Arquitetura Zero Trust: Uma maneira moderna de proteger sistemas

Hoje em dia, as pessoas trabalham de qualquer lugar (casa, espaços de coworking, aeroportos, cafés...) usando dispositivos pessoais, aplicativos na nuvem e ferramentas SaaS compartilhadas que ficam bem fora do perímetro da empresa. Com a arquitetura zero trust (ZTA), a gente parte do princípio de que uma violação pode acontecer a qualquer momento, em vez de confiar por padrão.

Eu conheci o conceito de confiança zero há alguns anos, quando trabalhava com uma startup que tinha engenheiros espalhados por três continentes e dados de clientes passando por vários provedores de nuvem diferentes. Manter o controle de quem tinha acesso era um desafio, para dizer o mínimo. Mas, implementar alguns princípios de confiança erótica zfez uma diferença imediata. Tivemos menos alarmes falsos, responsabilidades mais claras e muito menos estresse para todo mundo envolvido.

Neste artigo, vamos dar uma olhada no que realmente significa zero trust, como funciona na prática e como qualquer organização pode começar a adotá-lo para se manter segura. Se você é novo no mundo da segurança cibernética ou quer dar uma atualizada rápida sobre como as ameaças modernas funcionam, nosso curso Introdução à Segurança de Dados é um ótimo ponto de partida. Ele aborda princípios básicos como autenticação, criptografia e controle de acesso.

O que é a arquitetura Zero Trust?

O ZTA é um modelo de segurança baseado em uma ideia principal: nunca confie, sempre verifique. Em vez de achar que os usuários ou dispositivos dentro da sua rede são seguros, o Zero Trust trata cada solicitação como potencialmente maliciosa até que se prove o contrário. Pode parecer rigoroso, mas reduz drasticamente a chance de alguém passar despercebido.

Zero trust não é um produto ou ferramenta que você pode comprar. É uma estrutura que junta políticas, gerenciamento de identidade, monitoramento e automação pra garantir que cada pedido de acesso seja legítimo e adequado ao contexto. Ele analisa coisas como:

• Quem está fazendo a solicitação (identidade do usuário)
• Que dispositivo eles estão usando (postura do dispositivo)
• De onde eles estão se conectando (localização e nível de risco)
• O que eles estão tentando fazer (acessocom privilégios mínimos)

Ao verificar esses fatores o tempo todo, o zero trust ajuda as organizações a se protegerem contra ameaças modernas, como roubo de credenciais, uso indevido por pessoas de dentro e movimentação lateral após uma violação.

Tudo bem, mas o que isso quer dizer na prática? Bem, todo o modelo se baseia em três princípios simples, mas poderosos:

1. Verificação contínua

A confiança zero parte do princípio de que a confiança deve expirar rapidamente. Cada login, cada pedido de acesso e, às vezes, até cada ação é verificado em tempo real. A autenticação multifatorial, as verificações de integridade do dispositivo e a análise comportamental ajudam a confirmar que os usuários são quem dizem ser e que seus dispositivos são seguros para conexão.

2. Acesso com privilégios mínimos

Mesmo os usuários de confiança não devem ter acesso total a tudo. A ideia é dar às pessoas e aos sistemas apenas acesso suficiente para fazerem o seu trabalho, e nada mais. Técnicas como just-in-time (JIT) e acesso apenas o necessário (JEA) ajudam a limitar a exposição, então, se uma conta for comprometida, o dano fica contido.

3. Presumir violação

A confiança zero parte do princípio de que um invasor já pode estar dentro do sistema. Em vez de depender só da prevenção, ele foca na contenção, usando coisas como microsegmentação, detecção de anomalias e monitoramento contínuo para impedir as ameaças antes que elas se espalhem.

Os pilares da confiança zero

Os pilares da ZTA traduzem a filosofia em áreas específicas de foco. Diferentes estruturas definem esses pilares de forma um pouco diferente (a CISA usa cinco, enquanto o Departamento de Defesa amplia para sete), mas todas elas buscam responder a uma pergunta: Como podemos verificar, proteger e controlar os riscos em toda a organização?

Sei que parece muito, mas você não precisa proteger tudo de uma vez! Na verdade, a maioria das organizações começa pequena (muitas vezes com identidade e dispositivos) e vai crescendo aos poucos, conforme seus sistemas e equipes ficam mais experientes. Vamos dar uma olhada nisso mais de perto.

Como implementar o Zero Trust

Não vou mentir, implementar o ZTA pode ser um trabalho e tanto. Mas, como eu disse antes, não precisa fazer tudo de uma vez só. As implementações mais bem-sucedidas acontecem aos poucos, começando com visibilidade e pequenas vitórias de alto impacto antes de se expandirem por todos os sistemas e equipes.

Quando ajudei uma startup a implementar seus primeiros controles de confiança zero, não começamos com automação sofisticada ou segmentação de rede. Simplesmente mapeamos quem tinha acesso a quê, implementamos a autenticação multifatorial em todos os lugares e criamos algumas políticas claras. Mesmo esse pequeno passo reduziu bastante o risco e facilitou identificar onde eram necessárias melhorias maiores.

