Hoje, a confiança zero é a nova tendência do momento à qual todos querem estar associados. Ela está entre as três tendências “mais empolgantes” identificadas pelo nosso relatório State of Application Strategy 2022 e tem mantido um alto nível de interesse no Google Trends ao longo dos últimos doze meses.
O resultado é que a confiança zero se tornou uma das abordagens de segurança mais comentadas — e mal compreendidas — desde que o conceito de “shift left” entrou em cena. Com muita frequência, a confiança zero é equiparada a uma tecnologia específica, como o perímetro definido por software (SDP), ou a um segmento de mercado, como o gerenciamento de identidades e acessos (IDAM).
Isso não chega a ser surpreendente. Quando a computação em nuvem foi introduzida, vimos a mesma pressa em associar tecnologias ou produtos específicos à “nova tendência do momento”. O cloud washing era uma prática recorrente, e o termo era frequentemente usado de forma pejorativa para questionar até que ponto um novo produto realmente era “de nuvem”.
Portanto, convém começar com uma definição de confiança zero. Para isso, vou citar meus colegas Ken Arora e Mudit Tyagi, que já publicaram um excelente guia sobre esse tema:
"Acreditamos que a segurança de confiança zero é, em sua essência, uma mentalidade — um sistema de crenças — da qual surgem técnicas e táticas que utilizam tecnologias específicas, podendo então ser aplicadas para lidar com um amplo espectro de ameaças à segurança."
Este é um ponto importante, por isso vou repeti-lo: a segurança de confiança zero é, em sua essência, uma mentalidade.
Essa mentalidade engloba um conjunto de premissas, e os usos das tecnologias são consequências dessas premissas.
Isso significa que implementar uma tecnologia como SDP ou segurança de APIs não quer dizer que você adotou o modelo de confiança zero. Não existe um único produto que, ao ser implementado, torne sua organização subitamente “em conformidade com a confiança zero” e, portanto, imune a ataques, violações ou explorações de vulnerabilidades.
O que é verdade é que o SDP e a segurança de APIs podem, de fato, ser uma resposta tática adequada à adoção de uma abordagem de confiança zero. Mas, para chegar lá, é preciso partir de algumas premissas fundamentais e então decidir quais são as melhores ferramentas e tecnologias que decorrem logicamente delas.
Para explicar melhor, vamos analisar alguns exemplos que, como diz o título, nos levam a concluir que a proteção contra bots e a segurança da Web e de APIs fazem parte do conjunto de ferramentas de “confiança zero”.
- Uma abordagem de confiança zero pressupõe comprometimento. Usuários legítimos com acesso autorizado podem, de fato, estar comprometidos e, portanto, representar uma ameaça involuntária — e muito onerosa. Os invasores sabem que geralmente é mais fácil entrar pelas janelas (usuários) do que pela porta da frente (rede corporativa). Os usuários estão constantemente sob o risco de comprometimento e, por isso, presumir que eles já estão comprometidos é a opção mais segura possível. São muitas as possíveis ações realizadas a partir de um laptop corporativo ou celular comprometido, incluindo o lançamento de ataques contra sites e aplicativos que tentam disseminar softwares nocivos (como malware, ransomware e qualquer que seja a próxima ameaça) ou explorar vulnerabilidades para obter acesso. Como as APIs estão se tornando cada vez mais “o meio” pelo qual aplicativos móveis e baseados na web acessam aplicativos e sistemas corporativos, é importante inspecionar o conteúdo proveniente até mesmo de usuários legítimos e autenticados para determinar se ele é malicioso. Isso torna a segurança de aplicações web e APIs uma escolha lógica para implementar proteção contra esse risco.
