A era da rede corporativa e de um único perímetro de segurança está chegando ao fim. Progressivamente, mais e mais usuários estão trabalhando remotamente, realizando suas tarefas através da Internet pública. O aumento dos aplicativos Software como Serviço (SaaS), plataformas na nuvem e outros serviços baseados na nuvem diluiu a eficácia de uso da rede como elemento básico para proteger um recurso. Não podemos mais contar apenas com uma rede corporativa hermética e única e simplesmente confiar em todos os sistemas que residem nela.
Assim, chega o Zero Trust: uma filosofia sobre como pensar sobre a segurança e como concretizar a segurança. Zero Trust é um conceito baseado no princípio “confie, mas confira” que foca na proteção dos recursos, independentemente de onde estão física ou digitalmente, e se atém a nunca confiar em nada.
Nenhum fornecedor, produto ou tecnologia lhe dará a confiança plena que o conceito implica. Melhor dizendo, seria necessária uma guinada cultural e muitas soluções diferentes para mudar os paradigmas que formam o arsenal de segurança dos nossos recursos. Este artigo fala sobre o conceito Zero Trust, os benefícios de implementar um modelo Zero Trust, e descreve os passos que as organizações precisam seguir para fazer a transição para essa nova era.
O que é Zero Trust?
Zero Trust é uma filosofia e um modelo de como pensar sobre segurança e como colocá-la em prática.
Nada nem ninguém deve ser classificado como confiável à primeira vista, seja dentro ou fora da sua rede corporativa – nem a própria rede. A confiança implícita baseada na localização da rede, com defesas estáticas como um firewall tradicional, deve ser limitada.
Ocasionalmente, precisamos confiar em algo, mas com o Zero Trust, essa confiança é temporária e é estabelecida dinamicamente a partir de múltiplas fontes de dados – mais do que já usamos no passado, sendo constantemente reavaliada.
Temos bastante experiência com rede não confiáveis através do nosso uso diário da Internet. Computadores que encaram a Internet pública são protegidos de uma maneira muito diferente daqueles dentro desse perímetro tradicional, o que exige escrutínio e camadas extras de defesa para protegê-los contra ameaças externas.
O modelo Zero Trust o orienta a tratar todos os dispositivos como se interagissem diretamente com a Internet, em lugar de operar dentro de um único perímetro, e você deve criar microperímetros, aplicando verificações e controles ao redor de tudo e entre tudo.
Os benefícios básicos de adotar o Zero Trust
Adotar o modelo Zero Trust traz inúmeros benefícios, e, para facilitar a vida, selecionamos alguns dos principais.
-
Controle de todo o patrimônio de TI
Partindo de dentro do escritório e percorrendo todas as plataformas da nuvem que você usa. Assim não há mais falta de controle fora do perímetro corporativo ou contendas com usuários remotos. -
Gerenciar e proteger todos os usuários da mesma forma
Sem olhar e classificar algo como dentro ou fora do perímetro corporativo, você pode tratar todos os usuários da mesma forma. Além de simplificar a segurança de TI, isso também garante que todos os dispositivos e usuários sejam tratados igualmente. -
Manter a segurança mesmo quando você não tem controle total da infraestrutura em uso
Ao usar identidade, localização, integridade do dispositivo e autenticação MFA, e sobrepor monitoramento e análise, você continua capaz de ter segurança robusta em todo e qualquer tipo de ambiente, plataforma ou serviço. -
Redução drástica no movimento de malware ou invasores
Ao invés de manter as rédeas de toda a rede depois de se infiltrarem, os invasores só têm acesso ao mínimo de sistemas que o usuário comprometido tinha acesso. Ao desconfiar continuamente do usuário autenticado, as verificações serão aplicadas entre esses sistemas, limitando ainda mais a capacidade de disseminação.
Um resumo do Zero Trust
Zero Trust é uma grande ideia, e muito se fala sobre o assunto. Em sua essência, podemos condensar os principais conceitos de Zero Trust em vários provérbios, que você deveria sempre se lembrar conforme segue a sua jornada.
Não existe “dentro” da rede
Façamos de conta que você está operando o seu negócio inteiramente de localidades não confiáveis, como Wi-Fis públicos, e que todos os seus dispositivos estão conectados diretamente à mais perigosa de todas as redes: a Internet pública. Imaginando que essa seja a sua realidade, você se vê forçado a aplicar a segurança de forma a nunca poder ficar por trás de um perímetro corporativo tradicional.
