Zero Trust (confiança zero) é um modelo de segurança baseado na premissa de que não se deve confiar cegamente em ninguém, nem dar permissão para acessar os ativos da empresa até que o usuário seja validado como legítimo e autorizado. Ele apoia a implementação do "acesso com privilégio mínimo", projetado para conceder seletivamente acesso somente aos recursos que os usuários ou grupos de usuários necessitam, nada mais. Além disso, aqueles que recebem acesso à rede, aos dados e a outros ativos são constantemente obrigados a autenticar suas identidades
A adoção da Confiança Zero (Zero Trust) disparou em resposta ao rápido aumento de trabalhadores móveis e remotos, à tendência de utilização de seus próprios dispositivos (BYOD), à shadow IT e ao rápido aumento dos serviços em nuvem. Embora essas tendências beneficiassem os usuários e trouxessem novos níveis de flexibilidade para a TI, elas também reduziram a capacidade da organização de controlar e proteger o acesso a dados e recursos de rede. A Confiança Zero traz esse controle de volta, restringindo a segurança diante de um perímetro de rede que está se dissolvendo.
Pense na sua infraestrutura de rede e dados como um prédio cheio de salas, com portas trancadas e cada fechadura com sua própria chave individual, e onde somente você concede aos usuários o acesso às salas com os ativos de que precisam e nada mais. Em poucas palavras, isso é Zero Trust.
O termo "zero trust" foi cunhado pelo analista da Forrester John Kindervag em sua pesquisa, ao explicar a importância da "não-confiança" inerente no contato com tráfego de rede, independentemente de onde ele venha. O conceito originou-se como um termo de segurança de rede, e com razão, já que a maioria das empresas operava em suas próprias redes internas e nos recursos de armazenamento de dados no momento em que o conceito se originou.
No entanto, muitas das noções expressas em redes Zero Trust podem ter origem em um conceito muito anterior, apresentado em 2004 pelo Jericho Forum, chamado "de-perimeterization" (em tradução livre, desperimeterização). A segurança do perímetro é conduzida por meio de firewalls e de proteção de perímetro com a finalidade de evitar intrusos. A falha nessa estratégia é a falta de salvaguardas depois que os intrusos conseguem violar o perímetro. A desperimeterização é uma estratégia de segurança para remover a segurança padrão do "limite" que separa uma rede da Internet e, em vez disso, criar um sistema de segurança segmentado e multicamadas baseado em criptografia e autenticação. A arquitetura Zero Trust (ZTA) fornece segurança em camadas por meio de reautenticação constante e desconfiança inerente de todos os dispositivos, usuários e ações, independentemente de se encontrarem dentro do perímetro ou não.
O Futuro de Zero Trust
Hoje, zero trust evoluiu para sintetizar um conceito mais generalizado do que somente uma arquitetura específica de rede. O conceito está ganhando posição entre todos os players do setor e, embora as duas aplicações mais comuns de Confiança Zero se encontrem no âmbito de redes (Zero Trust Network Access) e dados (Zero Trust Data Protection), esse modelo de segurança está se expandindo para outros territórios, como:
Cargas de trabalho de Confiança Zero
Bases de usuários de Confiança Zero
Automação de Confiança Zero
Dispositivos de Confiança Zero
O modelo zero trust está aqui para ficar, mas requer uma nova mentalidade e uma abordagem de segurança cloud-first a ser implementada. Graças ao crescimento de trabalhadores remotos e à adoção de ambientes de nuvem, as estratégias centradas na rede simplesmente não são tão eficazes quanto antes, para combaterem as ameaças à segurança cibernética. A nova natureza dinâmica e os requisitos desses usuários remotos e ambientes dinâmicos de nuvem desafiam arquiteturas de segurança legadas sob todos os ângulos.
Com o número explosivo de trabalhadores remotos que precisam de acesso a dados e recursos corporativos e o aumento de aplicações privados hospedados em nuvens públicas, as organizações estão descobrindo que seu perímetro de segurança deve se estender muito além das quatro paredes de sua empresa. Isso significa que as abordagens legadas de controle de acesso são inadequadas — elas não podem manter os dados protegidos contra uso não autorizado ou proteger contra ameaças modernas e evasivas que são cada vez mais sofisticadas e direcionadas.
Felizmente, as tecnologias de confiança zero vêm amadurecendo para atender a esses novos requisitos. O zero trust adota essencialmente uma abordagem de “negação padrão” à segurança que exige que todos os usuários e dispositivos que tentam acesso sejam verificados primeiro. As novas soluções de acesso à rede zero trust baseadas em nuvem são altamente escaláveis e oferecem aos usuários acesso seguro a aplicativos, em oposição à rede, para proteger efetivamente aplicações e dados privados contra violações ou uso indevido.
Quais são os Princípios de Zero Trust?
Estes são os três princípios norteadores do modelo Zero Trust:
1. Conceder o Mínimo Possível de Privilégios
O princípio básico de zero trust concentra-se na ideia de conceder o mínimo possível de privilégios e acesso sem afetar a capacidade do indivíduo de realizar tarefas. Você somente concede acesso, caso a caso, exatamente para o que for necessário, e nada mais.
2. Nunca Confiar, Sempre Verificar
Nenhuma ação ou usuário é inerentemente confiável dentro do modelo de segurança Zero Trust. Cada nova entrada em um sistema ou solicitação de acesso a novos dados precisa vir com alguma forma de autenticação para se verificar a identidade do usuário.
3. Sempre Monitorar
Por fim, zero trust exige monitoramento e avaliação constantes do comportamento do usuário, dos movimentos de dados, de alterações na rede e de alterações de dados. Embora a autenticação e as restrições de privilégios sejam a espinha dorsal de zero trust, é sempre melhor verificar todas as ações realizadas dentro da infraestrutura de sua organização.
