O que é “Confiança Zero”

Imagine que você trabalha em um grande escritório (talvez nem precise imaginar). Pode ser corporativo, governamental, legal, sem fins lucrativos, não importa. Agora imagine que você precisa de algum documento entregue em mãos a um colega, assinado e devolvido. A razão para este procedimento não é importante, então crie um cenário. Quaisquer que sejam as circunstâncias, porém, este documento deve ser entregue em formato de cópia impressa e assinado fisicamente. Ok, você tem tudo isso em mente? Vamos pensar em três maneiras pelas quais isso pode acontecer:

Cenário 1: 100% de confiança

Imagine que você pega pessoalmente esse documento em suas mãos, caminha pelo corredor até a mesa de seu colega, entrega o documento a ele, observa-o assinar e depois o recebe de volta. É assim ter 100% de confiança em um processo: não há intermediários, o documento nunca saiu de vista, não há espaço para ambigüidades ou incertezas.

Cenário 2: Confiança Razoavelmente Boa

Agora vamos adicionar uma pequena complicação: você é um figurão. Você não anda pelo corredor sozinho (quem tem tempo para isso?), você o entrega ao seu assistente administrativo. Eles levam o documento pelo corredor. Talvez eles até passem para o administrador do seu colega. Então, esse processo é revertido depois de assinado.

Neste cenário, temos alguns intermediários. Mas esses intermediários são bastante confiáveis: eles são seus administradores sempre presentes e altamente competentes. E o documento nunca sai do seu andar ou prédio, então você tem certeza de que nada pode dar errado. Este é um cenário de confiança “razoavelmente boa”. Em segurança cibernética, podemos comparar isso com o que agora é conhecido como “modelo de segurança de perímetro”. Nesse modelo, as redes de computadores são projetadas para funcionar como sistemas internos fechados, como o escritório que descrevemos acima. As informações são passadas entre sistemas individuais na rede usando uma série de intermediários internos, mas eles nunca saem do prédio (virtual). Desde que a rede interna esteja segura, essas informações também estarão. Você poderia ter um administrador secretamente maligno que está realmente espionando você para um rival? Claro, isso é uma possibilidade teórica. Da mesma forma, no modelo de perímetro de segurança, você pode ter dispositivos comprometidos dentro da rede. Mas se você fizer um bom trabalho protegendo esse perímetro (um bom trabalho contratando seus administradores, em nossa analogia), o risco é baixo e você pode operar com razoável confiança de que a rede é segura (assim como você confiaria razoavelmente em seus administradores para entregar o documento). Ou pelo menos, essa é a teoria. Voltaremos a isso daqui a pouco. essa é a teoria. Voltaremos a isso daqui a pouco. essa é a teoria. Voltaremos a isso daqui a pouco.

Cenário 3: Confiança Zero

Agora vamos ficar muito mais complicado. O colega que você precisa que assine este documento não trabalha no seu prédio. Você trabalha para uma organização gigante com muitos escritórios em toda a região/país/mundo. Seu colega está em outra instalação. Para levar o documento a essa instalação, seu administrador chama um serviço de mensagens. O serviço de mensageiro chega ao seu prédio, pega o documento do seu administrador e sai. Eventualmente, outro representante do serviço de mensagens aparece no prédio onde seu colega trabalha. Eles levam o documento pelo posto de segurança do prédio, até o andar onde seu colega trabalha, pela recepcionista da recepção, até o admin do seu colega. Agora estamos de volta ao “sistema interno”. Quando o documento é assinado, revertemos o processo de volta pelo serviço de mensageiro, a segurança do seu prédio e a recepcionista do seu andar. Muito mais mãos tocaram este documento e inseriram uma caixa preta gigante no meio do processo: o que acontece enquanto o documento está na posse do serviço de mensagens? Não é que você não confie neste serviço de mensageiro (caso contrário, por que você os contrataria?). Mas, apesar de qualquer confiança que você possa ter neles, você não tem visibilidade de seu processo interno. Como eles classificam, priorizam, e lidar com as entregas? Eles fazem tudo sozinhos ou existem intermediários ou subcontratados adicionais? Quantas pessoas do serviço de mensageria têm acesso ao seu documento enquanto ele estiver em sua posse? Quais são suas políticas internas em relação ao manuseio de documentos? Qual é o processo de contratação/triagem? Talvez seu administrador saiba um pouco disso ou talvez sua equipe jurídica ou de relações com parceiros saiba, mas acho que você não.

