Como implementar uma estratégia de segurança de confiança zero
Fortinet
O Trust Zero baseia-se no pressuposto de que existem ameaças constantes tanto fora como dentro da rede. O Trust Zero pressupõe também que qualquer tentativa de acesso à rede ou a uma aplicação é uma ameaça. É uma filosofia de segurança de rede que afirma que ninguém deve ser confiado dentro ou fora da rede até que a sua identidade tenha sido minuciosamente verificada. Estes pressupostos estão subjacentes à estratégia dos administradores da rede e obrigam-nos a desenvolver medidas de segurança rigorosas e sem confiança.
Existe uma noção geral de que a implementação de uma arquitectura de confiança zero requer uma revisão completa da rede. Certamente, é necessário algum levantamento pesado, mas ter o enquadramento e as ferramentas adequadas para executar é essencial para uma implementação bem sucedida. Cada ambiente necessita de uma arquitectura de confiança zero consistente. É uma mudança cultural que é muitas vezes uma mudança maior do que a mudança tecnológica. Trata-se de uma mentalidade e de um compromisso para mudar a forma como o acesso é concedido e como a segurança é garantida em toda a organização.
Uma estratégia de segurança "Confiança Zero" determina o acesso certo e os requisitos
O primeiro passo no desenvolvimento de uma arquitectura de confiança zero é decidir quem pode fazer o quê - e esta é provavelmente a tarefa mais difícil. É preciso determinar quem pode aceder a quê, com base nos recursos, para que cada indivíduo possa fazer o seu trabalho. E depois tem de se certificar de que os dispositivos que as pessoas utilizam estão devidamente seguros.
A criação do Acesso de Confiança Zero (ZTA) envolve controlos de acesso de ponta a ponta para aplicações, poderosas tecnologias de controlo de acesso à rede e fortes capacidades de autenticação. Um aspecto do Acesso de Confiança Zero que se concentra no controlo do acesso a aplicações é o Acesso à Rede de Confiança Zero (ZTNA). ZTNA alarga os princípios da ZTA para verificar os utilizadores e dispositivos antes de cada sessão de aplicação para confirmar que cumprem a política da organização de acesso a essa aplicação. ZTNA apoia a autenticação multi-factor para assegurar o mais alto nível de verificação.
A utilização do modelo de confiança zero para acesso às aplicações, ou ZTNA, permite às organizações confiar menos nos túneis tradicionais de rede privada virtual (VPN) para proteger os bens que são acedidos remotamente. Uma VPN fornece frequentemente acesso sem restrições à rede, o que pode permitir que utilizadores comprometidos ou malware se movam lateralmente na rede e explorem recursos. No entanto, a ZTNA aplica igualmente políticas, quer os utilizadores estejam dentro ou fora da rede. Assim, uma organização tem a mesma protecção, independentemente de onde um utilizador se ligue.
A implementação de uma política de segurança eficaz da ZTA deve incluir uma autenticação segura. Muitas violações de segurança resultam de contas de utilizadores e palavras-passe comprometidas, pelo que a utilização da autenticação multi-factor é crítica. Exigir aos utilizadores que forneçam dois ou mais factores de autenticação para aceder a uma aplicação ou outros recursos de rede acrescenta uma camada extra de segurança para combater as ameaças de cibersegurança.
É também importante assegurar que os utilizadores não tenham direitos de acesso inadequados ou excessivos. A aplicação da prática ZTA de "menos privilégios" como parte da gestão de acesso significa que se uma conta de utilizador for comprometida, os ciberataqueiros só terão acesso a um subconjunto limitado dos recursos da empresa. Isto é semelhante à segmentação da rede, mas numa base per-pessoal. Os utilizadores só devem ter acesso aos recursos de que necessitam para a sua tarefa específica.
Assegurar que todos os dispositivos estão seguros com Zero Trust
A segurança dos dispositivos também desempenha um papel fundamental na implementação de uma política de segurança eficaz de confiança zero. É essencial assegurar que os dispositivos que as pessoas utilizam estejam devidamente protegidos. Isto é especialmente importante à medida que os dispositivos da IdC se tornam alvos mais generalizados e maiores para os ciberataqueiros.
Como os dispositivos IoT não conseguem instalar software e não possuem características de segurança incorporadas, são essencialmente "sem cabeça". À medida que a tecnologia avançou, o mesmo aconteceu com a interconectividade dos ecossistemas da Internet das coisas com a rede corporativa e a Internet em geral.
