Modelo Zero Trust

Quando falamos em segurança cibernética , a principal tendência hoje é o Zero Trust Security Model ou também conhecido pela sigla ZT

Muitos fabricantes tomaram esse modelo como base e passaram a projetar suas soluções a partir de suas interpretações. Daí a importância de ter um especialista em segurança cibernética que possa ajudar.

Saber o que é o Zero Trust e seus pilares de atuação é essencial para poder estabelecer mecanismos como a implementação do Zero Trust com base em um roadmap ZTA consistente com a complexidade de sua organização.

Para melhor compreensão dos termos técnicos e para manter uma linguagem comum, mantive os nomes técnicos e siglas em inglês.

O que é Zero Trust?

É um modelo que se baseia na concessão de um status predefinido de negação de acesso a ativos de TI a qualquer usuário ou dispositivo até que eles provem que são confiáveis ​​e o acesso é permitido.

A premissa principal é: Nunca confie, Sempre verifique , ou seja, ninguém ou nada deve ser confiável até que a confiança seja atribuída por meio de diversos mecanismos que avaliam o usuário e o dispositivo no acesso aos aplicativos.

O princípio de acesso de privilégio mínimo também foi cunhado para definir o privilégio padrão que todos os usuários têm: o mais baixo.

Suas principais estratégias são:

Micro-Segmentation

Este termo refere-se à individualização mais exaustiva dos elementos de acesso aos ativos de TI. Não se refere apenas a redes e firewalls, mas também visa obter o máximo de informações possível dos atributos de usuários, aplicativos e dispositivos.

Granular Enforcement

Com a microssegmentação, então devemos ter políticas granulares e adaptáveis ​​para poder exercer o controle que a Zero Trust exige.

Por que Zero Trust?

As soluções de segurança Zero Trust fornecem uma camada adicional de proteção ao verificar a identidade de usuários e dispositivos antes de conceder acesso a dados confidenciais.

Também ajuda as organizações a cumprir regulamentações como PCI DSS (Payment Card Industry Data Security Standard) e HIPAA (Health Insurance Portability and Accountability Act).

Benefícios de Zero Trust

As soluções de segurança Zero Trust ajudam a proteger contra ameaças como ataques de phishing, malware e ataques de negação de serviço.

Eles também ajudam a evitar o acesso não autorizado a dados confidenciais, reduzem o número de tentativas de login com falha e melhoram a produtividade do usuário.

Como funciona?

Uma solução de segurança de confiança zero usa análises comportamentais para identificar atividades suspeitas e bloqueá-las antes que aconteçam.

Ele faz isso analisando como as pessoas se comportam online e, em seguida, usando esse comportamento para determinar se um indivíduo está tentando fazer algo malicioso.

Diferença Entre ZT e ZTA

Há uma diferença semântica importante que pode levar à confusão e eles são Zero Trust versus Zero Trust Architecture (ZT versus ZTA).

A diferença é muito simples:

• Zero Trust (ZT) é o modelo de segurança, os princípios orientadores (que veremos na próxima seção)
• Zero Trust Architecture (ZTA): é o plano que se rege pelos conceitos da ZT e que engloba a relação entre os componentes, o planejamento e as políticas de acesso.

Aqui estão outros termos que são importantes

• Zero Trust Enterprise : é a infraestrutura de rede e as políticas operacionais que são implementadas como resultado de um plano ZTA
• Zero Trust Network Access (ZTNA): Geralmente se refere a alguma solução comercial baseada em conceitos ZT.

Princípios de Zero Trust

Abaixo descrevo os pilares Zero Trust de acordo com o NIST e quais devem ser os pilares ideais de qualquer plano de Zero Trust Architecture (ZTA).

Todos os Ativos de TI são Recursos Seguráveis

Todas as fontes de dados, infraestrutura, dispositivos, aplicativos e todos os outros serviços de computação são considerados Recursos.

Uma rede a ser protegida pode ser composta por vários dispositivos, tudo o que se conecta à infraestrutura de rede também é considerado um recurso a ser protegido, inclusive os dispositivos BYOD.

Qualquer Rede é Insegura, não há Perímetro

Todas as comunicações são seguras, independentemente da localização da sua rede , supõe-se a coexistência com invasores em qualquer rede.

A rede de conexão não garante confiança (sem confiança implícita), não há perímetro que defina a rede interna (segura) ou externa (insegura), ambas devem ser tratadas como inseguras e, portanto, protegidas, protegendo sua confidencialidade e integridade.

Um Recurso, um Acesso, uma Sessão

O acesso é avaliado antes do login em cada recurso, as autorizações anteriores não são herdadas . Este acesso é concedido com o menor privilégio necessário para executar a atividade.

Se você precisar acessar outro recurso, a autenticação realizada anteriormente em outro recurso é inválida. Isso proíbe qualquer tipo de movimento lateral.

