Nas agências federais dos EUA, este é o momento certo para adotar o Zero Trust

Bill ChurchCTO de Campo – Governo Federal

O desafio cada vez maior de proteger dados críticos, especialmente em uma era de ambientes de trabalho móveis e baseados em nuvem, tem levado um número crescente de órgãos federais a adotar um modelo de segurança de Confiança Zero que atende melhor às suas necessidades neste mundo digitalmente avançado.

De acordo com uma pesquisa recente, quase metade dos executivos de TI do governo federal relatou que suas agências estão adotando estratégias de segurança centradas na identidade, ou de Confiança Zero, para proteger seus recursos digitais. O estudo, produzido pela FedScoop e patrocinado pela Duo Security, constatou que as agências federais estão deixando de lado as táticas tradicionais de defesa do perímetro de rede e se mostrando mais abertas a um ambiente de dados sem perímetro, que utiliza ferramentas de identidade e autenticação como principal meio de acesso.

Nada evidencia melhor o avanço acelerado do Zero Trust e sua consequente adoção do que a recente Ordem Executiva sobre Segurança Cibernética, que destaca sua importância crítica, especialmente após a Casa Branca ter recentemente publicado uma versão final de sua estratégia de arquitetura Zero Trust, com o objetivo de melhorar significativamente a segurança cibernética dos sistemas das agências governamentais nos próximos anos. Essa mudança coincidiu com um aumento expressivo dos ambientes multinuvem e do trabalho remoto, dois componentes de um ambiente de trabalho moderno que o modelo Zero Trust atende muito bem.

A adoção acelerada do modelo Zero Trust, tanto por órgãos federais quanto pelo mundo corporativo em geral, coincide com a crescente percepção de que os métodos tradicionais de proteção do perímetro de uma rede já não são suficientes. Como não existe mais uma rede confiável dentro de um perímetro definido, a abordagem “Confie, mas verifique” tornou-se obsoleta. Em vez disso, as equipes federais de segurança precisarão seguir três princípios mais eficazes:

• Nunca confie — exceto quando usuários e endpoints realmente conquistarem essa confiança.
  
  
• Sempre verifique — uma diretriz que se aplica à análise de contexto, aplicação, localização e comportamento, bem como a outros componentes necessários para definir uma abordagem baseada em riscos e adequada à atividade do endpoint.
  
  
• Monitore continuamente, tendo em mente que não basta autenticar apenas uma vez e presumir que, a partir daí, o risco permanecerá baixo. Somente a autenticação contínua garantirá a segurança permanente.

Recentemente, a F5 foi selecionada como um dos 18 fornecedores que colaborarão com o NCCoE do NIST no Projeto de Implementação de uma Arquitetura Zero Trust para desenvolver abordagens práticas e interoperáveis para projetar e criar arquiteturas Zero Trust. Nossa ampla experiência de trabalho com as principais organizações federais na linha de frente da adoção de Zero Trust ajuda a solucionar essas questões importantes. O amplo portfólio de segurança de aplicações da F5 abrange quatro pontos de controle essenciais em uma arquitetura Zero Trust, conforme descrito abaixo:

Endpoints: acesso confiável a aplicativos

F5 Labs relatou que as violações relacionadas ao acesso em 2020 representaram a maior proporção das causas conhecidas de violações, com 34%. Uma solução de acesso confiável a aplicações é essencial em uma era em que as violações relacionadas ao acesso estão aumentando.

F5 BIG-IP Access Policy Manager (APM) oferece autenticação moderna para todos os aplicativos, simplificando e centralizando o acesso a aplicativos, APIs e dados, independentemente de onde os usuários e seus aplicativos estejam localizados. Seja o aplicativo local ou na nuvem, o resultado é uma melhor experiência para o usuário, com SSO e uma experiência consistente em um ambiente mais seguro que utiliza a arquitetura Zero Trust.

