Zero Trust em um mundo centrado em aplicações

Zero Trust é uma estratégia poderosa que pode ajudar uma empresa a crescer mais rápido e ser mais segura. Nos últimos anos, ele recebeu bastante destaque, embora não seja um conceito novo. É um conceito mais relevante e importante hoje do que nunca, principalmente porque empresas ao redor do mundo estão lutando para descobrir como operar e responder durante a crise da COVID-19. Zero Trust foi um tema na minha recente palestra sobre Agilidade e um conceito essencial para que todas as organizações entendam melhor à medida que aceleram as iniciativas de transformação digital.

Proteger o perímetro de rede tradicional (também conhecido como abordagem de fosso e castelo) não é mais suficiente. Com o aumento de aplicativos implantados em multinuvens e a crescente força de trabalho móvel, o perímetro da rede praticamente desapareceu.

Zero Trust elimina a ideia de uma rede confiável dentro de um perímetro definido. Hoje, você deve aplicar o acesso de usuário com privilégios mínimos e examiná-lo o máximo possível, presumir que os invasores já estão na rede e se escondendo nela e obter mais contexto e visibilidade dos pontos de controle. Para habilitar o Zero Trust, as organizações devem abandonar a abordagem “Confiar, mas verificar” e agora aderir a estes três princípios:

• Nunca confie
• Sempre verifique
• Monitorar continuamente

Embora nenhum fornecedor possa fornecer tudo o que é necessário para Zero Trust, a F5 pode agregar valor com nosso robusto portfólio de segurança de aplicativos e proteger quatro pontos de controle principais em uma arquitetura Zero Trust. Especificamente:

• Os endpoints que acessam os aplicativos: nossas soluções confiáveis de acesso a aplicativos fornecem autenticação moderna para todos os aplicativos.
• Infraestrutura de rede: temos soluções de segurança de infraestrutura de aplicativos para ajudar a proteger a rede.
• Os aplicativos (sejam eles na nuvem, no local, baseados em SaaS ou totalmente gerenciados): oferecemos soluções de segurança na camada de aplicativo para fornecer segurança no aplicativo ou próximo a ele e proteger a pilha de aplicativos (da camada 4 à 7).
• O serviço de identidade: temos parcerias profundas com Microsoft , Okta e Ping . Ao integrar nossas soluções confiáveis de acesso a aplicativos com esses provedores de Identidade como Serviço (IDaaS), ajudamos a preencher a lacuna de identidade entre aplicativos baseados em nuvem, SaaS, de missão crítica e personalizados para oferecer uma experiência de acesso unificada e segura aos usuários.

Vamos nos aprofundar em como a F5 pode ajudar você especificamente a implantar um modelo Zero Trust usando estas três soluções de segurança da F5: Acesso confiável a aplicativos, segurança de infraestrutura de aplicativos e segurança de camada de aplicativos.   

Acesso confiável ao aplicativo

Quando se trata de acesso a aplicativos, as organizações devem presumir que todos que acessam seu site são pessoas mal-intencionadas. Violações relacionadas ao acesso continuam aumentando. De acordo com o F5 Labs, em 2019, as violações relacionadas ao acesso representaram a maior proporção das causas de violações conhecidas, 52%, ante 47% em 2018.

O F5 BIG-IP Access Policy Manager (APM) protege, simplifica e centraliza o acesso a aplicativos, APIs e dados, não importa onde os usuários e seus aplicativos estejam localizados. Com o Identity Aware Proxy (IAP), o APM implanta uma validação de modelo Zero Trust com base em contexto granular, protegendo cada solicitação de acesso ao aplicativo. Ele também monitora continuamente o dispositivo, a localização e o acesso de cada usuário durante a sessão do aplicativo.

As principais propostas de valor são:

• Uma ótima experiência do usuário com SSO e uma experiência de usuário comum acessando todos os aplicativos, não importa se o aplicativo está no local ou na nuvem
• Aplicações mais seguras em uma arquitetura Zero Trust
• Uma arquitetura comum para ambientes híbridos e uma política comum em várias nuvens

Com a adição do Shape e a capacidade de identificar criminosos que cometem fraudes, agora podemos identificar melhor os bons usuários e reduzir o número de vezes que o usuário precisa digitar uma senha. Isso permite que o usuário tenha mais acesso aos serviços sem esquecer senhas, reduz os custos de suporte e aumenta o lucro líquido.

Segurança de infraestrutura de aplicativos

A infraestrutura de rede é importante para garantir que os aplicativos estejam seguros e disponíveis para atingir o Zero Trust. Uma área que pode impactar sua rede é a das ameaças criptografadas.

A criptografia agora é o novo normal. Com base na pesquisa do F5 Labs, 91% dos carregamentos de páginas são criptografados com SSL/TLS. Mas os invasores também usam criptografia para contornar os controles de segurança. As organizações devem presumir que seu tráfego criptografado de entrada está abrigando malware. Eles também devem presumir que o tráfego criptografado de saída contém informações confidenciais que podem ser exfiltradas.

O F5 SSL Orchestrator resolve os perigos do tráfego criptografado na sua rede. É uma solução dedicada para orquestração de tráfego SSL/TLS de entrada/saída e centraliza o controle de criptografia. Ele elimina pontos cegos de segurança expondo malware oculto no tráfego criptografado e interrompe a exfiltração de dados roubados.

Segurança da camada de aplicativo

A realidade é que os aplicativos são vulneráveis em qualquer organização. De acordo com uma pesquisa do F5 Labs, uma empresa implanta uma média de 765 aplicativos. Com tantos aplicativos em uso por uma empresa, os invasores sabem o quão importantes eles são e tentam ativamente comprometê-los, pois cada um deles pode ser uma porta dos fundos (ou uma porta da frente) para propriedade intelectual e dados valiosos. É fundamental proteger continuamente os aplicativos como parte da sua estratégia Zero Trust.

O F5 pode proteger a pilha de aplicativos em uma arquitetura Zero Trust. Nossas soluções WAF, como Advanced WAF e Essential App Protect, ajudam a prevenir vulnerabilidades e explorações comuns, como o OWASP Top 10 ou injeções de SQL/PHP.

Nossas soluções WAF também podem proteger contra ataques DoS de Camada 7 com nossa capacidade de análise comportamental para monitorar continuamente a integridade dos aplicativos. Também fornecemos proteção de credenciais para impedir o acesso não autorizado de invasores às contas de usuários. Além disso, com o uso crescente de APIs, podemos protegê-las e proteger seus aplicativos contra ataques de API.

Enquanto a F5 protege as vulnerabilidades do seu aplicativo com soluções de segurança WAF e API, também protegemos sua lógica de negócios contra abusos com o Shape.

A F5 fornece nossas ofertas de segurança para se adequar à estratégia de implantação Zero Trust de uma organização — autogerenciada, como serviço ou como um serviço totalmente gerenciado via Silverline e Shape Security.

Se você tiver interesse em saber mais, assista à minha palestra sobre Agility on-demand e entre em contato conosco para obter ajuda com sua implantação de Zero Trust.