Confie, mas confira
Partamos do pressuposto de que os invasores estão dentro e fora de nossas redes e de que estão presentes o tempo todo, em constante ataque. Nenhum usuário ou dispositivo deveria ser automaticamente confiado e se autenticar antes que uma conexão possa ao menos ser cogitada.
A segurança deveria se adaptar em tempo real
As políticas de segurança que você coloca em vigor para atingir o Zero Trust deveriam ser dinâmicas e mudar automaticamente com base em insights provenientes de muitas e diferentes fontes de dados, das mais diferentes tecnologias possíveis. Uma política estática não o protegerá se o dispositivo foi comprometido enquanto tal usuário estava em tal dispositivo. Se a sua política também considerou a integridade do dispositivo, como a identificação de comportamentos maliciosos, ela poderia usar isso para se adaptar dinamicamente à situação.
Princípios do Zero Trust
Não confie em nada. Nunca. Quando você não confia, se vê forçado a buscar medidas relevantes de segurança sempre que houver algum risco.
Confira tudo. Não pense que uma simples conferência gera confiança. Ter credenciais não significa ser de confiança. Significa apenas que você tem credenciais. E credencias podem ser roubadas.
Podemos dividir isso em quatro princípios básicos para manter em mente.
Sempre identifique
Você precisa de uma fonte única e competente de identidade e sempre utilizá-la com logon único (SSO). Tudo deve ser autenticado, com autenticação multifator (MFA). Não importa onde o usuário se encontra ou o que está tentando acessar, valide suas credenciais, valide o segundo (ou terceiro) fator e, regularmente, exija a reautenticação.
Sempre controle
Aplique controles e verificações sempre que necessário e adote e execute o princípio do privilégio mínimo – os usuários devem ter acesso apenas ao básico de que precisam para realizar seus trabalhos. Se houver um sistema de recursos humanos usado apenas por funcionários na Alemanha, só a equipe alemã deverá ter acesso a ele. Ninguém mais deveria ter acesso, mesmo que o risco de ter tal acesso seja irrisório.
Sempre analise
Simplesmente porque a autenticação teve êxito, ou o acesso foi concedido a determinado usuário ou dispositivo, isso não significa que seja confiável. Ameaças internas e maus elementos podem pôr as mãos em credenciais válidas. Grave toda a atividade da rede e do sistema e regularmente analise e inspecione para verificar o que ocorre após a autenticação. SIEM (Security Information and Event Management), EDR (Endpoint Detection and Response), bem como MDR (Managed Detection And Response) surgiram exatamente para cumprir esse propósito.
Sempre proteja
Use uma abordagem à segurança cibernética “de dentro para fora”. Você deveria focar nos seus dados importantes e cuidar deles, identificando pontos de vulnerabilidade na jornada de seus dados pela rede do momento que são criados até o momento que são destruídos.
Assim que tiver capturado a essência e os princípios do Zero Trust, você pode começar a jornada em sua direção. Você pode ler sobre isso na versão PDF estendida do artigo.
A tecnologia Zero Trust
Você precisa de um grande volume de tecnologias para proteger todos os recursos e ativos que tem na rede. Nenhum fornecedor, produto ou tecnologia resolverá todos os seus problemas.
A tecnologia Zero Trust precisa atender duas áreas principais: o gerenciamento do Zero Trust e a segurança e controle dos seus vários recursos e ativos.
Gerenciamento se divide em três subáreas:
-
Automação e orquestração – por definição são políticas dinâmicas que coordenam todas as diferentes tecnologias e colocam tudo em seu devido lugar
-
Visibilidade e análises – para supervisão de manutenção da rede, assegurando que esteja tudo funcionando, bem como identificar ameaças e violações se ou quando ocorrerem
-
APIs – para integração de suas várias tecnologias, retirando dados de um sistema e colocando em outro
Recursos e ativos se dividem em cinco subáreas:
-
Pessoas – os usuários, administradores e outros que trabalham na sua empresa ou para ela
-
Dados – a força vital de todas as organizações e talvez o ativo mais importante a proteger
-
Dispositivos – os servidores, laptops, máquinas virtuais, etc. que você usa para realizar seus negócios
-
Cargas de trabalho – os serviços e aplicativos que você usa para processar dados, realizar cálculos, gerar relatórios, etc.