Com o Identity Aware Proxy (IAP), o APM implementa a validação do modelo Zero Trust, protegendo todas as solicitações de acesso a aplicativos. Em órgãos federais, o processo de autenticação de usuários privilegiados começa com o APM exibindo ao usuário um aviso do governo dos EUA, que deve ser aceito antes de prosseguir com a autenticação. O APM também solicita credenciais fortes ao usuário por meio de diversas opções, como verificá-las em uma Lista de Revogação de Certificados ou em um servidor do protocolo OCSP (Online Certificate Status Protocol), para garantir que as credenciais não tenham sido revogadas.

Depois que o usuário privilegiado recebe permissão para acessar o sistema, o APM consulta atributos adicionais para determinar quais recursos ele pode acessar. Há também vários recursos avançados para garantir a integridade do cliente, como verificar se ele está usando Equipamento Fornecido pelo Governo (GFE), se está em conformidade com o Sistema de Segurança Baseado em Host (HBSS) e/ou se está executando um sistema operacional compatível.

Infraestrutura de rede: segurança de aplicações

A infraestrutura de rede é necessária para garantir que os aplicativos estejam seguros e disponíveis para implementar o modelo Zero Trust. F5 Labs pesquisa revela que quase 90% dos carregamentos de páginas são criptografados com SSL/TLS, o que significa que a criptografia se tornou a norma atualmente. Ainda assim, as ameaças criptografadas persistem. Na verdade, é comum que invasores usem criptografia para ocultar cargas maliciosas e contornar controles de segurança.

Considere uma solução de visibilidade SSL para eliminar ameaças, fornecendo descriptografia/criptografia robusta do tráfego SSL/TLS de entrada e saída com controle centralizado de criptografia. Essa solução deve oferecer orquestração baseada em políticas para eliminar pontos cegos e permitir visibilidade econômica em toda a cadeia de segurança, independentemente da topologia de rede, do dispositivo ou da aplicação.

Aplicações: segurança da camada de aplicação para a proteção da agência

Nossa pesquisa da F5 Labs pesquisa revela que as organizações implantam, em média, 765 aplicativos. Com tantos alvos em potencial à disposição dos cibercriminosos, as agências precisarão permanecer vigilantes na proteção desses aplicativos como parte de sua estratégia de Confiança Zero.

Suas soluções de segurança da camada de aplicação — estejam os aplicativos na nuvem, no ambiente local, sejam baseados em SaaS ou totalmente gerenciados — devem oferecer segurança na aplicação ou próximo a ela e proteger a pilha de aplicações em uma arquitetura Zero Trust.

Suas soluções de WAF para órgãos federais também devem oferecer proteção contra ataques de DoS na camada 7, usando análise comportamental para monitorar continuamente a integridade dos aplicativos. Outros recursos devem incluir proteção de credenciais para impedir o acesso não autorizado a contas de usuários e proteger os aplicativos contra ataques a APIs.

Serviço de identidade: parcerias

Considere implantar uma solução de um fornecedor que tenha parcerias sólidas e consolidadas com organizações como Microsoft, Okta e Ping. Ao integrar soluções confiáveis de acesso a aplicativos com esses provedores de identidade como serviço (IDaaS), você elimina a lacuna de identidade entre aplicativos baseados em nuvem, SaaS, personalizados e essenciais para as operações, oferecendo aos usuários uma experiência de acesso unificada e segura.

Da mesma forma, os órgãos federais precisam desenvolver parcerias sólidas para garantir uma implementação bem-sucedida do Zero Trust. Convidamos você a entrar em contato conosco para obter o conhecimento especializado e as soluções de que precisa. Nosso objetivo é ajudar sua organização a migrar para o Zero Trust da forma mais simples possível, para que possa começar a aproveitar os benefícios em prol do aprimoramento do órgão.

Bill Church
Diretor de Tecnologia – F5 US Federal Solutions

(Uma versão anterior deste conteúdo foi publicada no final de 2020. Atualizada no início de 2022.)

Sobre o autor

Bill ChurchCTO de Campo – Governo Federal

Mais publicações de Bill Church