Esta nova conectividade e a expansão de dispositivos com IP significa que os dispositivos de IOT se tornaram um alvo principal para os cibercriminosos. A maioria dos dispositivos IdC não são concebidos com a segurança em mente, e muitos não têm sistemas operativos tradicionais nem poder computacional ou memória suficiente para incorporar características de segurança.
Uma vantagem da ZTA é que pode autenticar pontos finais e dispositivos IoT para estabelecer e manter um controlo de gestão abrangente e assegurar a visibilidade de cada componente ligado à rede. Para dispositivos IoT sem fones de ouvido, as soluções de controlo de acesso à rede (NAC) podem fornecer descoberta e controlo de acesso. Utilizando políticas de NAC, as organizações podem aplicar os princípios de confiança zero de menos acesso a dispositivos IdC e conceder apenas a quantidade de acesso à rede que for necessária para desempenhar as suas tarefas. Desenvolver uma forte política de segurança de confiança zero
Quando se trata de segurança de confiança zero, é necessário desenvolver e executar um plano que assegure protocolos e políticas consistentes que são implementados em toda a rede. Independentemente de quem, onde ou o que estão a tentar aceder, as regras devem ser consistentes. Isto significa encontrar ferramentas de segurança de confiança zero que não sejam apenas para a nuvem, porque se estiver a gerir uma rede híbrida, precisa de aplicar as mesmas regras de confiança zero ao seu campus físico que aplica aos seus empregados/activos remotos. Em comparação, existem poucas organizações só de nuvens; a maioria adoptou uma abordagem híbrida, e no entanto muitos fornecedores de soluções de confiança zero estão a desenvolver soluções só de nuvens.
No último ano, as organizações começaram a depender mais dos ambientes híbridos e multi-nuvem para apoiar as suas necessidades de transformação digital em curso. Segundo um relatório recente da Fortinet, 76% das empresas inquiridas reportaram utilizar pelo menos dois fornecedores de nuvens.
Um aspecto importante a considerar são as diferenças entre cada plataforma de nuvens. Cada uma tem diferentes ferramentas e características de segurança integradas com diferentes capacidades, estruturas de comando, sintaxe e lógica. O centro de dados continua a ser um ambiente diferente. Além disso, as empresas podem migrar para dentro e para fora das nuvens. Cada nuvem oferece benefícios únicos e é importante que a organização seja capaz de utilizar as nuvens que satisfazem as suas necessidades comerciais; a ciber-segurança não deve dificultar isto. Contudo, como cada fornecedor de nuvens oferece diferentes serviços de segurança com diferentes ferramentas e abordagens, cada uma das suas nuvens torna-se um silo independente numa infra-estrutura de segurança de rede fragmentada - e não uma constelação ideal.
No entanto, se tiver uma sobreposição de segurança comum a todos estes centros de dados e nuvens, fornece uma camada de abstracção no topo de cada ferramenta que lhe dá visibilidade através das nuvens, controlo sobre elas, e a capacidade de estabelecer uma postura de segurança comum, independentemente do local de residência ou de deslocação de uma aplicação.
Consequentemente, as aplicações podem estar em qualquer lugar - no campus, numa sucursal, no centro de dados ou na nuvem. É por isso que é tão importante assegurar que a sua abordagem de confiança zero possa fornecer os mesmos protocolos, independentemente da localização física dos funcionários e da forma como estes acedem aos recursos da empresa.
Implementar uma arquitectura de confiança zero para uma segurança mais forte
Como as fronteiras da rede continuam a dissolver-se, devido em parte às tecnologias de computação de ponta e à mudança global do trabalho remoto, as organizações precisam de tirar partido de todas as vantagens de segurança que existem. Isto inclui saber como implementar uma estratégia de segurança de confiança zero. Uma vez que existem tantas ameaças, tanto externas como internas, é apropriado tratar todas as pessoas e coisas que tentam obter acesso à rede e às suas aplicações como uma ameaça. As medidas de segurança sem confiança não requerem uma revisão completa da rede, mas resultarão numa protecção mais forte da rede. Ao fazer o esforço para implementar o Acesso de Confiança Zero e os seus resultados, o Acesso de Confiança Zero à Rede, alivia a sua equipa de segurança informática de trabalho extra e aumenta significativamente o seu quociente de segurança.