As ameaças à segurança das TI encontram-se em muitos lugares, e não apenas fora das organizações. O Modelo Zero Trust baseia-se, portanto, no princípio de não confiar em nenhum utilizador, dispositivo ou serviço. Isto aplica-se também aos serviços internos e aos utilizadores. Embora o conceito exija medidas extensivas, se implementadas corretamente, reduz significativamente o risco de incidentes de segurança.
Cinco fatores que incluem Zero Trust
Ao contrário dos conceitos tradicionais de cibersegurança, o Modelo Zero Trust inclui fatores de risco externos e internos. Em particular, são considerados cinco pontos: redes, utilizadores, dispositivos, workloads e dados.
Fator 1: Utilizador
Um elemento essencial aqui é a autenticação forte dos utilizadores. Afinal, a maioria de todas as violações de dados são causadas por dados de acesso roubados. A mera existência de nomes de utilizador e palavras-passe já não é suficiente para provar a identidade de um utilizador. O Zero Trust requer, portanto, a utilização de conceitos como a autenticação única, a autenticação multifator, as políticas contextuais e a deteção de anomalias.
Fator 2: Dispositivos
O Modelo Zero Trust também exige que as equipas de cibersegurança sejam capazes de controlar, isolar e proteger todos os dispositivos da rede em todos os momentos. Existem soluções que, por exemplo, impedem os endpoints infetados de acederem aos recursos corporativos. Isto inclui terminais móveis e fixos, bem como dispositivos IoT e sistemas de controlo industrial.
Fator 3: Workloads
O terceiro requisito é o Zero Trust Workloads. Neste domínio, o foco está na proteção abrangente de todas as Workloads. Existe uma enorme necessidade de serviços que operam na cloud (pública), e porque elementos como containers, features e máquinas virtuais são um alvo atrativo para os atacantes, também aqui estão disponíveis soluções de software que foram especialmente desenvolvidas para monitorizar e controlar cenários de cloud privada, pública e híbrida.
Fator 4: Dados
Outra tarefa central do Zero Trust é a proteção de dados. Isto aplica-se, em particular, à troca contínua de dados entre computadores, dispositivos móveis, servidores, bases de dados e aplicações na cloud, quer seja na rede corporativa e/ou redes públicas. As medidas mais importantes nesta área são a encriptação, a prevenção da perda de dados e a categorização e classificação de dados.
Fator 5: Redes
A implementação das medidas de Zero Trust acima mencionadas requer uma cobertura completa de todos os serviços, utilizadores e ativos. As redes são frequentemente segmentadas de forma a autenticar os utilizadores e monitorizar todo o tráfego. Isto permite que plataformas de controlo como sistemas de prevenção de intrusões (IPS) e firewalls de segmentação sejam incluídos no processo. Quais os acessos e fluxos de dados entre os sistemas individuais podem finalmente ser regulados, através de políticas de segurança identificadas. A verificação do conteúdo de dados permitido só pode ser efetuada cada vez mais após uma inspeção SSL bem-sucedida.
Zero Trust Security: Pode resolver todos os problemas?
Apesar do Zero Trust estar atualmente a desfrutar de uma popularidade crescente, o modelo ainda tem os seus limites. Por exemplo, os controlos de acesso demasiado restritivos ou demasiado lentos podem afetar a rede. Ao mesmo tempo, controlar o tráfego encriptado é extremamente intensivo computacionalmente. Além disso, os modelos de Zero Trust são menos extensos do que parecem no início. Numa solução padrão, este modelo não lida com ataques DDoS, configurações defeituosas, patchs de segurança desatualizados ou má conduta humana. Por último, mas não menos importante, os ativos de rede com as suas VLANs, que são tradicionalmente utilizados para segmentar o tráfego, também têm algumas vulnerabilidades de segurança.
Conclusão: O Zero Trust pode complementar conceitos de segurança abrangentes
As aplicações e os processos de hoje precisam de ser capazes de comunicar através das redes. No entanto, a abertura correspondente dos ambientes de TI levou a um aumento significativo das superfícies de ataque do ponto de vista da cibersegurança. Em suma, é importante não abrandar os workflows e, por outro lado, eliminar os perigos externos e internos. No entanto, a Zero Trust não é uma solução completa neste contexto. Pelo contrário, os blocos de construção individuais do modelo de Zero Trust podem ser tidos em conta como componentes de apoio em conceitos abrangentes de cibersegurança.
Os especialistas da AXIANS ajudam a desenhar cenários customizados às necessidades das organizações! Conheça a nossa oferta de Digital Trust – Cybersecurity.