O trabalho em casa revelou inadequações em firewalls de perímetro e VPNs que o Zero Trust (Confiança Zero). No entanto, você precisa estar disposto a investir tempo.
No final do ano passado, uma empresa instalou três camadas de segurança e realizou uma auditoria. Isso mostrou que desde que eles terminaram a instalação, eles tiveram cinco incidentes de segurança. Contudo, todos eles se originaram dentro de seu perímetro de segurança, ignorando a maior parte de sua proteção.
A pergunta deles era o que eles fizeram de errado e como eles poderiam consertar isso.
O que esta empresa experimentou está longe de ser raro. Entretanto, a origem de seus problemas e os caminhos para a correção também estão longe de serem fáceis. Antes de explicar o Zero Trust (Confiança Zero) , é preciso entender o seguinte:
O que é segurança, afinal?
Tendemos a pensar na segurança como um objetivo que podemos alcançar com um simples kit de ferramentas. No entanto, a segurança é o estado que você alcança ao lidar com todas as ameaças prováveis, e cada ameaça deve ser tratada de uma maneira única. Afinal, os problemas podem vir de hackers que obtêm acesso a um aplicativo ou banco de dados de fora, por meio de coisas como roubo de credenciais ou exploração de autenticação fraca.
Não obstante, eles também podem vir de explorações, em que falhas em um programa (aplicativo, middleware ou sistema operacional) podem ser usadas para desencadear um comportamento malicioso. Finalmente, eles podem vir de malware que é introduzido de alguma forma. Na verdade, combinações dos três são cada vez mais comuns. Isso acontece porque as empresas tendem a se concentrar na segurança do perímetro como uma defesa contra o primeiro desses problemas de segurança. Entretanto, eles ignoraram os dois últimos.
Entretanto, corrigir esses outros dois problemas não significa abandonar a segurança do perímetro. Pelo contrário. Significa abordar todas as possíveis fontes de problemas, e os problemas relatados pelo meu contato oferecem algumas informações sobre as regras para aprimorar o foco na segurança.
#1
A regra número um é que construir um muro é inútil se você mantiver o portão aberto. E, infelizmente, a maioria das empresas é muito negligente na proteção dos dispositivos dos funcionários e, na maioria dos incidentes de segurança, o problema é criado por um laptop infectado. Ou seja, trabalhar em casa significava que a empresa estendeu o acesso VPN da organização a dispositivos que não eram apenas não protegidos, mas nem mesmo inspecionados. Contudo, sempre que possível, os dispositivos de trabalho não devem ser usados para fins particulares e vice-versa.
#2
A regra dois é aprender latim, ou pelo menos a frase crítica em latim “Quis custodiet ipsos custodes”. Traduzido livremente, isso significa “Quem vai vigiar os próprios guardas?” Afinal, ferramentas de monitoramento, gerenciamento e até mesmo de segurança geralmente têm acesso privilegiado a recursos e aplicativos. Entretanto, no último ano tivemos dois grandes problemas de segurança associados à contaminação de uma dessas ferramentas: a violação do SolarWinds e o Log4j. Esses problemas provam que as coisas que precisamos para executar nossas redes, aplicativos e data centers podem nos incomodar. Portanto, temos que prestar atenção especial a eles, mantendo-os atualizados e observando comportamentos inconstantes.
Sobre softwares de desktop
Então, manter o software atualizado é fundamental para aplicar essas duas regras. No entanto, infelizmente, isso costuma ser um problema para as empresas. Afinal, o software de desktop, principalmente com WFH, é sempre um desafio para atualizar. Contudo, uma combinação de gerenciamento de software centralizado e uma revisão programada de versões de software em sistemas domésticos pode ajudar. Entretanto, para ferramentas de operações, não fique tentado a pular versões em ferramentas de código aberto só porque elas parecem acontecer muito. É inteligente incluir uma revisão de versão do software de operações críticas como parte de seu programa geral de gerenciamento de software e examinar atentamente as novas versões pelo menos a cada seis meses.
Mesmo com tudo isso, não é realista supor que uma empresa possa antecipar todas as possíveis ameaças representadas por todos os possíveis maus atores. Prevenir a doença é o melhor, mas tratá-la assim que os sintomas surgirem também é essencial. O princípio de segurança mais subutilizado é que prevenir o mau comportamento significa compreender o bom comportamento. Qualquer que seja a origem de um problema de segurança, quase sempre significa que algo está fazendo algo que não deveria. Como podemos saber isso? Observando diferentes padrões de comportamento. É disso que se trata o Zero Trust (Confiança Zero), outro termo de segurança amplamente mal utilizado. Às vezes é; muitas vezes não é.
O que Zero Trust (Confiança Zero) realmente significa?
Não há nada mais fácil do que colocar um rótulo em um produto ou serviço. Se você observar exatamente o que é uma solução de Zero Trust (Confiança Zero), verá que nem sequer temos consenso sobre o significado do conceito. Então, como você pode confiar em um termo sem sentido ou com vários significados? O que queremos do Zero Trust (Confiança Zero) é monitoramento e controle de comportamento.