-
Redes – os canais de comunicação pelos quais fluem dados, web, e-mail, Wi-Fi, Internet e assim por diante
Como a Sophos pode ajudar
Um único fornecedor não pode levar a sua organização ao modelo Zero Trust, mas a Sophos tem uma ampla linha de tecnologias para ajudar você a chegar lá.
O gerenciamento do Zero Trust
Sophos Central, a nossa plataforma de segurança cibernética nativa na nuvem, lhe permite gerenciar o seu ambiente Zero Trust. Ele coordena todas as suas tecnologias em um único painel, oferecendo uma visão total de todas as tecnologias em um só lugar e APIs para interconectá-las a quaisquer outras tecnologias de terceiros.
Você pode ainda trabalhar com um SIEM para agregar logs de seus produtos Sophos e não Sophos para facilitar a supervisão total do que está acontecendo. Nossas APIs facilitam mover informações de nossa plataforma Sophos Central para os SIEMs que você estiver usando.
Controlado através do Sophos Central, o Sophos Synchronized Security também desempenha um papel importante aqui. Com a Segurança Sincronizada ativada, as soluções Sophos compartilham informações entre elas e respondem automaticamente a incidentes. No contexto Zero Trust, as soluções são capazes de se adaptar aos cenários por meio de políticas dinâmicas e automatizar tarefas complexas, como isolar máquinas por exemplo.
Segurança e controle de recursos e ativos
Muitos dos nossos produtos o ajudam a proteger vários recursos e ativos simultaneamente, o que de forma alguma significa que você não possa implantar apenas uma tecnologia e seguir o seu caminho. Proteger as pessoas, por exemplo, requer um grande volume de diferentes tecnologias como parte de uma rede Zero Trust arquitetada com resiliência.
Cloud Optix
pode ajudar a proteger dados, dispositivos, cargas de trabalho e redes na nuvem pública.
Phish Threat
pode ajudar você a proteger o seu pessoal.
SafeGuard
pode ajudar a proteger os seus dados.
Sophos Wireless
pode ajudar a proteger as suas redes.
Intercept X
pode ajudar a proteger todos os seus recursos e ativos.
Managed Threat Response (MTR)
pode ajudar a proteger todos os seus recursos e ativos.
XG Firewall
pode ajudar a proteger todos os seus recursos e ativos.
Sophos Mobile
pode ajudar a proteger seus dispositivos, seus dados e o seu pessoal.
Intercept X for Server
pode ajudar a proteger dispositivos e cargas de trabalho.
Secure Web Gateway
pode ajudar a proteger redes e cargas de trabalho.
Sophos Email
pode ajudar a proteger suas redes e cargas de trabalho.
Sophos Home
pode ajudar a proteger o seu pessoal.
Empregar essas tecnologias colocará você em posição de vantagem para mudar para o modelo Zero Trust. Contudo, para capacitar seus usuários a usarem os serviços da nuvem onde estiverem, você precisará também de uma solução IAM sólida em operação com SSO para usar a sua fonte competente de identidade em todos os seus sistemas e serviços. Isso é uma parte essencial do Zero Trust.
Conclusão
Da maneira como é vista, Zero Trust é uma filosofia voltada à segurança cibernética com apenas alguns poucos prontos para abarcá-la. Contudo, os perímetros de segurança estão se desgastando pouco a pouco, e a necessidade de adoção aumentando e ficando cada vez mais predominante. Os criminosos cibernéticos estão ficando mais e mais inovadores, enquanto as defesas correm atrás com dificuldade para tentar manter o ritmo. O modelo Zero Trust representa uma forma real de minimizar ameaças ao mesmo tempo em que define novos padrões em protocolo de segurança cibernética.
É hora de pensar diferente. É hora de evoluir.
Gerencie o seu ambiente Zero Trust com o Sophos Central
Comece uma avaliação gratuita de 30 dias para ver como o Sophos Central pode se encaixar nos seus planos de Zero Trust.
Ele também funciona como porta de entrada a todos os nossos produtos.
-
Painel unificado – gerencie todos os produtos Sophos a partir de uma única interface baseada na Web.
-
Todos os produtos – obtenha nosso pacote completo, que inclui proteção de endpoint, firewall, e-mail, mobilidade e servidor. Experimente tudo o que quiser gratuitamente por 30 dias. Não é necessário usar cartão de crédito. Não há renovações automáticas.
-
Acesso instantâneo – você vai estar pronto em minutos. Os produtos Sophos trabalham em conjunto com os seus outros fornecedores.