Zero Trust como defesa contra ataques à cadeia de suprimentos
O ataque à cadeia de suprimentos da SolarWinds desencadeou uma avaliação frenética dos esforços de gerenciamento de risco da cadeia de suprimentos em todo o mundo. Incluído nesta resposta estava um reajuste repentino da lente de risco através da qual todos os fornecedores terceirizados são considerados. A Arquitetura Zero Trust oferece um meio de aumentar a resiliência ao risco de terceiros, sem sacrificar as vantagens operacionais dos relacionamentos com fornecedores.
Uma arquitetura Zero Trust agora é um requisito obrigatório sob a Ordem Executiva de Segurança Cibernética de Joe Biden.
O que é a Arquitetura Zero Trust (ZTA)?
Zero Trust é uma arquitetura de segurança cibernética desenvolvida pelo NIST (National Institute of Standards and Technology). Essa estrutura pressupõe que todas as atividades de rede, sejam internas ou externas, são uma ameaça à segurança. Como o nome sugere, o Zero Trust assume que todos os usuários são agentes de ameaças até prova em contrário.
É essa determinação obstinada de incriminar todos os usuários que torna o Zero Trust eficaz na prevenção e identificação de ataques à cadeia de suprimentos.
A estrutura de segurança Zero Trust evita ataques à cadeia de suprimentos?
Nenhuma defesa de segurança é garantida para evitar ataques à cadeia de suprimentos, no entanto, uma arquitetura Zero Trust (ZTA) é uma das soluções mais eficazes para limitar o impacto dos ataques à cadeia de suprimentos.
Para que o ZTA tenha o potencial máximo, essa estrutura deve ser implementada tanto dentro de uma organização quanto em toda a sua rede de fornecedores.
Infelizmente, nem todos os fornecedores implementam essa estrutura e é difícil identificar rapidamente aqueles que o fazem. Em vez de operar com fé cega, as organizações apoiam seu ZTA com uma solução que monitora continuamente as vulnerabilidades em toda a rede do fornecedor.
Como funciona uma arquitetura Zero Trust?
Os componentes de uma arquitetura Zero Trust (ZTA) podem residir no local ou por meio de um serviço baseado em nuvem.
A figura abaixo descreve uma arquitetura ZTA de alto nível e a relação entre cada componente básico.
Todas as atividades de rede não verificadas são alimentadas entre o Ponto de Decisão de Política e o Ponto de Imposição de Política. Somente as solicitações que passam por requisitos rígidos do Policy Engine têm permissão para fluir para todos os recursos corporativos.
As funções dos componentes principais do ZTA são as seguintes.
Mecanismo de política (PE)
O Policy Engine é o cérebro do ZTA. Em última análise, esse componente decide se as solicitações de rede são permitidas ou não, filtrando-as por meio de um Algoritmo de Confiança (TA). Esse algoritmo de confiança também concede acesso de acordo com permissões estritas baseadas em função.
Administrador de políticas (PA)
O Administrador de Política instrui as ações do Ponto de Endosso de Política (PEP) com base na decisão do Mecanismo de Política. Se o PE passar uma solicitação, o PA comandará o PEP para permitir o acesso aos recursos da empresa. Se o mecanismo de política não confiar na solicitação de rede, o PEP bloqueará o acesso adicional.
Ponto de Imposição de Política (PEP)
O PEP é o guardião final. Ele nega ou permite o tráfego de rede com base na decisão do mecanismo de política. O PEP pode ser configurado com atualizações de política alimentadas pelo Administrador de Política (PA).
Diferentes aplicações da arquitetura Zero Trust.
O ZTA pode ser ajustado para atender a diferentes requisitos do ecossistema. Todas as variações do ZTA são capazes de proteger contra ataques à cadeia de suprimentos, mas algumas são mais fáceis de implementar do que outras.
As organizações devem escolher uma estrutura ZTA que exija um esforço mínimo de implementação.
Variação 1 do ZTA - Governança de identidade aprimorada
Esta é a integração ZTA mais comum. Nessa variação, somente aqueles com acesso privilegiado têm permissão para se conectar aos Recursos Corporativos. Para facilitar esse protocolo, as políticas de acesso a recursos corporativos precisam incluir os seguintes componentes:
- As identidades de cada usuário permitido
- Os atributos atribuídos de cada usuário permitido
- Lista de dispositivos permitidos
- Status do ativo
As políticas de Acesso a Recursos da Empresa também podem ser configuradas para conceder acesso parcial a Recursos da Empresa se determinadas condições forem atendidas (por exemplo, se o acesso for solicitado de locais específicos).
