Zero trust é um dos termos (ou expressões) mais comentados no mundo da tecnologia atualmente. Foi considerada a terceira tecnologia mais empolgante em nossa pesquisa State of Application Strategy 2022 e desperta grande interesse em todos os níveis da organização.
Uma das verdades pouco reconhecidas sobre a confiança zero é que ela é, na verdade, uma mentalidade, e não uma tecnologia ou solução. É por isso que sempre volto à nossa principal convicção sobre confiança zero:
“Acreditamos que a segurança de confiança zero é, em sua essência, uma mentalidade — um sistema de crenças — da qual surgem técnicas e táticas que utilizam tecnologias específicas, que podem então ser aplicadas para lidar com um amplo espectro de ameaças à segurança.”
É por isso que é importante revisitar a Regra Zero de Segurança.
Para quem não conhece o conceito de “Regra Zero”, ele vem dos jogos de RPG, nos quais as regras desempenham um papel importante. Elas determinam a ordem das interações, a interpretação das rolagens de dados e o que você pode ou não fazer. Assim como no mundo real. Mas, nos jogos de RPG, existe uma Regra Zero, que se sobrepõe a todas as outras: “o mestre é a autoridade final sobre tudo o que acontece no jogo.” Isso significa, basicamente, que o mestre pode alterar, acrescentar e remover regras a qualquer momento. E, acredite, isso acontece com frequência.
Pode ser uma surpresa para algumas pessoas saber que a segurança tem uma Regra Zero, que é a seguinte:
“Jamais confiarás na entrada do usuário. Em hipótese alguma.”
Esta não é uma regra nova; ela já foi destacada muitas e muitas vezes, e já escrevi diversas vezes sobre ela para lembrar que é um princípio fundamental das melhores práticas de segurança. O descumprimento dessa regra leva a vulnerabilidades que podem resultar em explorações perigosas e generalizadas.
A Regra Zero de Segurança continua relevante hoje — talvez mais do que nunca. Com a proliferação das APIs e a explosão dos serviços digitais, há mais bots, scripts e agentes mal-intencionados do que nunca. E, embora o preenchimento de credenciais continue sendo uma das principais técnicas de ataque, não faltam notícias sobre explorações que se aproveitam de serviços digitais e APIs que não seguem a Regra Zero de Segurança.
Confiar na entrada do usuário é algo totalmente contrário ao próprio conceito de confiança zero. Nenhuma entrada do usuário — seja ele uma pessoa, um software ou um sistema — deve ser considerada segura para processamento sem antes ser inspecionada. Ponto. Sem discussão.
Um dos princípios fundamentais — uma das premissas — da confiança zero é presumir que houve comprometimento. O comprometimento pode significar a presença de malware ou o controle por um agente mal-intencionado. Esse é o estado do sistema. A consequência é que os dados — as mensagens — provenientes desse sistema podem ser maliciosos.
Logo, portanto e por conseguinte, você nunca deve confiar em nenhuma entrada fornecida por um usuário. Ponto final.
Como mencionado acima, essa regra básica leva a táticas (inspeção) e tecnologias (WAAP, WAF, NGF) que podem ser usadas para detectar e neutralizar uma grande variedade de ataques.
A Regra Zero de Segurança é um componente essencial da confiança zero. Sua adoção resultará em táticas mais eficazes e em uma segurança mais robusta para todos.
Mantenha-se seguro por aí.
Sobre o autor
Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.
Mais publicações de Lori Mac VittiePublicações relacionadas no blog
O estado da maturidade digital empresarial: a transformação digital ainda não terminou
Explore como a IA impacta as empresas, as aplicações da IA generativa, as estratégias para modernizar as operações de TI e os benefícios da maturidade digital com a F5.
Como a IA generativa acelera a transformação digital
Veja como a IA generativa impulsiona a transformação digital nas empresas, acelerando tendências como a integração de APIs, os desafios dos modelos operacionais de TI híbrida e a adoção de AIOps.
Seis capacidades técnicas para acelerar a transformação digital
As arquiteturas empresariais atuais carecem dos fatores necessários de agilidade, escalabilidade, segurança e observabilidade, essenciais para impulsionar a mudança tecnológica. No entanto, estas seis capacidades fundamentais ajudarão as empresas a gerenciar riscos e desafios ao longo de sua transformação digital.
Inverter a API é a transformação digital de que as empresas precisam para participar e competir em uma economia de APIs
As organizações detêm um valor latente — na forma de APIs internas — que precisam explorar para competir em uma economia de APIs. Embora os desafios técnicos e de segurança possam desestimular algumas delas, as empresas precisam reconhecer que inverter suas APIs permitirá liberar o valor da organização como plataforma.
A modernização da TI começa pela infraestrutura
O hardware e o software evoluíram rapidamente desde os primórdios da internet, mas, para aproveitar ao máximo os benefícios resultantes dessa evolução, as organizações precisam avaliar e modernizar sua infraestrutura e a entrega de aplicativos. Acelere os esforços de modernização com a nova F5 rSeries.