É assim que o Zero Trust se parece. É depender de partidos que são uma espécie de caixa preta: você sabe que dá uma mensagem a eles e ela aparece do outro lado, mas você não tem ideia do que acontece no meio. Na segurança de computadores, isso é análogo a sistemas que rodam na nuvem ou tráfego que precisa passar pela internet aberta. À medida que mais e mais trabalhos acontecem remotamente, mais e mais sistemas se encaixam nessa descrição, de e-mail a bancos de dados internos ou CRMs ou ferramentas de gerenciamento de projetos ou drives de documentos, etc., especialmente se eles precisam ser acessados ​​por funcionários de locais remotos. Os serviços de mensagens nesta analogia são os provedores de serviços de nuvem e internet que hospedam esses serviços ou transportam informações de e para eles.

Por que chamamos isso de confiança zero? Obviamente, confiamos pelo menos um pouco em alguns desses provedores de serviços de nuvem e internet (caso contrário, não usaríamos seus serviços). Mas há algumas ressalvas a essa confiança: podemos nem saber que estamos usando alguns provedores (imagine que nosso serviço de mensageiro tem subcontratos para os trechos entre cidades que desconhecemos) e ainda outros podemos não ter escolha a não ser uso (ou seja, seu provedor de internet local pode ter um monopólio). Mesmo quando temos algum grau de confiança em um provedor, não controlamos ou entendemos totalmente seus processos internos, e esse efeito de caixa preta deve nos deixar com algumas preocupações. Pensando em nossa analogia com o serviço de mensagens, aqui estão algumas “ameaças” que podem surgir:

1. Alguém, durante o manuseio do serviço de mensagens pelo nosso documento, o lê e obtém informações confidenciais. Eles podem fazer isso para seu próprio benefício (insider trading, talvez) ou para o benefício de outra pessoa (espionagem corporativa).
2. Alguém, durante o tratamento de nosso documento pelo serviço de mensagens, faz uma alteração nefasta no documento que altera sua intenção ou efeito. Por exemplo, se o documento contém instruções para enviar dinheiro para algum lugar, eles alteram essas instruções para incluir sua própria conta bancária como destino.
3. Alguém que sabe que usamos esse serviço de mensagens envia uma mensagem por meio dele para seu colega, alegando ser seu (ou de outro colega), e faz com que ele tome uma ação. Em outras palavras, um golpe clássico (mas talvez mais sofisticado).

As duas primeiras preocupações têm mitigações bastante diretas. Em nossa analogia com o serviço de mensagens, se o documento contiver algo confidencial ou sensível, podemos selar nosso documento de forma a revelar adulteração ou escrever o documento em algum tipo de código. Sabemos como fazer essas duas coisas com documentos físicos desde os tempos antigos, e uma ou ambas as táticas tornam muito mais difícil ler ou alterar o documento enquanto ele está em trânsito sem que o destinatário perceba. Essas ideias também se traduzem prontamente na segurança do computador: a criptografia é o equivalente a escrever em código e a “assinatura” criptográfica é o equivalente a colocar um selo em um documento para revelar adulteração.

O cenário final — alguém fingindo ser nós — é uma das principais preocupações da rede de confiança zero. Na analogia do documento, nosso negócio provavelmente desenvolveria práticas que forneceriam algum grau de proteção contra isso: alertar o destinatário para esperar uma entrega em tal e tal dia de tal e tal pessoa, ligar para o remetente para verificar detalhes de um documento e suas instruções, assinar coisas dentro e fora para criar uma trilha de custódia, exigir uma identificação com foto em cada extremidade para confirmar o remetente e o destinatário, etc. Algumas dessas podem ser medidas empregadas pelo próprio serviço de mensagens para melhorar a segurança e aumentar nosso nível de confiança.

Em uma rede de computadores Zero Trust, contamos com métodos fortes de “autenticação mútua”. Quando alguém faz login em um sistema protegido por confiança zero, não aceitamos sua palavra de que é quem diz ser, fazemos com que provem usando a autenticação multifator e verificamos indicadores suspeitos, como login de um local do outro lado do país/mundo de onde normalmente trabalham. Também não os fazemos acreditar em nossa palavra de que o sistema ao qual estão se conectando é o que pensam ser, o sistema fornece “prova” (geralmente usando algo chamado certificado) para mostrar ao usuário que é o sistema certo. Isso normalmente acontece “de forma transparente”, o que significa que o usuário só é notificado se algo estiver errado. Seguimos um processo semelhante quando os sistemas conversam entre si, fazendo com que cada um prove ao outro sua identidade (novamente, usando certificados). Isso nos dá confiança de que ninguém está sentado entre esses dois sistemas lendo e/ou alterando as informações que fluem entre eles.

