O que é confiança zero?

Confiança zero é uma abordagem para projetar arquiteturas de segurança com base na premissa de que toda interação começa em um estado não confiável. Isso gera um contraste com as arquiteturas tradicionais, que podem determinar a confiabilidade com base no fato de a comunicação começar dentro de um firewall. Mais especificamente, a abordagem de confiança zero tenta eliminar falhas nas arquiteturas de segurança que dependem de modelos de confiança implícitos e autenticação única.

Ela ganhou popularidade com a evolução do cenário de ameaça global, desafiando suposições já estabelecidas sobre a confiabilidade inerente das atividades dentro de uma rede. Cibercriminosos bem organizados podem recrutar fontes internas, aumentando o risco de ameaças internas, e continuar encontrando novas formas de ultrapassar a camada externa de arquiteturas tradicionais de segurança. Ferramentas sofisticadas de hackers e plataformas comercializadas de ransomware como serviço estão cada vez mais disponíveis, facilitando a operação de novos tipos de ciberterroristas e criminosos motivados por dinheiro. Todas essas ameaças têm potencial para exfiltrar dados valiosos, interromper negócios e comércios e afetar a vida humana.

Considerando esse novo cenário de ameaças, o Governo Federal dos Estados Unidos estabeleceu uma Ordem Executiva para avançar em direção a uma arquitetura de confiança zero. E muitas empresas estão avaliando os custos e os benefícios da adoção dessa abordagem.

No famoso relatório Forrester Research de 2010 sobre confiança zero, John Kindervag pediu que a abordagem comum “confiar, mas verificar” para segurança de redes fosse adaptada em uma estratégia de “verificar e nunca confiar”. Kindervag desafiou o lema predominante na época: “Queremos que nossa rede seja como um M&M, firme no lado de fora e suave no centro”. Por décadas, as empresas eram projetadas dessa maneira, com uma rede interna ou confiável (o centro suave), separada do mundo externo por um perímetro de firewalls e outras proteções de segurança (o lado firme). Indivíduos ou endpoints no perímetro, ou conectados por meios remotos, tinham um nível de confiança maior do que aqueles fora do perímetro.

Essa abordagem “firme por fora, suave no centro”, sem dúvida nenhuma, nunca foi a ideal, mas se mantém até hoje. Depois que são infiltradas, essas arquiteturas facilitam a entrada na rede interna, com usuários, dispositivos, dados e outros recursos minimamente separados. Os ataques cibernéticos se aproveitam desse design, inicialmente ganhando acesso a um ou mais endpoints ou outros ativos para depois se moverem lateralmente pela rede, explorando pontos fracos, exfiltrando informações controladas e lançando mais ataques.

Além da suscetibilidade a ataques cibernéticos sofisticados, essa arquitetura insuficiente se torna um problema quando as redes são ampliadas para incluir um grande número de endpoints, com os usuários exigindo acesso remoto a partir de mais localidades e a mais ativos com serviços mais refinados. O problema da confiança despertou mais atenção com a pandemia da Covid-19 à medida que as forças de trabalho se tornaram mais remotas, e as cargas de trabalho em ambientes de nuvem continuam a crescer.

Para gerenciar as vulnerabilidades desse ambiente, as empresas estão migrando de Redes Privadas Virtuais (VPNs), que permitem acesso seguro a toda a uma rede, para um Acesso a Rede com Confiança Zero (ZTNA) mais granular, que segmenta o acesso e limita as permissões do usuários a aplicações e serviços específicos. Essa abordagem de microssegmentação ajuda a limitar a movimentação paralela dos invasores, reduz as superfícies de ataque e controla o impacto de violações de dados. No entanto, a adoção de um modelo de confiança zero exige que as organizações adotem uma filosofia “verificar e nunca confiar” em cada aspecto da arquitetura de segurança.

As bases da segurança por confiança zero são: desperimetralização e acesso com menos privilégios, que protegem dados, ativos e serviços confidenciais de vulnerabilidades inerentes a arquiteturas de perímetros de rede e confiança implícita.