- Uma abordagem de confiança zero pressupõe que as credenciais não são suficientes. Seja o usuário uma pessoa, uma máquina ou um software, uma abordagem de confiança zero pressupõe que, mesmo que sejam apresentadas credenciais legítimas, o usuário real pode não ser legítimo. Afinal, o preenchimento de credenciais continua sendo uma preocupação, pois utiliza credenciais legítimas, porém roubadas. Sabe-se que, em média, um milhão de nomes de usuário e senhas são divulgados ou roubados todos os dias. Uma análise da F5 conclui que entre 0,5% e 2% das credenciais de qualquer lista proveniente de um vazamento serão válidas em um site ou aplicativo móvel visado. Portanto, uma abordagem de confiança zero deve tomar medidas para verificar não apenas as credenciais, mas a própria identidade do usuário. Isso inclui identificar bots que se passam por usuários legítimos. Na prática, isso faz com que a proteção contra bots — também chamada de detecção de bots — desempenhe um papel importante em uma abordagem de confiança zero.
- Uma abordagem de confiança zero pressupõe que a mudança é constante. A confiança zero rejeita a suposição de que não há riscos depois que um usuário é verificado e o acesso a um recurso é autorizado. Toda transação é considerada arriscada e avaliada com base no conteúdo que carrega e no usuário que a envia. O sequestro de sessão é um método de ataque real, afinal. A vigilância constante é (ou deveria ser) o lema da confiança zero, o que implica estar sempre atento a conteúdo malicioso. Isso torna a segurança da Web e de APIs, juntamente com a detecção de bots, componentes essenciais de uma abordagem de confiança zero.
Essa abordagem também leva a outras ferramentas e tecnologias, como SDP, gerenciamento de identidades e controle de acesso, firewalls de rede e CASB, além de uma série de outras soluções que mitigam riscos conhecidos decorrentes naturalmente dessas premissas. Mas não basta implementar apenas uma delas e considerar concluída sua iniciativa de confiança zero. Seria como tomar Tylenol para tratar uma perna quebrada em vez de procurar um médico. Sim, ele alivia a dor, mas não resolve de fato o restante do problema.
Adotar o zero trust como uma mudança de mentalidade que leva à mitigação não é uma solução perfeita — nenhum método é —, mas ajudará você a avançar rumo a uma maior capacidade de adaptação e de resposta a ataques novos e emergentes com mais rapidez e eficácia.
Mantenha-se seguro por aí.
Você pode saber mais sobre como modernizar a segurança com uma abordagem de confiança zero no Capítulo 5 do nosso livro, Arquitetura empresarial para negócios digitais.
Sobre o autor
Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.
Mais publicações de Lori Mac VittiePublicações relacionadas no blog
O estado da maturidade digital empresarial: a transformação digital ainda não terminou
Explore como a IA impacta as empresas, as aplicações da IA generativa, as estratégias para modernizar as operações de TI e os benefícios da maturidade digital com a F5.
Como a IA generativa acelera a transformação digital
Veja como a IA generativa impulsiona a transformação digital nas empresas, acelerando tendências como a integração de APIs, os desafios dos modelos operacionais de TI híbrida e a adoção de AIOps.
Seis capacidades técnicas para acelerar a transformação digital
As arquiteturas empresariais atuais carecem dos fatores necessários de agilidade, escalabilidade, segurança e observabilidade, essenciais para impulsionar a mudança tecnológica. No entanto, estas seis capacidades fundamentais ajudarão as empresas a gerenciar riscos e desafios ao longo de sua transformação digital.
Inverter a API é a transformação digital de que as empresas precisam para participar e competir em uma economia de APIs
As organizações detêm um valor latente — na forma de APIs internas — que precisam explorar para competir em uma economia de APIs. Embora os desafios técnicos e de segurança possam desestimular algumas delas, as empresas precisam reconhecer que inverter suas APIs permitirá liberar o valor da organização como plataforma.
A modernização da TI começa pela infraestrutura
O hardware e o software evoluíram rapidamente desde os primórdios da internet, mas, para aproveitar ao máximo os benefícios resultantes dessa evolução, as organizações precisam avaliar e modernizar sua infraestrutura e a entrega de aplicativos. Acelere os esforços de modernização com a nova F5 rSeries.