Quais são os Tipos de Zero Trust?
A implementação de um modelo de Confiança Zero protege aplicações privadas, dados confidenciais e ativos de rede, enquanto reduz drasticamente os riscos de insiders mal-intencionados e contas comprometidas.
Há no momento duas aplicações distintas para o modelo zero trust:
Acesso à Rede Zero Trust (Zero Trust Network Access - ZTNA)
Proteção de Dados Zero Trust (Zero Trust Data Protection - ZTDP)
O que é o Acesso à Rede Zero Trust (Zero Trust Network Access)?
O projeto de uma estratégia zero trust para acesso remoto a um ambiente, é comumente conhecido como Zero Trust Network Access (ZTNA), mas é também conhecido como Software-Defined Perimeter (SDP). ZTNA ou SDP é uma maneira moderna de proteger o acesso à rede, que utiliza uma abordagem com prioridade na nuvem baseada em software para substituir o hardware de VPNs legadas. Ele cria uma rede de sobreposição que conecta com segurança usuários e dispositivos pela Internet aos servidores e aplicações de que precisam no data center ou na nuvem pública.
A solução ZTNA oferece os seguintes benefícios:
Protege de forma eficaz o acesso remoto do usuário
Garante forte autenticação
Implementa a governança eficaz do acesso a recursos
Reduz o potencial de violação e os danos
Suporta iniciativas de auditoria de conformidade
Acelera uma transição para a nuvem
Transforma a segurança — iniciando substituições de VPN e adotando soluções definidas por software
A maioria das organizações está adotando um modelo Zero Trust para fornecer visibilidade total e controle sobre usuários e dispositivos que têm acesso a um número crescente de aplicações em nuvem e serviços de dados. Isso inclui aplicativos gerenciados dentro do ecossistema de uma empresa, bem como aplicações não gerenciadas usadas por linhas de negócios e indivíduos dentro da empresa.
O que é a Proteção de Dados Zero Trust (Zero Trust Data Protection)?
Por outro lado, há a Zero Trust Data Protection (ZTDP), uma nova estrutura de segurança criada pela Netskope que aplica os princípios fundamentais de Confiança Zero protegendo seus dados contra visualização, movimentação, alteração e exfiltração não autorizadas.
Os benefícios da ZTDP são:
Avaliação permanente de riscos
Contexto de dados e consciência de sensibilidade para melhor aplicação de políticas
Possibilita o acesso seguro de qualquer lugar
Assegura que os dados estejam protegidos em qualquer lugar
Adesão aos padrões de conformidade atuais
A inclusão de outras ferramentas como plataformas analíticas e visibilidade inline do uso da nuvem, da web e de rede possibilita a esses administradores personalizar suas regras de zero trust e evitar movimentos laterais não autorizados de outros conjuntos de dados. Resumindo, a proteção de dados zero trust é a primeira linha de defesa contra o acesso e a exfiltração de dados sem autorização.
Embora ambos os conceitos utilizem zero trust, a ZTNA envolve-se com a aplicação do modelo zero trust estritamente para as finalidades de proteção do acesso à rede, enquanto a ZTDP aplica zero trust na proteção do acesso a dados. Em um mundo ideal, as empresas utilizariam ambos os conceitos como proteção contra invasões de rede e exfiltrações/alterações de dados.
Previsões e insights do Gartner sobre Zero Trust
das novas aplicações de negócios digitais serão acessadas através de ZTNA
of enterprises will phase out most of their remote access VPNs in favor of ZTNA
FONTE: RELATÓRIO DO GARTNER: THE FUTURE OF NETWORK SECURITY IS IN THE CLOUD
Qual é o Papel do Zero Trust na Infraestrutura de Segurança da Netskope?
Para ser eficaz nos ambientes cloud-first, cada vez mais móveis e distribuídos, as soluções Zero Trust devem combinar uma ampla variedade de recursos e tecnologias, desde Autenticação Multifator (MFA), Gerenciamento de Identidade e Acesso (IAM), até criptografia, pontuação, permissões de sistema de arquivos e muito mais.
No que diz respeito à Netskope, nossa solução de Acesso Privado é especificamente concebida para apoiar ambientes diversos como uma plataforma ZTNA nativa em nuvem. Ela combina o gerenciamento abrangente de políticas de acesso, avaliação de conformidade, integração com o IAM existente e soluções de gerenciamento de eventos e informações de segurança (SIEM), e aceita qualquer aplicação e qualquer protocolo, para simplificar as operações de rede e segurança.
A solução oferece também proteção estendida por meio da integração com o Netskope Next Generation Secure Web Gateway (NG SWG), que é composto por várias tecnologias integradas nativas em nuvem, incluindo um CASB integrado, prevenção contra perda de dados (DLP), proxy e proteção avançada contra ameaças (ATP). Isso permite que a oferta seja capaz de fornecer visibilidade e proteção unificadas de ambientes de nuvem híbrida e aprimore funções de segurança sensíveis à latência, como DLP e ATP.
Simplificando, o Netskope Private Access fornece uma abordagem de próxima geração para a acessibilidade Zero Trust, para qualquer aplicação, em qualquer ambiente.
Como profissionais de tecnologia, muitos de nós gostam de brincar com ferramentas; especialmente quando descobrimos um novo recurso interessante de algum produto. Procuramos imediatamente um caso de uso, depois tentamos persuadir nossos líderes a comprá-lo para que possamos implementá-lo. Embora isso muitas vezes tenha ajudado programas ou controles de segurança a avançar, também é como criamos uma dívida tecnológica maciça e complexidade ao longo dos anos.
