O que o futuro reserva para o Zero Trust?

Erin VernaGerente Sênior Principal de Marketing de Produto | F5

Recentemente, li um artigo sobre um dos mais recentes ataques de ransomware, desta vez contra a prestadora de serviços de saúde Lehigh Valley Health Network (LVHN). Embora seja sempre preocupante ver cibercriminosos manterem os sistemas e dados de uma organização como reféns, esse ataque cibernético foi especialmente alarmante. Conforme o veículo de notícias The Register descreve o incidente:

“[O grupo cibercriminoso] BlackCat (também conhecido como ALPHV) invadiu uma das redes de médicos da Lehigh Valley Health Network (LVHN) nos EUA e roubou imagens de pacientes submetidos a tratamento de radioterapia oncológica, além de outros prontuários médicos confidenciais… A LVHN se recusou a pagar o resgate e, no início deste mês, o BlackCat começou a vazar informações de pacientes, incluindo imagens de pelo menos duas pacientes com câncer de mama, nuas da cintura para cima.”

Embora cada tentativa de extorsão possa renovar o senso de propósito de proteger melhor as redes e os dados confidenciais, o fato de que o ransomware e todas as formas de ataques cibernéticos podem causar danos duradouros e traumas psicológicos às pessoas deve servir como um importante alerta para qualquer organização que ainda não tenha iniciado uma jornada de segurança de confiança zero. Qualquer setor de infraestrutura crítica ou organização responsável por informações pessoais confidenciais deve integrar os princípios fundamentais de um modelo de confiança zero.

Provavelmente nem é preciso dizer que, se ainda não estivermos pensando alguns passos à frente do estágio atual da segurança de aplicativos, rapidamente ficaremos para trás na corrida contra os cibercriminosos e suas novas táticas de ameaça. Portanto, nunca é cedo demais para nos perguntarmos: o que o futuro reserva para o modelo de confiança zero? Como ele evoluirá para lidar não apenas com um cenário de ameaças em constante transformação, mas também com as mudanças contínuas na natureza do nosso mundo digital e dos próprios aplicativos?

Para ajudar a responder a essas perguntas, conversei com dois especialistas em segurança da F5: Ken Arora, engenheiro distinto, e Mudit Tyagi, diretor sênior de desenvolvimento de produtos.

Essa violação da LVHN realmente me fez refletir sobre como as organizações estão implementando os princípios de ZT. É quase como um momento de acerto de contas, em que um ano de monitoramento de crédito gratuito já não é suficiente para os consumidores afetados por uma violação. Você diria que hoje há muito mais em jogo para as empresas?

Mudit: É evidente que os riscos são maiores. Especialmente com hackers patrocinados por Estados, que dispõem de financiamento, recursos técnicos e tempo para pesquisar e lançar ataques altamente direcionados contra empresas e outros países. Sem falar no impacto sobre a estabilidade social em geral. Lembramos do incidente Aurora, em 2010, quando propriedade intelectual foi roubada do Google e de outras empresas dos EUA. Uma década depois, em 2020, o ataque à cadeia de suprimentos da SolarWinds foi usado como mecanismo para invadir diversas redes sensíveis. O potencial de consequências de alto risco levou a Casa Branca a emitir uma Ordem Presidencial exigindo que todos os órgãos governamentais sigam os princípios de confiança zero.

Ken: Concordo que o grau de exposição só aumentará com o tempo. E isso não se deve apenas ao fato de que mais dados estarão disponíveis online, mas também de que categorias inteiramente novas de comprometimento serão reveladas à medida que avançarmos na adoção da IA em larga escala. Vale observar que a governança social voltada à gestão dos riscos de qualquer nova tecnologia sempre leva tempo. Por exemplo, foi somente há alguns anos que as empresas, especialmente as de setores regulamentados, passaram a ser legalmente responsabilizadas. Vimos isso acontecer com a Experian e a T-Mobile, que, juntas, tiveram de arcar com mais de US$ 1 bilhão. Mais recentemente, vemos como indivíduos, como o diretor de segurança da informação (CSO) da Uber, estão sendo responsabilizados pessoalmente por má conduta profissional em casos de negligência significativa. Esse exemplo também encontra paralelo na área da saúde. Acredito que esses acontecimentos tornam ainda mais imprescindível que os profissionais de segurança sigam as melhores práticas e que o sistema jurídico estabeleça diretrizes de proteção legal.

Diante do cenário atual, o que você acha que o futuro reserva para a confiança zero?