Desperimetralização: as empresas não são mais definidas por perímetros geográficos. Os usuários operam em diferentes locais e endpoints, acessando recursos de um ou mais ambientes operacionais, incluindo a nuvem e soluções do tipo Software como Serviço (SaaS), que, geralmente, não são de propriedade da organização de TI da empresa e nem controladas por ela. A desperimetralização lida com esse desacoplamento entre confiança e localização.

Menos privilégios: quando uma interação não pode herdar a confiança com base em nome e local, ela é considerada suspeita. A decisão por permitir qualquer interação torna-se uma decisão comercial que deve levar em consideração os respectivos benefícios e riscos. “Menos privilégios” se refere à prática de limitar o acesso apenas aos recursos absolutamente necessários, ou seja, “menos” privilégios para uma atividade. Cada solicitação de acesso a um recurso precisa ser validada dinamicamente, usando gerenciamento de identidades e controles de acesso baseados em risco e contexto.

A implementação de uma arquitetura de confiança zero não exige a substituição completa das redes existentes nem a aquisição massiva de novas tecnologias. Em vez disso, o framework deve fortalecer outras práticas e ferramentas de segurança já existentes. Muitas organizações já têm a base necessária para uma arquitetura de confiança zero e seguem práticas que oferecem suporte às operações diárias.

Por exemplo, os componentes essenciais que são necessários para a adoção de uma estratégia de confiança zero podem já estar presentes como parte de uma arquitetura de segurança convencional:

• gerenciamento de identidadee acesso

• autorização

• decisões automatizadas sobre políticas

• garantia de que os recursos recebem patches

• monitoramento contínuo com transações que são registradas e analisadas

• automação máxima de atividades repetitivas que são propensas a erros humanos

• uso de análise comportamental e inteligência relativa a ameaças para melhorar a segurança de ativos

De fato, a abordagem de confiança zero já vem sendo praticada em várias escalas e em uma ampla variedade de ambientes. Seus principais locatários exigem, principalmente, a aplicação de práticas de segurança e de controles organizacionais e de processos já existentes. Organizações federais americanas, como o Departamento de Defesa, o Departamento de Segurança Interna e a Comunidade de Inteligência, onde a segurança é um pilar cultural e central, já fizeram progressos significativos em relação à implementação de um modelo de segurança por confiança zero.

Para atender às demandas dos negócios e acelerar a transformação digital, muitas organizações dependem de componentes open source e ferramentas externas para desenvolver software. No entanto, possíveis invasores que tentam se infiltrar na cadeia de suprimentos de software podem comprometer a segurança das dependências e componentes open source nos primeiros estágios do ciclo de vida do desenvolvimento. Isso acaba levando a ciberataques e a atrasos nos lançamentos da aplicação. Uma abordagem de confiança zero é essencial para proteger a cadeia de suprimentos de software e assegurar que os problemas sejam detectados com antecedência, quando é mais barato corrigi-los.

Para diminuir o risco de ataques à cadeia de suprimentos, as organizações podem usar códigos open source seguros, incorporar a segurança às imagens de container, fortalecer o pipeline de CI/CD e monitorar as aplicações no runtime.

A confiança zero como um modelo de segurança é muitas vezes descrita em termos abstratos, ao contrário de modelos de acesso controlado mais formalizados, como o Bell-LaPadula. Há diferentes conjuntos de componentes adotados por diferentes grupos ou organizações padrão. Um conjunto típico de componentes seria:

• Uma fonte única de identidade para usuários e entidades (NPEs)

• Autenticação de usuários e máquinas

• Contexto adicional, por exemplo, conformidade com políticas e integridade dos dispositivos

• Políticas de autorização para acesso a uma aplicação ou um recurso

• Políticas de controle de acesso a um app

Esses componentes se concentram em grande parte em como implementar identidades com base em políticas de acesso com um padrão “negar todos” e “permitir por exceção”.

