10 anos depois, conceito de zero trust segue mais importante do que nunca

Já se passaram 10 anos desde que John Kindervag cunhou o conceito de zero trust, ou confiança zero, como um novo marco para a defesa digital. A ideia de “nunca confiar, sempre verificar” se tornou um mantra para corporações de todos os tipos no que toca a linha de proteção contra ataques cibernéticos. São raras as ideias e paradigmas que, em um mundo conectado e acelerado, sobrevivem mais de uma década; aqui, estamos falando de uma que é mais importante do que nunca.

• Criminosos se inspiram no e-commerce e usam dark web para se profissionalizar
• Zero trust, IA e adaptação são soluções de segurança para ameaças crescentes

Hoje vice-presidente sênior da fornecedora de serviços gerenciados de segurança ON2IT, além de conselheiro em diferentes iniciativas do setor, ele vê essa ideia como, não apenas, mais importante do que nunca, mas também como principal saída em um cenário onde o perigo está em todos os lugares. “Você não pode controlar o cenário de ameaças, mas deve se concentrar no que consegue gerenciar: a superfície a ser protegida”, afirma, em entrevista ao Canaltech.

Quando se fala em zero trust, o pensamento logo trás à mente grandes nomes, como a gigantesca Microsoft e a CIA (Agência Central de Inteligência, na sigla em inglês), um dos mais importantes órgãos do governo dos Estados Unidos. Mas para Kindervag, que veio ao Brasil participar do EXPAND, evento de segurança promovido pela Redbelt Security, o conceito é livre de escala, com elementos que podem ser levados em conta por qualquer organização na hora de proteger o que importa e evitar danos aos processos e ao patrimônio.

Olhar sobre o que importa

O ponto principal é a defesa das “joias da coroa”, como o especialista aponta. “Trata-se de perguntar: ‘o que faria meu negócio parar?’ A abordagem deve ser contínua e o zero trust foi projetado como uma estratégia que ressoará aos níveis mais altos de qualquer organização, a partir da adição de camadas de segurança que garantem a continuidade das [operações]”, explica.

Chega a ser curioso notar que, na visão do especialista, a própria evolução do ambiente cibercriminoso fez com que o ideal, publicado em um estudo de 2012, tenha se tornado mais importante do que nunca. Hoje, os ataques ganharam caráter amplamente financeiro, com bandidos em busca do máximo de ganhos no menor tempo possível; uma grande corporação pode ser um alvo interessante, mas se estiver bem defendida, pode não ser atacada.

“[Os agentes de ameaças] não sabem se estão atacando um ambiente zero trust e normalmente não se preocupam em continuar um ataque se não forem bem-sucedidos rapidamente. Tempo é dinheiro”, afirma Kindervag. Ele pondera, claro, que sempre haverá uma corrida entre companhias tentando se defender e atacantes buscando explorar brechas ou ampliar o nível ofensivo; ainda assim, aponta, quem adota o conceito de confiança zero tem vantagens.

O especialista aponta o próprio coração da ideia como elemento central para a manutenção de sua relevância. Mais do que apenas combater vetores ou focar em monitoramento, o zero trust é sobre alterar a dinâmica do trabalho. “Trata-se de uma abordagem comportamental, de mudança das políticas de segurança apoiada por ferramentas e não o contrário”, completa ele.

Isso passa, inclusive, pelo fator humano, comumente citado como principal possibilitador de ataques e, também, elemento gerador de fricção no estabelecimento de políticas mais fortes de proteção. Novamente, Kindervag surge com uma ideia diferente da usual. “Sempre precisamos pensar na segurança como habilitador, e não bloqueador. É possível projetar sistemas que sejam transparentes e não interfiram [na rotina]”, afirma.

Novamente, o consultor lança uma pergunta: “você se mudaria para uma casa em que as portas não têm trancas e a entrada e saída de pessoas não é verificada?” Na visão de Kindervag, os mesmos conceitos de proteção que existem no mundo físico também precisam estar presentes no digital, caso contrário, o resultado, em termos de crime, também pode ser bem parecido.

Como facilitadores, o especialista cita ferramentas que reduzem senhas e o uso de métodos de autenticação por biometria, já comum nos smartphones. Mais do que isso, aponta que a confiança zero não foi feita para dificultar as coisas, mas sim, para proteger de elementos indevidos. “As políticas não interrompem a experiência do usuário, a menos que ele esteja tentando agir de forma maliciosa.”

Os cinco pilares do zero trust

Ao falar sobre o conceito de confiança zero, Kindervag indica um modelo de design de cinco etapas, que têm a visibilidade como um de seus marcos centrais. Encontrar as tais “joias da coroa” citadas é o primeiro passo, identificando dados, aplicativos, ativos e serviços que uma corporação deseja defender. “Você não pode proteger o invisível”, afirma, indicando a busca por um monitoramento amplo e uma noção de tudo o que está acontecendo, o tempo todo, como peça central.

Depois da identificação, vem a segunda etapa, que envolve entender como uma rede funciona e de que maneira todos os elementos a serem protegidos interagem uns com os outros e, também, com os demais recursos da rede. “A maneira como o tráfego se move pela superfície protegida determina o design e onde colocar os controles adequados”, indica Kindervag.

Na terceira etapa, vem a criação de uma arquitetura de confiança zero, que se alimenta diretamente da visibilidade e entendimento das duas anteriores. A dica do especialista é colocar os controles os mais próximos possíveis da superfície de proteção e, também, focar em elementos que funcionem sob medida para estrutura da corporação, já que cada “joia da coroa” é única e apresenta um grau diferente de criticidade.

Na sequência, vem o desenvolvimento da política de confiança zero. Aqui, Kindervag faz um paralelo com o jornalismo para explicar o que é o método Kipling, um conceito que permite explorar um problema à exaustão e o observar de todos os ângulos; no caso da imprensa, para abordar todos os pontos de vista e, no da segurança, de forma a fechar diferentes vias de intrusão e eventuais portas abertas para ataques.

O objetivo é determinar quem ou quais elementos podem acessar a superfície protegida, de que maneira eles poderão fazer isso e em quais momentos. Assim, se chega ao cerne da defesa, com regras claras de acesso e, também, uma visibilidade maior daquilo que sai do controle, em políticas que devem ser aplicadas diretamente na camada de aplicações.

Por fim, vem o registro e inspeção de toda a engrenagem, o tempo todo. “A telemetria não apenas ajudará a evitar violações de dados e outros eventos significativos de segurança, mas também fornecerá informações valiosas para a melhoria da proteção”, complementa Kindervag, que aponta sistemas de machine learning e inteligência artificial como grandes auxiliares desse trabalho que pode soar hercúleo.