Pergunte-se quantos aplicativos um trabalhador médio poderia acessar em sua empresa? Como, então, você poderia saber se o trabalhador, ou alguém trabalhando no laptop do trabalhador, estava roubando dados ou contaminando as operações? Afinal, os funcionários não sabem o que é permitido, então não pode identificar o que não era autorizado. E é aí que entra o Zero Trust (Confiança Zero).
Um sistema de Zero Trust (Confiança Zero) deve assumir que não há direito implícito de conexão com nada. Os direitos de conexão são explícitos, não permissivos, e essa é a propriedade crítica para a segurança Zero Trust (Confiança Zero) e crítica para o monitoramento e controle de comportamento.
Desafios do Zero Trust (Confiança Zero)
Ninguém questiona o desafio associado à definição não apenas da conectividade permitida para cada funcionário. Mas também dos requisitos de conexão para software de gerenciamento e operações, middleware e muito mais. Essas dificuldades são o motivo pelo qual as empresas geralmente não aceitam a verdadeira segurança Zero Trust (Confiança Zero) e o motivo pelo qual os fornecedores podem reivindicar sem fornecer os recursos necessários. Sim, Zero Trust (Confiança Zero) dá mais trabalho, mas não, você não pode evitá-lo e ficar realmente seguro.
Mesmo enfrentar o desafio de definir a conectividade permitida não acaba com a dor. Afinal, um sistema Zero Trust (Confiança Zero) deve reconhecer e registrar tentativas de fazer conexões não autorizadas. Na verdade, é esse recurso que torna o Zero Trust (Confiança Zero) tão importante. Quase todos os ataques dentro do perímetro explorarão conectividade e recursos em busca de algo interessante. Entretanto, em um bom sistema Zero Trust (Confiança Zero), essas explorações serão detectadas e registradas, o que alerta a empresa para o fato de que algo está errado. Afinal, a ação imediata pode salvar o dia.
Práticas de validação de Zero Trust (Confiança Zero)
Portanto, a melhor maneira de validar um sistema Zero Trust (Confiança Zero) que alguns fornecedores estão propondo é ver como aplicá-lo. É bom oferecer suporte a uma estrutura hierárquica para atribuir direitos de conexão às coisas. Afinal, todos os funcionários da contabilidade, por exemplo, e todos os softwares de contabilidade provavelmente terão permissões de conexão comuns.
Então, é bom ter as exceções registradas armazenadas de forma que análises tradicionais e até ferramentas de IA possam examiná-las e procurar padrões.
Por fim, é bom que isso pareça um pouco trabalhoso, porque produtos que não exigem muito de você provavelmente entregarão pouco em troca. A criação de permissões de conexão e diários de exceção são essenciais para a segurança, portanto, não comprometa esses recursos apenas para facilitar. A segurança é difícil, mas a recuperação de problemas de segurança é mais difícil.
Você também pode contar com a expertise de uma empresa de tecnologia para cuidar da sua segurança.
Sobre a Infonova
A Infonova já atendeu mais de 135 clientes dos mais diversos segmentos, desde corporate, governo, PME até indústria do entretenimento e saúde. Você pode conferir a lista completa de clientes satisfeitos da Infonova aqui.
A Infonova usa uma metodologia consolidada. Portanto, essa empresa de TI conta com depoimentos da maioria de seus clientes garantindo a qualidade do atendimento.
Em relação à confiança, a Infonova comprova sua transparência e seriedade logo no início do nosso contrato. Afinal, é quando realiza uma visita inicial de manutenção intensiva em todos os computadores da sua empresa e também servidores.
Inclusive, se você pedir, a Infonova oferece um mapeamento de todo seu ambiente de TI. Afinal, seu interesse é conhecer toda sua infraestrutura e, de cara, resolver todas as suas dores.
Resumindo, a Infonova faz um diagnóstico para identificar como está a sua TI. Então, avalia o que está bom, resolvemos o que está ruim e cria um projeto para o que é possível melhorar. Tudo isso sem custo. Ou seja, a Infonova conta com as melhores condições custo-benefício do mercado. Especialmente em relação a automação da infraestrutura em nuvem e outras inovações.
Perfil Infonova
A expertise da Infonova permite fornecer atendimento técnico local com escalas flexíveis definidas pelo cliente. Estas incluem:
- Atendimento por demanda;
- Disponibilização de equipes com 1 técnico local e retaguarda especializada;
- Equipes completas com até 200 profissionais qualificados para assumir parte ou toda a operação de TI.
Colaboradores
O trabalho executado pela equipe da Infonova é primoroso. Afinal, essa empresa de TI se preocupa com seus funcionários. Ou seja, a Infonova oferece participação nos lucros aos seus colaboradores a fim de mantê-los sempre motivados. Além disso, a contratação dos analistas é CLT Full, o que reduz o turnover e aumenta a confiança.
Soluções
A Infonova tem soluções voltadas para PMEs, Governo e Corporate. Contudo, todas essas soluções compreendem modelos flexíveis com início rápido e transição sem dor.
Para saber mais sobre os serviços da Infonova e sinais de alerta sobre seu treinamento de TI, entre em contato pelo (11) 2246-2875 ou clique aqui.
Se quer saber mais sobre o que nossos clientes têm a dizer sobre nossos serviços, baixe gratuitamente nossos cases exclusivos.