Políticas de Acesso Adaptável

O acesso aos recursos é determinado por políticas dinâmicas que podem incluir atributos comportamentais

Não só a autenticação implica a concessão de acesso. Muitos outros atributos são avaliados e podem ser usados ​​para aplicar políticas de acesso.

Atributos de usuário, atributos de comportamento, atributos de higiene de dispositivos de acesso ou qualquer outro atributo considerado útil para impor políticas de segurança definidas podem ser usados.

Todo o Dispositivo de Acesso é Avaliado: Próprio ou Estrangeiro

Os ativos da organização ou seus ativos relacionados são supervisionados em termos de integridade e posturas de segurança

Nenhum ativo herda confiança, sua higiene de segurança é avaliada e comparada com as políticas de segurança estabelecidas, antes de conceder qualquer acesso

Isso se aplica a dispositivos de propriedade da organização ou de seus parceiros (BYOD)

Conformidade Estrita e Prévia com Autenticação e Autorização

A autenticação e a autorização são aplicadas de forma dinâmica e rigorosa antes que o acesso seja concedido

Por meio do gerenciamento rigoroso de identidade, incluindo MFA e gerenciamento de ativos, a autenticação e a autorização adequadas devem ser aplicadas. Isso inclui reavaliações de reautenticação quando necessário.

Visibilidade e Análise

A organização coleta o máximo de informações possível sobre o estado atual dos ativos, redes e comunicações e usa esses dados para melhorar sua postura de segurança.

A visibilidade é um fator chave no Zero Trust, coletando e correlacionando eventos ou dados. Essa visibilidade permite a melhoria contínua das posturas de segurança implementadas.

Contáctame

Instalações de uma Rede Zero Trust

Abaixo estão as principais premissas ditadas pelo NIST para desenhar um plano ZTA.

Nenhuma Zona de Confiança Implícita

Toda a rede interna NÃO é considerada uma zona de confiança implícita, pelo simples fato de ser interna

Aja como se sempre houvesse um invasor na rede. Por esta razão, todos os acessos e comunicações estão protegidos mesmo que estejam na rede interna da organização.

Coexistência entre Dispositivos Corporativos e Pessoais

Os dispositivos de acesso não pertencem necessariamente à organização

O Bring Your Own Device (BYOD) é uma realidade e deve ser considerado dentro do Zero Trust. Dispositivos estrangeiros devem ser avaliados tanto ou mais do que dispositivos corporativos.

Nenhum Recurso Herda a Confiança

A avaliação das posturas de segurança é contínua , iterativa e exclusiva do recurso a ser acessado. Não há espaço para concessões de acesso com base em acessos anteriores ou similares.

Acesso Remoto

Nem todos os recursos da organização estão diretamente conectados à sua rede ou infraestrutura

A nuvem, o trabalho remoto, escritórios remotos ou filiais são uma realidade e utilizam a rede como mecanismo básico de interligação. É responsabilidade da organização proteger as comunicações.

Consciente de que a Rede é Insegura

Os sujeitos ou ativos da organização que se conectam remotamente não devem confiar na rede à qual se conectam

Os sujeitos devem estar cientes dos riscos inerentes a qualquer conexão e, portanto, da necessidade de proteger ao máximo todas as suas comunicações.

Mobilidade Entre Redes

As posturas de segurança se aplicam aos ativos, independentemente de eles se moverem entre a rede corporativa ou outras redes.

Não importa quais movimentos você faça entre as redes, as posturas de segurança permanecem estáveis ​​e consistentes. Sua reavaliação também permanece em vigor.

Implantando Zero Trust

Para implantar uma solução de segurança de confiança zero, as organizações precisam primeiro entender quais comportamentos indicam ameaças potenciais.

Depois de identificar esses comportamentos, eles devem desenvolver políticas que permitam aos funcionários acessar a Internet e, ao mesmo tempo, protegê-los de ataques maliciosos.

Considerações Importantes ao Implementar o Zero Trust

Embora seja verdade, os benefícios da ZTNA em termos de proteção de sua segurança excedem em muito os riscos de implementar a confiança zero. É sempre bom dizer para que os controles que vão mitigar esses riscos sejam sempre incorporados.

Cuide do seu Provedor de Identidade

Na ZTNA, o provedor de autenticação principal é único, para ter maior controle e Single Sign-On (SSO) ou Single Sign-On

Isso o torna um ponto único de falha ou ponto único de falha e, como tal, deve ser muito protegido, com configurações de segurança muito rígidas (hardening).

Isso também implica ter alta disponibilidade e tolerância a falhas para os equipamentos que suportam autenticação primária, bem como todos os equipamentos que se conectam a ele e que precisam ser instalados On-Premises.