Para aderir aos princípios da confiança zero, os limites de confiança devem ser os mínimos possíveis. Por definição, dentro do limite, os indivíduos são confiáveis, e controles de acesso devem ser omitidos, ignorados ou limitados. Como a autorização deve ser aplicada apenas a níveis funcionais da empresa, qualquer limite que permita acesso a outras funções deve ser restringido.

Nem todos os limites de segurança em uma arquitetura de sistemas precisam seguir os critérios de um limite adequado de confiança zero. Esses limites comuns, tais como filtragem de endereços IP indesejados, permissão para certos protocolos acessarem uma rede ou limitação do uso das redes sociais, podem se sobrepor à confiança zero e ainda desempenhar algum papel na estratégia de segurança. No entanto, a principal diferença na adoção de confiança zero é que limites comuns não fazem parte do cálculo da confiança como eles podem ter em arquiteturas de rede tradicionais. Apenas os limites que atendem aos princípios da confiança zero devem desempenhar um papel no cálculo da confiança.

A confiança zero exige que a separação entre indivíduos distintos seja sempre mantida; ou seja, há sempre um limite de confiança entre quaisquer dois indivíduos e, consequentemente, cada interação requer autenticação multifatorial (MFA) e autorização direta. Não há confiança implícita quando dois indivíduos estão na mesma rede (um cenário muito comum), sem disponibilidade no mesmo local físico e sem fazer parte da mesma linha de negócios ou sistema integrado.

Um modelo de segurança de confiança zero trabalha aplicando esses limites de confiança. Normalmente, isso é feito interpondo um ponto de aplicação entre todas as possíveis interfaces com todos os recursos. À medida que essas interações mudam ao longo do tempo, o mesmo acontece com as identidades, os estados dos recursos e outros aspectos de um sistema. Essa mudança contínua exige uma avaliação igualmente contínua e monitoramento de identidades e recursos e aplicação adaptável de autenticação e autorização.

Ainda há muitas áreas nas quais esses princípios básicos são muitos limitados para serem implementados. O uso contínuo de tecnologia legada, processos empresariais imaturos ou baixa prioridade de segurança como uma função essencial para os negócios são todos desafios comuns.

Em geral, a confiança zero exige uma mudança de mentalidade dos líderes e dos profissionais de segurança. OS líderes precisam avaliar o risco de manter as arquiteturas de segurança existentes e desatualizadas. Profissionais das áreas de TI e tecnologia operacional (OT) precisam identificar como aproveitar os investimentos já existentes para reduzir o custo da implementação da confiança zero e quando priorizar novos investimentos. No entanto, o fato é que alguns protocolos e dispositivos nunca serão de confiança zero. Nesses casos, a decisão a ser tomada é se eles devem ser substituídos ou mantidos. Além disso, se alguns sistemas não englobam totalmente uma abordagem de confiança zero, os profissionais de OT devem se perguntar quais são os controles de mitigação e se controles de segurança alternativos podem ser aplicados para reduzir ainda mais a exposição.

A mudança para “negar por padrão” ou “verificar sempre”, a premissa básica da confiança zero, exige comprometimento por parte das equipes com implementação e manutenção ao longo do tempo e a garantia de que nenhuma parte da organização tentará contornar a arquitetura de confiança zero criando ofertas de “shadow IT”.

A Red Hat pode ajudar você a começar a adotar a arquitetura de confiança zero. Inicialmente, as empresas precisam compreender e se comprometer com a implementação da confiança zero. A conscientização cibernética geral é um pré-requisito importante para os stakeholders: entender a natureza atual dos ambientes de ameaça e como as práticas de segurança existentes são importantes, mas incompletas se não seguirem os princípios da confiança zero. A Red Hat oferece opções para esse treinamento e formação com experiências personalizadas disponibilizadas nos Red Hat Open Innovation Labs ou em outros compromissos especializados do Red Hat Services.