O que é Zero Trust?

8 min read

Segurança Zero Trust

The definition of zero trust is a security model based on the premise that no one is blindly trusted and allowed to access company assets until they have been validated as legitimate and authorized. It supports the implementation of ‘least privilege access’, which is designed to selectively grant access to only the resources that users or groups of users require, nothing more. Additionally, those who are granted access to the network, data, and other assets are continuously required to authenticate their identity

A adoção da Confiança Zero (Zero Trust) disparou em resposta ao rápido aumento de trabalhadores móveis e remotos, à tendência de utilização de seus próprios dispositivos (BYOD), à shadow IT e ao rápido aumento dos serviços em nuvem. Embora essas tendências beneficiassem os usuários e trouxessem novos níveis de flexibilidade para a TI, elas também reduziram a capacidade da organização de controlar e proteger o acesso a dados e recursos de rede. A Confiança Zero traz esse controle de volta, restringindo a segurança diante de um perímetro de rede que está se dissolvendo.

Pense na sua infraestrutura de rede e dados como um prédio cheio de salas, com portas trancadas e cada fechadura com sua própria chave individual, e onde somente você concede aos usuários o acesso às salas com os ativos de que precisam e nada mais. Em poucas palavras, isso é Zero Trust.

o que é segurança zero trust


Blog: Introdução ao Zero Trust
Whitepaper: Principal Prática de Confiança Zero


 

Uma Breve História do Modelo Zero Trust

O termo "zero trust" foi cunhado pelo analista da Forrester John Kindervag em sua pesquisa, ao explicar a importância da "não-confiança" inerente no contato com tráfego de rede, independentemente de onde ele venha. O conceito originou-se como um termo de segurança de rede, e com razão, já que a maioria das empresas operava em suas próprias redes internas e nos recursos de armazenamento de dados no momento em que o conceito se originou.

No entanto, muitas das noções expressas em redes Zero Trust podem ter origem em um conceito muito anterior, apresentado em 2004 pelo Jericho Forum, chamado "de-perimeterization" (em tradução livre, desperimeterização). A segurança do perímetro é conduzida por meio de firewalls e de proteção de perímetro com a finalidade de evitar intrusos. A falha nessa estratégia é a falta de salvaguardas depois que os intrusos conseguem violar o perímetro. A desperimeterização é uma estratégia de segurança para remover a segurança padrão do "limite" que separa uma rede da Internet e, em vez disso, criar um sistema de segurança segmentado e multicamadas baseado em criptografia e autenticação. A arquitetura Zero Trust (ZTA) fornece segurança em camadas por meio de reautenticação constante e desconfiança inerente de todos os dispositivos, usuários e ações, independentemente de se encontrarem dentro do perímetro ou não.

 

The Future of Zero Trust Architecture

Hoje, zero trust evoluiu para sintetizar um conceito mais generalizado do que somente uma arquitetura específica de rede. O conceito está ganhando posição entre todos os players do setor e, embora as duas aplicações mais comuns de Confiança Zero se encontrem no âmbito de redes (Zero Trust Network Access) e dados (Zero Trust Data Protection), esse modelo de segurança está se expandindo para outros territórios, como:

  • Cargas de trabalho de Confiança Zero
  • Bases de usuários de Confiança Zero
  • Automação de Confiança Zero
  • Dispositivos de Confiança Zero

O modelo zero trust está aqui para ficar, mas requer uma nova mentalidade e uma abordagem de segurança cloud-first a ser implementada. Graças ao crescimento de trabalhadores remotos e à adoção de ambientes de nuvem, as estratégias centradas na rede simplesmente não são tão eficazes quanto antes, para combaterem as ameaças à segurança cibernética. A nova natureza dinâmica e os requisitos desses usuários remotos e ambientes dinâmicos de nuvem desafiam arquiteturas de segurança legadas sob todos os ângulos.

Com o número explosivo de trabalhadores remotos que precisam de acesso a dados e recursos corporativos e o aumento de aplicações privados hospedados em nuvens públicas, as organizações estão descobrindo que seu perímetro de segurança deve se estender muito além das quatro paredes de sua empresa. Isso significa que as abordagens legadas de controle de acesso são inadequadas — elas não podem manter os dados protegidos contra uso não autorizado ou proteger contra ameaças modernas e evasivas que são cada vez mais sofisticadas e direcionadas.