“Gerenciar” Administradores de Serviço de Confiança Zero

O acesso privilegiado à administração do serviço Zero Trust deve ser reduzido ao mínimo usando um excelente gerenciamento de funções administrativas.

Se na Zero Trust damos acesso apenas aos aplicativos que a função de um colaborador precisa, devemos ser um exemplo muito estrito de dar aos administradores a função de administração que eles exigem de acordo com sua função na história da Zero Trust.

Para fazer isso, as ferramentas Zero Trust têm uma ampla variedade de opções de função que podem ser atribuídas.

Fornecedores de Acesso à Rede Zero Trust

Aqui deixo-vos a lista meramente referencial das principais empresas que prestam serviços Zero Trust que, na minha opinião, são as mais representativas.

Acesso à rede de Zero Trust da Cisco Systems

Como especialista em tecnologias da Cisco Systems, concluo (assim como este reporte da Forrester ) que a solução mais abrangente para a implementação do Zero Trust é o Cisco Systems Duo Security .

O Duo empacota o framework Zero Trust Google, BeyondCorp, em um SaaS. Isso coloca esse alto nível de segurança ao alcance das corporações desde o dia de sua ativação.

É um SaaS muito confiável e dedicado 100% à cibersegurança, ou seja, seu serviço é fornecer segurança; O Duo NÃO é um complemento dentro de outra solução . Isso o torna único em seu gênero, garantindo atualizações, melhorias e manutenção de acordo com os mais altos padrões de qualidade.

O Duo possui várias integrações 100% testadas e documentadas e lida com vários dispositivos de segundo fator que permitem diminuir a fração de usuários.

O Duo fornece seu próprio aplicativo de autenticação chamado Duo Mobile Application e também oferece suporte para todos os tipos de mecanismos de MFA, incluindo as chaves de acesso FIDO WebAuthn mais seguras.

Recursos de Zero Trust da solução Cisco

Estabelecer a Confiança do Usuário

É necessário garantir que o usuário que tenta se autenticar é realmente quem afirma ser e não alguém que obteve credenciais de acesso de forma fraudulenta.

Para isso, adiciona-se uma camada adicional de segurança às credenciais primárias (nome de usuário e senha) com mecanismos adicionais que aumentam a garantia da identidade do usuário.

É aqui que entram em jogo as tecnologias MFA ou Multiple Factor Authentication , ou como também é conhecido como 2FA ou (Second Factor Authentication) e, em alguns casos, como autenticação em duas etapas.

Esta tecnologia baseia-se na autenticação do utilizador em várias áreas:

• Algo que eu sei: Nome de usuário e senha o autenticação primária
• Algo que eu tenho: mecanismo de fator duplo, por exemplo, um paskey yubikey o la chave Swissbit iShield FIDO2
• Algo que eu sou: Biometria

Uma vez que esses mecanismos tenham sido superados com sucesso, o usuário pode ser considerado um usuário confiável.

Estabelecer Confiança no Dispositivo de Acesso

A partir deste momento, quando Zero Trust adiciona mais camadas de segurança, o próximo é garantir que o dispositivo de acesso cumpra determinadas políticas de acesso adaptáveis ​​que reduzem o risco de violações causadas por vulnerabilidades em sistemas operacionais e softwares relacionados.

Neste ponto, sugere-se que vários aspectos sejam avaliados para dar confiança a um dispositivo, tais como:

• Localização : geolocalização ou redes das quais você acessa
• Saúde: status das atualizações do sistema operacional, software relacionado e posturas de segurança definidas
• Propriedade: em ambientes BYOD (Bring Your Own Device) é saber se o dispositivo de acesso é de propriedade da organização (corporativa) ou do colaborador (pessoal)

Acesso Seguro a Todos os Aplicativos

Ao aumentar a granularidade das políticas de acesso, a Zero Trust recomenda reduzir a área de superfície de exposição limitando o acesso a cada aplicativo apenas aos usuários ou grupos que exigem acesso a esse aplicativo.

Conclusões

O Zero Trust Network Access veio para ficar, e a complexidade de suas implementações é diretamente proporcional à complexidade da infraestrutura de TI, serviços e ativos a serem protegidos.

Por isso é necessário optar por soluções ZTNA cujos métodos de implementação sejam rápidos e com baixo TCO ou Custo Total de Propriedade.

É quando a solução Zero Trust da Cisco, Duo Security, surpreende a todos e assume a liderança com facilidade.

Neste Blog tenho investido muitos artigos que sustentam o que estou dizendo de forma prática, por isso convido você a consultá-los.

Referências:

• Rose, S., Borchert, O., Mitchell, S., Connelly, S. (agosto de 2020). Publicação Especial NIST 800-207 – Arquitetura de Confiança Zero, NIST. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf
• Duo Security, Segurança Zero Trust para a Força de Trabalho . https://duo.com/solutions/zero-trust-security