Mais de dois anos após o início da pandemia, muitas empresas optaram por manter o modelo de trabalho remoto ou híbrido, o que as levou a enfrentar dois grandes problemas de cibersegurança.
O primeiro é o aumento na porcentagem de ataques cibernéticos originados de dentro da rede, ou seja, na maioria das vezes por usuários que, por desconhecimento ou erro, executam malware originados de e-mails, páginas da web, pen drives USB, principalmente pelo uso do dispositivo de trabalho para uso pessoal. Em segundo lugar, e ainda mais grave, ataques cibernéticos feitos por usuários mal-intencionados com conhecimento de cibersegurança que podem executar várias varreduras de rede ou portas para detectar as vulnerabilidades e/ou falhas em servidores e aplicativos.
Empresas têm se esforçado desde o início da pandemia para dar acesso aos seus funcionários para que possam trabalhar remotamente. No entanto, no aspecto de cibersegurança ainda há muito por fazer. Os CISOs (Chief information security officer) devem ter estratégias e ferramentas de segurança que lhes dêem visibilidade total de seus ativos de TI (hardware, sistemas de software ou informações que uma empresa valoriza) para tomar decisões com base em informações confiáveis e em tempo real.
Assim, sob o modelo Zero Trust, criado pela Forrester Research em 2010, vem a estratégia de segurança que orienta as empresas: não confiar e liberar acesso em um primeiro momento e sempre verificar todos os usuário e dispositivos que tentarem ou precisarem se conectar aos sistemas da empresa, e então só a partir daí negar ou conceder acesso. O gerenciamento de acesso de identidade do usuário é uma parte fundamental dessa abordagem, gerenciando o acesso de usuários individuais e de terceiros, bem como conexões simultâneas.
Uma forte estratégia de segurança Zero Trust incluirá a aplicação estrita do acesso do usuário, autenticação e monitoramento do comportamento e dos acessos do usuário, tanto dentro do data center quanto à medida que os usuários se conectam à web. Depois que a organização fortalece sua infraestrutura e segmenta os principais aplicativos críticos para o negócio, a equipe é a última linha de defesa.
Gerenciar o acesso e os privilégios de cada usuário significa que, mesmo que o pior aconteça e suas credenciais sejam roubadas com sucesso, não há como um invasor escalar essa violação ou fazer movimentos fora do que esse usuário específico tem direito de acessar. Por exemplo, uma pessoa de RH só precisará de acesso a todos os dados e aplicativos relevantes para sua função e não precisará de acesso estendido a nada fora disso.
Seguir os pilares do Extended Zero Trust é a melhor prática para proteger tanto a rede quanto os usuários de ameaças externas e internas. Felizmente, existem alternativas que suportam várias camadas de segurança, com microssegmentação de aplicações e detecção de movimentos laterais em servidores de data centers, pois desta forma os responsáveis pela cibersegurança garantem que só terão acesso pessoas autorizadas à ativos e aplicativos, independentemente de a conexão estar dentro ou fora do perímetro.
Seis pontos-chave baseados no modelo Zero Trust
Em geral, seis pontos-chave são essenciais para o sucesso de uma solução sólida de identidade de usuário seguindo as diretrizes do modelo Zero Trust que fornece aos CISOs uma postura de segurança mais rigorosa:
- Isolar as interações do usuário: Usando um grupo de usuários do Active Directory, a microssegmentação inteligente pode isolar o acesso do usuário, dando a pessoas específicas acesso a determinados servidores e aplicativos por meio de portas e processos específicos. Esse controle de acesso pode ser aplicado entre cargas de trabalho no mesmo segmento de rede e ainda permite conexões simultâneas do mesmo servidor/jumpbox;
- Gerenciamento de acesso de terceiros: os grupos de usuários podem oferecer suporte à aplicação de políticas específicas para cada conexão de terceiros, fortalecendo a segurança onde ela é mais fraca. Defina políticas para o data center como um todo, bem como aplicativos e cargas de trabalho individuais, fornecendo acesso ao que cada usuário precisa e nada mais;
- Gerenciamento de Identidade Privilegiado: As senhas de acesso de administrador/raiz geralmente não são alteradas e podem ser uma porta aberta para os invasores se estabelecerem. Ao testar sua rede em busca de pontos fracos, é importante observar a propagação usando senhas de root, bem como para onde os invasores podem se mover lateralmente a partir da violação inicial;
- Autenticação de dois fatores (2FA): Reduz consideravelmente o risco de comprometimento de credenciais; se os gerentes estão preocupados que as pessoas sejam retardadas por essa ferramenta de segurança essencial, é importante lembrá-los de que é como sacar dinheiro de um caixa eletrônico com um cartão bancário e um número PIN. Em breve, o 2FA será esse equivalente para o local de trabalho;
- Segurança na Web: Os golpes de phishing estão se tornando cada vez mais sofisticados e manipuladores, e a educação dos funcionários nem sempre pode ser confiável para detectar ataques antecipadamente. Soluções de segurança fortes incluirão gateways de segurança da Web que bloqueiam o acesso do usuário a qualquer site malicioso antecipadamente;
- Analise o comportamento do usuário – Você pode aprender muito sobre como seus funcionários agem monitorando "negócios diários", o que pode ajudar a criar políticas que aprendem com seus funcionários reais e podem alertá-lo sobre ações anômalas. Isso pode ser qualquer coisa, desde um login em um horário incomum do dia até o uso de credenciais quando um funcionário deveria estar de férias.
É importante que os CISOs e os departamentos de cibersegurança tenham total visibilidade das conexões em todas as suas aplicações em nível de processo, tanto on-site quanto na nuvem, bem como rastreabilidade ao longo do tempo e criem políticas baseadas nas informações obtidas, para reduzir a superfície de ataque. Desta forma, ambientes Zero Trust podem ser alcançados onde tudo está sob o controle da equipe de TI.
Helder Ferrão, Gerente de Marketing de Indústrias da Akamai Technologies para América Latina.