As empresas que adotam o modelo de Governança de Identificação Aprimorada geralmente incluem uma rede de acesso de visitante separada. Isso limita o acesso a recursos corporativos a usuários privilegiados e, ao mesmo tempo, permite o acesso a outros ativos menos vulneráveis.
O modelo ZTA de identidade aprimorada é otimizado para identificar vulnerabilidades de segurança no nível do usuário primeiro.
Variação ZTA 2 - Microssegmentação
Grandes ecossistemas que desejam implementar rapidamente uma solução digital de defesa contra ataques à cadeia de suprimentos terão dificuldade em dimensionar a variação de Governança de Identidade Aprimorada. O modelo de microssegmentação é muito mais ideal, pois se concentra na proteção de zonas de rede vulneráveis em vez de todo o ecossistema.
Essas "zonas" ou "segmentos" são protegidos por Firewalls de Próxima Geração (NGFWs) ou dispositivos de gateway para fins especiais. O resultado é uma série de segmentos protegidos que concedem ou negam acesso a ativos por meio de vários gateways PEP.
Variação ZTA 3 - Infraestrutura de rede e perímetros negados por software
Nessa variação, a estrutura da rede é modificada para implementar um ZTA, geralmente na camada 7. Uma vez integrado, o PA controla a rede com base nas decisões tomadas pelo PE.
Nessa configuração, todas as solicitações de rede passam por um único PEP governado por um PA antes de terem acesso permitido ou negado aos recursos corporativos.
Variação 4 do ZTA - Implantação baseada em gateway ou agente de dispositivo
>Nessa variação, o PEP é dividido em duas partes - uma reside em um ativo e a outra na frente de um recurso. Essa configuração normalmente é implementada em uma configuração de trabalho remoto.
Por exemplo, um funcionário emite uma solicitação para se conectar a um recurso por meio de um laptop fornecido pela empresa. Essa solicitação é facilitada por meio de um agente (geralmente um componente de software). Em seguida, o laptop se conecta ao Administrador de Políticas, que verifica o acesso por meio do Mecanismo de Políticas.
A Administração de Políticas e o Mecanismo de Políticas podem ser um serviço de nuvem (implementação cliente-servidor da Cloud Security Alliance) ou um ativo local. Se o mecanismo de política permitir a solicitação, o administrador de política ativará o gateway de recurso relevante e uma conexão concluída será estabelecida.
Como implementar uma arquitetura Zero Trust (ZTA)
A implementação de uma estrutura ZTA pode ser resumida em três etapas:
- Etapa 1 - A verificação de todos os usuários
- Etapa 2 - A verificação de todos os dispositivos do usuário
- Etapa 3 - A verificação de todos os privilégios de acesso.
Os usuários precisam passar por todas as três camadas de autenticação para serem rotulados como confiáveis. Além de dificultar o acesso de agentes de ameaças a dados confidenciais, um ZTA também possibilita rastrear cibercriminosos que tentam um ataque, forçando-os a atender aos padrões de conformidade na entrada.
Organizações sem uma estrutura de segurança podem implementar uma solução ZTA pura. As estruturas existentes podem adotar um perímetro ZTA híbrido para integrar as soluções ZTA, evitando uma revisão competitiva (e cara).
Uma arquitetura Zero Trust pode ser implementada em 7 etapas
Etapa 1 - Identificar todos os usuários
Uma organização precisa estar ciente de todos os usuários da rede o tempo todo. Cada evento deve ser registrado e comparado com os detalhes dos usuários aprovados.
registrado e comparado com os detalhes dos usuários aprovados.
Os detalhes do usuário aprovado devem incluir o seguinte:
- Nomes de usuários aprovados e suas funções permitidas
- Identidades de todas as entidades não pessoais e suas funções permitidas
É importante entender que esta etapa é um esforço contínuo. Em uma estrutura ZTA, a identidade dos usuários é verificada continuamente durante todo o ciclo de vida do acesso.
Etapa 2 - Identificar ativos corporativos
O monitoramento do acesso a ativos começa com a identificação de todos os recursos corporativos em sua rede. Deve ser mantido um registro atualizado de todos os ativos e seus protocolos de acesso.
