar uma rede de confiança zero, as organizações precisarão de políticas sólidas para listar recursos e níveis de acesso. Crie um alto nível de imposição de políticas granulares para garantir que apenas o tráfego permitido e a comunicação de aplicativos legítimos ocorram.
6. Monitore e mantenha a rede
A etapa final inclui a revisão dos logs internos e externos, com foco nos aspectos operacionais de confiança zero. Por ser um processo iterativo, as organizações precisarão inspecionar e registrar todo o tráfego para obter informações valiosas sobre a eficácia da rede e melhorá-la ao longo do tempo.
O principal benefício de uma abordagem de confiança zero é que ela oferece proteção de todos os lados – dentro e fora da rede. Os modelos de segurança tradicionais estão falhando nas organizações porque concentram a defesa no perímetro da rede. Por outro lado, muitas violações ocorrem dentro da rede. Por exemplo, pode ser explicitamente de funcionários ou de ameaças externas que se infiltram na rede por meio de conexões VPN, e-mail, navegadores, endpoints e outros meios.
Portanto, a segurança de confiança zero tira o acesso de todos até que a rede protegida possa verificar os usuários autorizados. Em seguida, monitora continuamente como os usuários usam dados e potencialmente revoga permissões para copiar ou excluir dados em outro lugar.
As equipes de TI podem projetar recursos de confiança zero em processos, sistemas e serviços de negócios, tornando-os mais bem equipados para:
Evite violações de dados e use a microssegmentação de aplicativos para conter o movimento lateral.
Expanda a proteção de segurança em ambientes de computação e contêineres, totalmente independente da infraestrutura subjacente.
Monitore e responda continuamente a ameaças ou sinais de comprometimento. Ele registra, relata, alerta contra ameaças e reage de acordo.
Obtenha visibilidade de usuários, componentes, dispositivos e cargas de trabalho, identificando o que está sendo executado ou acessado e aplicando políticas.
Garanta a segurança da organização enquanto oferece uma experiência de usuário consistente.
Reduza as horas equivalentes a tempo integral e as complexidades arquitetônicas.
Os modelos de segurança de confiança zero também simplificam o gerenciamento de TI, otimizam o pessoal de TI e segurança existente, protegem as forças de trabalho remotas, garantem a conformidade contínua, agilizam o acesso do usuário e proporcionam tranquilidade ao gerenciamento sênior.
Não é fácil atingir um estado de confiança zero completo e é um desafio encontrar uma solução ou tecnologia que resolva os diferentes problemas envolvidos na obtenção de um ambiente digital de confiança zero em muitos casos. É uma jornada que requer etapas incrementais e não um esforço único.
Alguns dos desafios da implementação de confiança zero incluem:
A microssegmentação, um conceito fundamental de confiança zero, é difícil de alcançar, especialmente em redes locais e servidores gerenciados por tecnologias de firewall herdadas.
Muitas organizações e empresas usam ambientes digitais mistos. Possuem infraestruturas hospedadas no local e em nuvens públicas e privadas. Eles também têm dispositivos de funcionários remotos hospedados em qualquer lugar.
As organizações que usam acesso herdado ao serviço da Web devem atualizar para versões mais recentes - fornecendo segurança constante e garantindo avaliações de conformidade para usuários, dispositivos e conexões.
A necessidade de usuários remotos manterem acesso fácil e flexível à rede de qualquer lugar exige que as organizações apliquem políticas flexíveis completas com permissões, auditorias, controles e outras ações, dependendo dos sinais de segurança que a rede coleta sobre um usuário, dispositivo ou conexão.
Resolver problemas de IoT continua sendo um desafio porque as tecnologias que fornecem confiança zero requerem um agente instalado em dispositivos finais, o que ainda é impossível com esses dispositivos.
Deve haver soluções robustas que permitam tecnologias de confiança zero para controlar a segurança de dados e o acesso na nuvem.
Devido à diversidade de soluções e tecnologias que as organizações podem aplicar, é necessário considerar a integração para evitar a sobreposição de funcionalidades. Também minimizará custos e reduzirá a complexidade de suporte e manutenção.
À medida que os ataques cibernéticos contra as organizações aumentam e evoluem, as abordagens tradicionais de segurança cibernética de rede “confiar, mas verificar” não são mais suficientes para impedir ataques e proteger dados e sistemas. As equipes de segurança devem entender que a confiança implícita em endpoints, dispositivos e usuários em sua rede coloca toda a organização em risco de agentes mal-intencionados, usuários não autorizados, contas comprometidas e internos descuidados.
Portanto, um modelo de segurança de confiança zero é fundamental para proteger a organização. A abordagem de segurança “nunca confie, sempre verifique” e os princípios de privilégio mínimo e microssegmentação fornecem melhor proteção contra o cenário de ameaças cibernéticas em constante evolução e expansão.
A confiança zero permite que as organizações implementem um melhor controle de acesso, contenham violações, protejam seus ativos e reduzam o potencial de danos. Porém, sem uma arquitetura e estratégia cuidadosamente planejadas, tudo isso pode acabar desperdiçando esforços e recursos.
Entre os clientes da Veritas estão 95% das empresas da Fortune 100, e o NetBackup™ é a primeira opção para as organizações que desejam fazer backup de grandes quantidades de dados.
Saiba como a Veritas mantém seus dados totalmente protegidos em cargas de trabalho virtuais, físicas, na nuvem e legadas com seus serviços de proteção de dados para empresas.
Contate-nos hoje para mais informações.