O que significa Zero Trust Security?

Você deixa o seu carro parado na rua com a chave na ignição só porque tem seguro? Certamente não! E por que não? Porque você pressupõe que seu carro será violado e pensa na segurança dele como se não houvesse seguro.  Esse é o mesmo princípio da estratégia de cibersegurança baseada no modelo Zero Trust (confiança zero): não confie em nada por padrão, começando pela rede.

O termo zero trust foi usado pela primeira vez em 2010 por John Kindervag na época analista da Forrester Research. Com o lema “nunca confie, sempre verifique”, ele apresentou o termo como uma estratégia de segurança de confiança zero onde parte-se da premissa básica de que confiar é assumir riscos, logo tudo deve ser considerado como uma possível ameaça e o acesso a sistemas deve ser concedido somente após verificação E, se nada é confiável e tudo tem que ser verificado, nenhum usuário, conexão, dispositivo, serviço da web ou aplicativo que tenta acessar recursos de uma rede privada é considerado seguro.

É comum que os esforços de segurança cibernética se concentrem na proteção do perímetro da rede. Nesse caso, havendo uma violação dos firewalls corporativos por criminosos virtuais, eles seriam capazes de se mover através de sistemas internos sem nenhuma dificuldade. Não se deve ignorar que os requisitos de segurança de TI devem acompanhar o novo cenário de sistemas cada vez mais distribuídos e ataques em constante expansão.

Com a evolução das redes que hoje abrangem nuvem e SaaS, mobilidade, IoT,  são criados mais pontos de acesso por meio dos quais os sistemas podem ser hackeados.  A maioria dos modelos de segurança cibernética que se baseiam apenas no uso de tecnologias de hardwares ou softwares de segurança depende da “garantia operacional”, confiando que tudo vai fluir bem. O modelo Zero Trust por sua vez considera a segurança como um serviço holístico onde a abordagem está centrada nos agentes – internos ou externos – de ameaças, partindo da ideia de que a confiança é a maior vulnerabilidade. De forma simples, a rede deve ser tratada como comprometida, a ideia é trabalhar como se a segurança de perímetro não estivesse funcionando.

Além dos princípios de monitoramento – “não confiar” – e validação – “sempre verificar” – contínuos, no ZT existe uma terceira diretriz de segurança que é “aplique menos privilégios”. Sendo assim qualquer usuário, programa ou processo deve ter apenas os privilégios mínimos necessários para executar sua função.

Como funciona o modelo Zero Trust

O modelo Zero Trust protege dados e recursos críticos dentro e fora do perímetro da rede tradicional. Os princípios básicos por trás desse modelo segundo a Fortinet são:

Ver e controlar O QUE está na rede

Cada vez que aplicativos e dispositivos são acrescentados à rede ele representa mais uma borda do perímetro que precisa estar sob proteção. Se não houver um conhecimento detalhado dos dispositivos que estão na rede, a equipe de TI vai começar a enxugar gelo sem conseguir promover resultados satisfatórios de segurança. Portanto, seguindo a lógica da Fortinet, o primeiro passo para adotar uma estratégia ZT é descobrir e identificar todos os dispositivos da rede.

Ver e controlar QUEM está na rede

Tão importante quanto conhecer os dispositivos que estão conectados à rede é reconhecer todos os usuários que acessam. Qualquer controle de segurança não surtirá efeito se você não souber quem é o seu usuário. A identidade no modelo ZT é o novo perímetro. Uma vez que a identidade é estabelecida, é oferecido o nível apropriado de garantia de autenticação com base no risco da transação. Diferente do login único ( SSO ), fator de autenticação que permite ao usuário fazer login uma vez e acessar vários serviços de rede sem inserir novamente os dados, o ZT exige que os fatores de autenticação sejam verificados e reverificados cada vez que um recurso de rede é requerido, o objetivo é impedir que agentes mal intencionados usem uma conta comprometida para mover-se lateralmente pela rede.

Controlar dispositivos gerenciados fora da rede

Um dos maiores desafios da segurança de rede é controlar dispositivos gerenciados quando eles não estão no alcance da rede, a mobilidade torna os dispositivos mais fáceis de serem comprometidos. O desafio de proteger os dispositivos fora da rede pode ser vencido melhorando a visibilidade do endpoint e garantindo o acesso remoto seguro a recursos de rede por meio de VPNs.

A implementação do modelo Zero Trust não exige que a equipe de TI inicie controles de segurança do zero, ela requer que se projete a segurança de dentro para fora e não de fora para dentro, como acontece costumeiramente. Sendo assim, é necessário que todos da organização entendam que a segurança cibernética começa com a responsabilidade por ela.