Os ativos de rede podem incluir o seguinte:
Todos os endpoints internos e externos
- Laptops de funcionários (especialmente funcionários remotos)
- Dispositivos móveis
- Dispositivos de Internet das Coisas (IoT)
- Dispositivos de terceiros
Todas as soluções de software
- Software interno
- Software de colaboração remota
- Software de fornecedores terceirizados
- Contas de usuário internas e externas
Com todos os ativos identificados, seu acesso pode ser monitorado e controlado. A MFA (Autenticação Multifator) deve ser implementada idealmente em todos os ativos, onde isso não for possível, outras formas de autenticação de ativos devem ser usadas.
Um registro de ativos detalhado deve ser atualizado regularmente para documentar todas as conexões de ativos autenticados, uma lista de atualizações de ativos e quaisquer outras alterações de ativos.
Etapa 3 - Identificar todos os processos de rede
Nenhuma conexão estabelecida em um ecossistema de TLC deve ser uma surpresa, todas devem ser permitidas e, portanto, esperadas.
Todas as conexões devem ser registradas e categorizadas por seus respectivos níveis de acesso privilegiado. Os riscos potenciais associados a cada processo devem ser conhecidos. Isso apoiará a alocação eficiente de monitoramento de recursos - processos de alto risco exigem uma maior profundidade de monitoramento do que processos de menor risco.
Os processos registrados podem incluir:
- Fluxos de trabalho
- Fluxo de dados
- Protocolos
- Eventos estruturados
Etapa 4 - Elaborar políticas ZTA
Agora que todas as atividades potenciais da rede foram identificadas, as regras que regem essas atividades devem ser criadas, também conhecidas como políticas Zero Trust.
As políticas ZT são um conjunto de regras de lista branca. Eles especificam os critérios de usuários autorizados e os recursos específicos que eles podem acessar. Todo o tráfego de rede que não atende às políticas de Confiança Zero é bloqueado por um firewall.
A lista abaixo descreve todas as perguntas que uma política de Zero Trust deve responder claramente e alguns exemplos de entidades que podem ser usadas para respondê-las.
Quem pode acessar um determinado recurso?
- IDs de usuário.
- Processo de autenticação do usuário, como MFA (Autenticação Multifator).
- Perfis de informações do host (HIPs) para impedir que usuários não autorizados acessem recursos específicos.
Quais aplicativos são usados para acessar recursos?
- Liste todos os aplicativos permitidos criando uma política de Camada 7 baseada em aplicativo.
Quando os usuários acessam os recursos?
- Os agendamentos de acesso devem ser criados para recursos durante determinadas horas. É importante aplicar essa política porque os ataques cibernéticos tendem a ocorrer fora do horário comercial para evitar a detecção.
Onde cada recurso está localizado?
- Especifique o local de cada recurso. Isso permitirá que você restrinja o acesso com base em geolocalizações.
Por que os dados são acessados?
- Cada usuário deve ter um motivo convincente para acessar cada recurso. Saber o "porquê" ajudará você a planejar o grau de proteção que cada recurso exige.
Como cada recurso é acessado?
- Impor criptografia de endpoint
- Implementar o princípio do menor privilégio
Etapa 5 - Produzir soluções Zero Trust
Nesta etapa, todos os documentos de política são transformados em planos tangíveis. Idealmente, várias soluções devem ser criadas e, em seguida, filtradas para as opções mais eficientes.
Os critérios de seleção podem incluir o seguinte:
- Tempo de implementação
- Número de componentes que requerem instalação
- Efeitos da geolocalização na eficácia
Etapa 6 - Implantar soluções Zero Trust
Agora as soluções ZTA podem finalmente ser implementadas. As soluções devem ser inicialmente introduzidas em um pequeno subconjunto de arquitetura e dimensionadas somente após alcançar os resultados desejados.
Todas as soluções Zero Trust implantadas precisam ser monitoradas para identificar problemas e otimizar continuamente as integrações. Como esta é a primeira implementação de uma arquitetura de confiança zero, deve haver uma aplicação mais rigorosa das condições da política do que após uma distribuição completa.
Isso ajudará as organizações a acomodar os problemas do pior cenário, dando-lhes as maiores chances de executar sem problemas uma arquitetura Zero Trust quando ela estiver completamente implementada.
Etapa 7 - Dimensionar a estrutura Zero Trust
Com as soluções ZT comprovadas para funcionar em um subconjunto de teste, a estrutura agora pode ser implementada para toda a organização.
As políticas são projetadas e criadas para cada novo segmento do ecossistema. Uma solução ZT é criada e testada em um pequeno subconjunto desse segmento e, em seguida, implementada em todo o segmento.
Após cada ciclo, novos problemas emergentes devem ser documentados e resolvidos imediatamente para otimizar a eficiência.