Limitações de confiança zero

Um bom resumo de confiança zero poderia ser este: criptografar e assinar tudo, autenticar fortemente todos. Isso resulta em uma rede que é extremamente resiliente a tentativas de maus atores externos de usar nossos “serviços de mensagens” contra nós. Essa arquitetura Zero Trust não é infalível (dado a um adversário com tempo e determinação suficientes, ele eventualmente encontrará uma maneira de entrar), mas é muito robusta contra a maioria dos ataques externos.

Isso vem com uma desvantagem potencial: pode tornar as ameaças internas mais potentes. Imagine que seu colega na outra instalação é o malfeitor. Eles estão tentando roubar de sua empresa. Como eles conhecem muito bem o processo e têm as permissões necessárias para iniciar uma transação, eles podem usar seus próprios processos internos contra você. Dadas todas as salvaguardas que você estabeleceu, quando você recebe a mensagem deles, você tem grande confiança de que é genuíno (como, de fato, é; também é nefasto). Portanto, desde que a solicitação não seja de natureza obviamente maliciosa, essa confiança pode aumentar a probabilidade de você aprová-la. Em outras palavras, o processo Zero Trust pode realmente dar credibilidade às ações de um insider mal-intencionado por causa de todas as caixas que eles verificam ao longo do caminho.

Do ponto de vista da segurança cibernética, isso requer o que chamamos de “defesa em profundidade”. Não contamos apenas com nossas proteções Zero Trust, também implementamos a separação de funções (também conhecida como “Princípio do Menor Privilégio”), aprovação de várias partes para determinadas ações e monitoramento de atividades incomuns ou anômalas (mesmo se estiver vindo de pessoas de dentro). As empresas também fazem coisas semelhantes no mundo físico, porque cada sistema tem seus pontos fracos, portanto, colocá-los em camadas resulta em uma proteção geral mais forte.

Por que ter confiança zero em todos os lugares?

O que percebemos em segurança cibernética é que o modelo de perímetro de “confiança razoável” que discutimos no cenário dois acima realmente não existe. Mesmo quando pensamos que as coisas estão totalmente contidas dentro de nossas próprias redes privadas, freqüentemente há aberturas na armadura das quais não estamos cientes (seja coisas que foram acidentalmente abertas ou coisas que têm fraquezas que não conhecemos). Uma vez que essas aberturas são exploradas, o modelo baseado em perímetro torna muito, muito fácil para os maus atores enlouquecerem.

Cada vez mais, porém, a maioria das coisas não está contida em nossas próprias redes privadas. Durante anos, as empresas têm movido cada vez mais seus serviços de TI “para a nuvem” em vez de gerenciá-los em data centers internos. Isso começa a introduzir o efeito “caixa preta” que discutimos. Adicione a isso trabalhadores remotos, um setor da força de trabalho que explodiu durante a pandemia, e você terá mais “caixas pretas” com as quais se preocupar. Cada vez mais tudo o que a equipe da sua organização faz está passando por várias redes que você não controla e rodando em uma infraestrutura que não é sua.

O objetivo não é lançar calúnias sobre esses provedores. Espero que você tenha escolhido um provedor de nuvem em que confie razoavelmente. Espero que seus provedores de internet não sejam maus. Mas mesmo na melhor das hipóteses, você está contando com eles. O que acontece se eles forem violados? O que acontece se eles não perceberem que foram violados? O Zero Trust é uma forma de mitigar não apenas quaisquer preocupações que você possa ter sobre seus próprios provedores, mas também protegê-lo contra qualquer atividade maliciosa direcionada a eles na qual você possa ser pego no meio. Combinado com defesa em profundidade, cria uma postura de segurança muito robusta.

Resumo

As arquiteturas de rede Zero Trust são motivadas pelo efeito “caixa preta” de depender de provedores que você não controla (ou seja, serviços em nuvem ou internet pública). Como não temos visibilidade e controle sobre esses serviços, não podemos saber quem pode estar lendo ou interferindo em nossas atividades. Para proteger contra isso, implementamos uma combinação de criptografia (transmitindo nossa atividade em código), assinatura criptográfica (permitindo detectar adulteração) e mecanismos robustos para verificar mutuamente as identidades de ambos os lados em uma interação virtual. Isso nos dá uma confiança muito alta de que a atividade em nossa rede é “genuína”, fornecendo segurança robusta contra todos, exceto os invasores externos mais determinados. Essa confiança poderiaser explorado por ameaças internas, então ainda precisamos de outras medidas de segurança — principalmente o Princípio do Menor Privilégio e monitoramento de comportamento incomum — para completar nossa postura de segurança.