Mudit: Historicamente, o Google apresentou o BeyondCorp após os ataques Aurora como uma das primeiras implementações do modelo de confiança zero, embora a ideia seja ainda mais antiga. Hoje, surgiram ofertas como ZTNA e SASE, que aplicam os princípios de confiança zero ao acesso de usuários e dispositivos. No entanto, é preciso dedicar mais esforços à aplicação desses princípios dentro da própria rede, onde as cargas de trabalho interagem entre si para viabilizar processos de negócios e experiências dos usuários. Chamamos isso de confiança zero entre cargas de trabalho. Em termos simples, as abordagens relacionadas ao acesso tentam impedir que uma violação ocorra, enquanto a confiança zero no nível das cargas de trabalho busca minimizar o impacto de uma violação em andamento.

O setor enfrenta dificuldades para implementar controles que sigam o princípio de confiança zero de “presumir uma violação”. Para lidar com cenários pós-violação, as cargas de trabalho precisam de “identidades”, assim como usuários e dispositivos. Além disso, essas cargas de trabalho devem ser monitoradas continuamente para impedir que malwares já presentes na rede causem danos. Isso é especialmente crítico diante da atual força de trabalho móvel e dos ambientes de infraestrutura em que os aplicativos estão distribuídos entre nuvens privadas e públicas, além de sistemas legados.

Como a confiança zero exige uma mentalidade de “presumir uma violação”, serão necessárias medidas de segurança que vão muito além do simples controle de acesso.

Ken: Exatamente. Também precisamos incluir inteligência contra ameaças, gerenciamento de eventos e informações de segurança, diagnóstico e mitigação contínuos, entre outros. A natureza dinâmica dos aplicativos e o tráfego impulsionado por IA, que não para de crescer, exigem não apenas uma abordagem holística à confiança zero, mas também a aplicação desses princípios a novas áreas da infraestrutura, como as próprias cargas de trabalho.

Como Mudit destacou, os princípios que estão no cerne da confiança zero são conhecidos e assimilados há muito tempo pelos profissionais de segurança — e me refiro à segurança em sentido amplo, não apenas à cibersegurança. A manifestação mais recente, a ZTNA, consiste fundamentalmente em aplicar os princípios de “sempre verificar” e “monitorar e avaliar continuamente” à identidade dos usuários e dispositivos que desejam acessar uma rede.

Acredito que os próximos passos lógicos na evolução da confiança zero aplicada à segurança cibernética serão: 1) passar do acesso à rede para o acesso a aplicações, ou seja, usar abstrações e proteções da camada de aplicação, e não da camada de rede; e 2) estender a aplicação dos princípios de confiança zero para além de usuários e dispositivos, abrangendo também as cargas de trabalho.

Por que a carga de trabalho é tão crítica? E, se formos tão a fundo, devemos também aplicar os princípios de confiança zero às próprias práticas de desenvolvimento (como repositórios de código e afins)?

Ken: A resposta curta é: as cargas de trabalho são críticas porque representam a nova ameaça interna.

Considere que a maior parte do código de aplicações nativas da nuvem é desenvolvida em um ambiente de código aberto, fora do controle da organização responsável pela aplicação. Em geral, as práticas de desenvolvimento de software usadas para criar esse código têm pouca governança e são mal documentadas. Após a importação, os testes realizados nesse código se concentram principalmente em aspectos funcionais e de desempenho, dando pouca atenção às avaliações de segurança. Como resultado, a maior parte do código das aplicações é considerada “implicitamente confiável”, exatamente o comportamento que o modelo de confiança zero busca desestimular. E isso pressupondo que os fornecedores do código tenham boas intenções. Se considerarmos ainda que há agentes mal-intencionados tentando usar código aberto como porta dos fundos, isso se torna uma superfície de ataque de primeira ordem. Aliás, muitos dos ataques recentes que ganharam destaque — log4j, SolarWinds e 3CX — são exemplos de ataques à cadeia de suprimentos, que estão fora do escopo tanto da ZTNA quanto das soluções de segurança baseadas na identidade do usuário.

Vamos nos concentrar por um momento nesse último ponto: como o código aberto pode ser usado como backdoor. Isso retoma o que você mencionou anteriormente sobre a confiança zero exigir medidas como inteligência de ameaças, gerenciamento de eventos e informações de segurança, diagnóstico contínuo e assim por diante.