Luckily, zero trust technologies have been maturing to address these new requirements. Zero trust essentially adopts a “default-deny” approach to security that requires all users and devices attempting access to be verified first. New zero trust cloud security solutions are highly scalable and give users safe access to applications, as opposed to the network, to effectively protect private applications and data from breaches or misuse.

 

Quais são os Princípios de Zero Trust?

Estes são os três princípios norteadores do modelo Zero Trust:

 

1. Conceder o Mínimo Possível de Privilégios

O princípio básico de zero trust concentra-se na ideia de conceder o mínimo possível de privilégios e acesso sem afetar a capacidade do indivíduo de realizar tarefas. Você somente concede acesso, caso a caso, exatamente para o que for necessário, e nada mais.

 

2. Nunca Confiar, Sempre Verificar

Nenhuma ação ou usuário é inerentemente confiável dentro do modelo de segurança Zero Trust. Cada nova entrada em um sistema ou solicitação de acesso a novos dados precisa vir com alguma forma de autenticação para se verificar a identidade do usuário.

 

3. Sempre Monitorar

Por fim, zero trust exige monitoramento e avaliação constantes do comportamento do usuário, dos movimentos de dados, de alterações na rede e de alterações de dados. Embora a autenticação e as restrições de privilégios sejam a espinha dorsal de zero trust, é sempre melhor verificar todas as ações realizadas dentro da infraestrutura de sua organização.

 

Quais são os Tipos de Zero Trust?

Implementing a zero trust architecture protects private applications, sensitive data, and network assets, while drastically reducing risks from malicious insiders and compromised accounts.

Há no momento duas aplicações distintas para o modelo zero trust:

  • Acesso à Rede Zero Trust (Zero Trust Network Access - ZTNA)
  • Proteção de Dados Zero Trust (Zero Trust Data Protection - ZTDP)

 

O que é o Acesso à Rede Zero Trust (Zero Trust Network Access)?

When designing a zero trust solution for remote access to an environment, it is commonly referred to as Zero Trust Network Access (ZTNA) but is also known as a Software-Defined Perimeter (SDP). A ZTNA or SDP is a modern way to secure access to the network, which uses a cloud-first, software-based approach to replace the hardware of legacy VPNs. It creates an overlay network that securely connects users and devices over the Internet to the servers and applications they need in the data center or public cloud.

Network Private Access solutions offer the following benefits:

  • Protege de forma eficaz o acesso remoto do usuário
  • Garante forte autenticação
  • Implementa a governança eficaz do acesso a recursos
  • Reduz o potencial de violação e os danos
  • Suporta iniciativas de auditoria de conformidade
  • Acelera uma transição para a nuvem
  • Transforma a segurança — iniciando substituições de VPN e adotando soluções definidas por software

A maioria das organizações está adotando um modelo Zero Trust para fornecer visibilidade total e controle sobre usuários e dispositivos que têm acesso a um número crescente de aplicações em nuvem e serviços de dados. Isso inclui aplicativos gerenciados dentro do ecossistema de uma empresa, bem como aplicações não gerenciadas usadas por linhas de negócios e indivíduos dentro da empresa.

 

O que é a Proteção de Dados Zero Trust (Zero Trust Data Protection)?

On the other hand, you have Zero Trust Data Protection (ZTDP), a new security framework created by Netskope. We define Zero Trust Data Protection as an application of the core principles of zero trust in order to guard your data from unauthorized viewing, movement, alteration, and exfiltration.

Os benefícios da ZTDP são:

  • Avaliação permanente de riscos
  • Contexto de dados e consciência de sensibilidade para melhor aplicação de políticas
  • Possibilita o acesso seguro de qualquer lugar
  • Assegura que os dados estejam protegidos em qualquer lugar
  • Adesão aos padrões de conformidade atuais

A inclusão de outras ferramentas como plataformas analíticas e visibilidade inline do uso da nuvem, da web e de rede possibilita a esses administradores personalizar suas regras de zero trust e evitar movimentos laterais não autorizados de outros conjuntos de dados. Resumindo, a proteção de dados zero trust é a primeira linha de defesa contra o acesso e a exfiltração de dados sem autorização.


