Zero Trust – Perguntas a fazer

F5

Ter uma “estratégia de Zero Trust” é muito parecido com ter uma “estratégia de nuvem”: sem o contexto do que você está tentando alcançar e de onde está hoje, isso não significa muita coisa. Até mesmo o nome pode ser enganoso, já que é preciso confiar em alguma coisa. Uma definição básica de Zero Trust seria “não confie em um usuário ou dispositivo com base na localização da rede”, mas, se fosse tão simples assim, todos nós já teríamos concluído sua implementação. Como arquiteto de soluções globais na F5, tenho a oportunidade de analisar muitas arquiteturas de acesso e, embora muitas organizações almejem adotar esse modelo, poucas alcançaram seus objetivos de Zero Trust.

Uma definição melhor parece surgir ao redefinir o escopo do limite de confiança para incluir a identidade, o dispositivo e a aplicação, em vez de um perímetro de rede. Certamente, essa não é uma ideia nova, e já vi muitos clientes avançarem nessa direção, mas ela vem ganhando mais força agora que os fornecedores estão enfrentando os principais desafios para fazê-la funcionar de verdade em ambientes que não contam com um exército próprio de desenvolvedores para criar uma solução personalizada. Para aumentar a confusão, há vários modelos disponíveis, como proxies, microtúneis, microssegmentação e soluções sem proxy, além de termos concorrentes e conceitos relacionados, como microssegmentação e Perímetro Definido por Software (SDP). Como definir o sucesso de algo tão vago e com tantas opções? E por onde começar a avaliar as soluções? Primeiro, você precisa saber quais são seus objetivos e requisitos. Portanto, eu começaria com algumas perguntas como estas...

Que tipo de aplicações você deseja proteger?

Os proxies costumam ser eficientes no gerenciamento de aplicações web, oferecendo recursos de SSO, uma boa experiência do usuário e implantação e gerenciamento relativamente simples. Você também pretende implementar o modelo de confiança zero no acesso a servidores? Algumas soluções oferecem proxies SSH e RDP. Para esses três protocolos, também existem soluções sem proxy que se integram diretamente ao código da aplicação ou aos módulos de autenticação do servidor. No entanto, lembre-se de que isso significa que não é possível interromper o tráfego antes que ele chegue ao servidor ou à aplicação, o que implica assumir um risco maior.

Se os destinos das suas aplicações incluírem mais do que esses, provavelmente será necessário adotar uma solução baseada em túneis. Nem todas as soluções de tunelamento são iguais. Algumas utilizam VPNs tradicionais, que limitam sua conectividade a um único gateway. Os microtúneis costumam ser uma abordagem melhor, pois permitem estabelecer vários túneis para diferentes endpoints e atender aos requisitos de acesso onde quer que suas aplicações estejam hospedadas.

Que tipo de proteção precisa ser implementado?

Esta é uma ótima oportunidade para garantir que todas as aplicações estejam protegidas por autenticação multifator, algum tipo de proteção contra preenchimento de credenciais e ataques de força bruta, proteção contra bots, visibilidade do tráfego com integração a serviços de segurança, como Prevenção contra Perda de Dados e Sistemas de Prevenção contra Intrusões, além de um Firewall de Aplicações Web para suas aplicações web. Ao implementar um modelo de acesso consistente, você também cria um ponto centralizado para incorporar todos esses serviços. Tenha cuidado com soluções de confidencialidade de ponta a ponta. Elas parecem atraentes até você perceber que exigem que todos os seus serviços de segurança sejam contornados. O modelo Zero Trust nunca deve reduzir sua postura de segurança. Uma boa estratégia é encerrar os túneis em um gateway e, em seguida, encaminhar o tráfego por dispositivos de visibilidade e segurança.

Você precisa de logon único (SSO)?

As soluções de túnel normalmente não conseguem fornecer a identidade ao aplicativo e, às vezes, dependem de que o ambiente conte com outro mecanismo de autenticação transparente. Talvez você precise de proxies ou de integração direta de código para oferecer o SSO que procura. Atender a esse requisito provavelmente será fundamental para o sucesso junto a muitas das partes interessadas. A solução certa, quando bem implementada, pode melhorar a experiência do usuário e, ao mesmo tempo, reforçar a segurança.

Qual é a sua estratégia de análise de dados?

Você deve ter grandes expectativas nesse aspecto. Ao implantar uma estrutura de políticas consistente para o acesso em toda a organização, um dos principais benefícios deve ser entender quem acessa qual recurso, de qual dispositivo, de onde e quando. Esses dados devem ser utilizados e analisados em conjunto com os dados de suas outras ferramentas de segurança para identificar e mitigar ameaças. Essa é uma oportunidade de lidar com os riscos na organização, aprimorando sua cadeia de ataque em todas as etapas, incluindo visibilidade, identificação de ameaças e mitigação. Os fornecedores desse segmento ainda não oferecem uma solução completa, portanto, procure maneiras de integrar à solução análises de terceiros para aprimorá-la. Buscar fornecedores que priorizem integrações com parceiros, além de suas próprias soluções — em vez de tentar oferecer tudo em uma única plataforma — é uma boa estratégia nesse caso.

Que tipo de experiência do usuário você deve esperar?

Os proxies tendem a proporcionar uma experiência superior ao usuário em aplicações web, pois não exigem nenhuma mudança no comportamento do usuário no navegador e também requerem menos componentes no lado do cliente. No entanto, outras soluções podem exigir clientes de túnel. É razoável esperar que o usuário final não perceba, ou quase não perceba, a existência dos túneis. As VPNs tradicionais tendem a oferecer uma experiência negativa ao usuário em comparação com os microtúneis, além de apresentarem outras limitações, conforme discutido acima.

A quais plataformas você precisa oferecer suporte?

Algumas soluções oferecem uma excelente plataforma para computadores, mas não para dispositivos móveis. Avalie cuidadosamente a solução para determinar se ela atende às necessidades dos usuários nos principais sistemas operacionais para computadores, em dispositivos móveis e, quando necessário, em aplicativos móveis nativos, além de oferecer uma experiência de usuário e um conjunto de recursos consistentes.

Próximos passos

Defina seus objetivos, que, para começar, provavelmente devem incluir uma melhor experiência do usuário, maior integração dos serviços de segurança, autenticação multifator para tudo e uma estratégia de integração de análises. Isso ajudará a determinar quais fornecedores e arquiteturas merecem seu tempo para uma avaliação mais aprofundada. Em seguida, concentre-se nos fornecedores com boas estratégias de parceria. Nenhum fornecedor oferecerá sozinho tudo o que você deve esperar dessa arquitetura, e o ideal é ter uma plataforma sobre a qual possa construir. Você ficará mais satisfeito no longo prazo, acredite em mim!

Sobre o autor

F5

Mais publicações de F5