Mudit: Sim. É importante considerar como pensaríamos sobre segurança se partíssemos do princípio de que uma violação já ocorreu. Os controles centrados na rede desempenham algum papel, pois podem procurar comunicações com servidores de comando e controle. No entanto, o objetivo é impedir que o malware que conseguiu entrar cause danos. Quando o malware entra em ação, ele precisa se revelar. Ao monitorarmos todas as cargas de trabalho e compreendermos suas características, temos uma chance muito maior de detectar a carga de trabalho maliciosa relacionada às atividades do malware.

Os pesquisadores da MITRE prestaram um grande serviço ao mundo da segurança ao criar uma taxonomia que nos permite compreender a maioria dos ataques como uma combinação de Táticas, Técnicas e Procedimentos (TTPs) descritos no MITRE ATT&CK Framework. Eles também descrevem um conjunto de contramedidas que ajudam a detectar os TTPs no MITRE D3FEND Framework. Uma parte importante desse framework são as análises de processos, que exigem a aplicação dos princípios de confiança zero no nível da carga de trabalho.

É muito importante que o código que compõe a carga de trabalho seja verificado quanto a vulnerabilidades por ferramentas de Teste Estático de Segurança de Aplicações (SAST) e Teste Dinâmico de Segurança de Aplicações (DAST) durante o ciclo de desenvolvimento. Também é possível se preparar para implementar a confiança zero no nível da carga de trabalho estabelecendo, durante o ciclo de desenvolvimento, uma linha de base das características de baixo nível da carga de trabalho, como as “chamadas de sistema”. Com essa linha de base, torna-se mais fácil detectar e analisar anomalias enquanto a carga de trabalho é executada em produção. O framework D3FEND sugere um conjunto completo de contramedidas voltadas ao fortalecimento da segurança que devem ser aplicadas durante o ciclo de desenvolvimento.

Vamos falar sobre o papel da IA na segurança em geral e, especificamente, na confiança zero. Quais desafios e oportunidades de segurança a IA criará? Além disso, o ChatGPT tem aparecido constantemente nas notícias. Vi projeções de que 90% do tráfego da internet será gerado por IA até 2026. Isso mudará a segurança? Em caso afirmativo, como?

Mudit: Os ataques automatizados já são muito difíceis de combater. O invasor pode continuar modificando e alterando o ataque, o que gera muito ruído para o SOC. As equipes de defesa já usam automação para combater esses ataques automatizados. Mesmo à medida que identificamos as assinaturas desses ataques, os falsos positivos continuam sendo um grande problema. Com a IA, será muito mais fácil imitar usuários comuns do que com os ataques automatizados atuais. Isso dificultará a detecção de anomalias e exigirá uma análise contextual altamente sofisticada para minimizar os falsos positivos.

Ken: Acredito que a IA continuará tendo um enorme impacto na segurança. Para começar, ela claramente exerce grande influência sobre a forma como os agentes mal-intencionados realizam seus ataques e como os defensores detectam e neutralizam esses ataques. Em suma, o jogo de gato e rato continuará, com a IA atuando como uma extensão exponencialmente mais rápida e ágil do que os seres humanos conseguiriam fazer manualmente.

Quando se trata especificamente do ChatGPT, acredito que o mantra de confiança zero, de não confiar cegamente, se aplica aqui. Assim como a premissa do ZTNA é “não confie cegamente em usuários e dispositivos” — e isso também deve se estender às cargas de trabalho —, acredito que a geração de conteúdo por IA nos levará a não confiar cegamente no conteúdo. De muitas maneiras, isso representa um retorno à forma como a sociedade funciona: o grau de confiança que depositamos em determinado conteúdo depende de sua origem. Por exemplo, eu poderia confiar mais em uma declaração sobre a validade de um cheque proveniente do meu banco do que em uma declaração semelhante feita por uma pessoa qualquer na rua. Em suma, a atribuição dos dados é importante. E, à medida que a IA gerar mais conteúdo, veremos essa ideia — que existe há muito tempo no mundo real — surgir como uma consideração fundamental no mundo digital.

Dado o ritmo acelerado com que surgem novas ameaças, o debate sobre o futuro da confiança zero deve continuar relevante — especialmente quando se trata de minimizar o impacto das ameaças internas e aplicar os princípios de confiança zero às cargas de trabalho. À medida que mais conteúdo gerado por IA inunda a internet, a abordagem do setor à confiança zero inevitavelmente evoluirá, e apresentaremos mais perspectivas daqui para frente. Agradecemos por nos acompanhar.
____

Para quem tiver interesse em saber mais sobre o conceito de “presumir uma violação”, leia o artigo mais recente de Ken aqui.

Sobre o autor

Erin VernaGerente Sênior Principal de Marketing de Produto | F5

Mais publicações de Erin Verna