Relatório: Cybersecurity Insiders – Zero Trust Report 2020
Relatório: Gartner Market Guide 2020 para Zero Trust Network Access


Embora ambos os conceitos utilizem zero trust, a ZTNA envolve-se com a aplicação do modelo zero trust estritamente para as finalidades de proteção do acesso à rede, enquanto a ZTDP aplica zero trust na proteção do acesso a dados. Em um mundo ideal, as empresas utilizariam ambos os conceitos como proteção contra invasões de rede e exfiltrações/alterações de dados.

 

Previsões e insights do Gartner sobre Zero Trust

 

80% das novas aplicações de negócios digitais serão acessadas por meio de ZTNA
das novas aplicações de negócios digitais serão acessadas através de ZTNA
60% das empresas eliminarão a maioria de suas VPNs de acesso remoto em favor de ZTNA
of enterprises will phase out most of their remote access VPNs in favor of ZTNA

FONTE: RELATÓRIO DO GARTNER: THE FUTURE OF NETWORK SECURITY IS IN THE CLOUD

 

Qual é o Papel do Zero Trust na Infraestrutura de Segurança da Netskope?

Para ser eficaz nos ambientes cloud-first, cada vez mais móveis e distribuídos, as soluções Zero Trust devem combinar uma ampla variedade de recursos e tecnologias, desde Autenticação Multifator (MFA), Gerenciamento de Identidade e Acesso (IAM), até criptografia, pontuação, permissões de sistema de arquivos e muito mais.

SASE and Zero Trust, The Convergence

No que diz respeito à Netskope, nossa solução de Acesso Privado é especificamente concebida para apoiar ambientes diversos como uma plataforma ZTNA nativa em nuvem. Ela combina o gerenciamento abrangente de políticas de acesso, avaliação de conformidade, integração com o IAM existente e soluções de gerenciamento de eventos e informações de segurança (SIEM), e aceita qualquer aplicação e qualquer protocolo, para simplificar as operações de rede e segurança.

A solução oferece também proteção estendida por meio da integração com o Netskope Next Generation Secure Web Gateway (NG SWG), que é composto por várias tecnologias integradas nativas em nuvem, incluindo um CASB integrado, prevenção contra perda de dados (DLP), proxy e proteção avançada contra ameaças (ATP). Isso permite que a oferta seja capaz de fornecer visibilidade e proteção unificadas de ambientes de nuvem híbrida e aprimore funções de segurança sensíveis à latência, como DLP e ATP.

SASE and Zero Trust, The Convergence

Simply put, Netskope’s zero trust solution, Private Access, provides a next-generation approach to ZT accessibility, for any application, in any environment.


Datasheet: Netskope Private Access


 

Recursos

Blueprint para Zero Trust em uma Arquitetura SASE

Blueprint para Zero Trust em uma Arquitetura SASE

Four Quick Wins and Three BP for your ZTNA Journey - webinar

Four Quick Wins and Three Best Practices for your ZTNA Journey

Gartner Market Guide 2020 para Zero Trust Network Access

Gartner Market Guide 2020 para Zero Trust Network Access

Cybersecurity Insiders – Zero Trust Report 2020

Cybersecurity Insiders – Zero Trust Report 2020

Protegendo Trabalhadores Remotos com a Netskope

Protegendo Trabalhadores Remotos com a Netskope

Abordagem em seis etapas para o Zero Trust no mundo sem perímetro de hoje

Abordagem em seis etapas para o Zero Trust no mundo sem perímetro de hoje

Achieving true Zero Trust model compliance in todays cloudy world

Achieving true Zero Trust model compliance in today’s “cloudy” world

Introdução ao Zero Trust

Introdução ao Zero Trust

Netskope Introduces Zero-Trust Secure Access to Private Enterprise Applications

Netskope Introduces Zero-Trust Secure Access to Private Enterprise Applications

Cadastre-se para receber as informações mais recentes sobre segurança na nuvem

Ao enviar este formulário, você concorda com nossos Termos de Uso e reconhece a nossa Declaração de Privacidade.