Aqui está um roteiro prático que vai funcionar para a maioria das organizações:

1. Mapeie seus ativos e fluxos de dados

Não dá pra proteger o que você nem sabe que existe. Comece identificando usuários, dispositivos, aplicativos e dados, bem como a forma como eles interagem. Isso ajuda a descobrir caminhos de acesso desnecessários ou sistemas antigos que podem estar causando riscos sem a gente perceber.

2. Verifique usuários e dispositivos

Introduza uma identidade forte e verificação do dispositivo. Isso significa habilitar a autenticação multifatorial (MFA), verificar a postura do dispositivo e integrar sistemas de gerenciamento de identidade (como IAM ou SSO) para que a autenticação ocorra de forma consistente em todas as ferramentas.

3. Mapeie fluxos de trabalho e dependências

Documente como os dados e os aplicativos se conectam. Isso ajuda você a entender quais sistemas são mais críticos e quais podem ser isolados ou limitados sem prejudicar as operações diárias.

4. Defina e aplique políticas

Crie políticas de acesso com base no princípio do privilégio mínimo e no risco contextual. Por exemplo, um prestador de serviços só pode acessar um aplicativo específico durante o horário comercial e apenas a partir de um dispositivo verificado.

5. Automatizar e monitorar sempre

Depois que suas regras estiverem definidas, a automação vai garantir que elas sejam seguidas de forma consistente. Ferramentas de monitoramento contínuo podem sinalizar logins incomuns, escalações de privilégios ou transferências de dados em tempo real, antes que se tornem incidentes graves.

6. Teste, aprenda e repita

Se você vai lembrar de uma coisa deste artigo, que seja esta: A confiança zero não é algo que você marca uma vez e pronto! É um sistema em evolução. Você precisa testar controles, revisar alertas e ajustar políticas regularmente, principalmente à medida que sua organização cresce.

Como grande parte do zero trust depende da compreensão do seu ambiente de nuvem, nosso curso Compreendendo a Computação em Nuvem é um ótimo curso complementar. Explica como os serviços em nuvem funcionam nos bastidores e como pensar sobre propriedade de dados, cargas de trabalho e arquitetura em um mundo com várias nuvens.

Benefícios e desafios do Zero Trust

Quando a ZTA é bem feita, ela cria uma base clara e consistente para o controle de acesso e a visibilidade em toda a organização. Mas, como qualquer grande mudança, ela também traz seus desafios.

Aqui está o que você pode esperar de ambos os lados:

Tem mais uma coisa que vale a pena falar aqui. Quandotrabalhei pela primeira vezna implementaçãodo Zero-trust, o maior desafio não foi a tecnologia e as ferramentas, mas sim a mentalidade geral da empresa. As pessoas estão acostumadas a confiar uma vez e seguir em frente. O zero trust pede que elesverifiquem sempre . No começo, parece um trabalho extra, mas, quando a automação entra em ação, fica quase invisível para o usuário final. Todo mundo precisa confiar no processo!

Uma coisa que você pode fazer para amenizar isso é fazer a adoção aos poucos. Comece aos poucos (talvez só com identidade e MFA), mostre o valor e vá expandindo aos poucos. Com o tempo, você vai encontrar o equilíbrio entre segurança e uma experiência de usuário tranquila.

Zero Trust na vida real

O zero trust é usado por algumas das maiores organizações do mundo para proteger seus sistemas, dados e pessoas. O interessante é que cada lançamento bem-sucedido parece um pouco diferente. Alguns começaram depois de uma violação, outros como parte de uma iniciativa de modernização.Aqui estão alguns exemplos que mostram como isso funciona na prática e o que podemos aprender com eles:

Google: De VPNs a BeyondCorp

Em 2009, o Google levou um grande ataque cibernético chamado Operação Aurora. Em vez de corrigir sistemas antigos, a empresa repensou completamente a forma como os funcionários acessavam os recursos. O resultado foi o BeyondCorp, um dos primeiros modelos zero trust que eliminou completamente a necessidade de VPNs.

Cada pedido para aplicativos internos é verificado por meio da identidade, do estado do dispositivo e do contexto (como localização ou rede). Isso quer dizer que, seja um engenheiro trabalhando em Mountain View ou num café em Tóquio, o acesso é dado da mesma forma: de forma dinâmica, com base em sinais de confiança.

Agora, o Google tem uma equipe global que pode trabalhar com segurança de qualquer lugar, sem o atrito constante do acesso baseado em rede. A BeyondCorp mostrou que o zero trust dá pra escalar, bem antes do trabalho remoto virar tendência.

Capital One: Contendo violações com segmentação

Em 2019, um firewall mal configurado causou uma grande violação de dados na Capital One, expondo milhões de registros de clientes. A recuperação da empresa se concentrou na adoção de princípios de confiança zero em toda a sua infraestrutura em nuvem.

Eles implementaram funções IAM detalhadas, microsegmentação e monitoramento contínuo em milhares de contas AWS. Em vez de uma grande rede interna “confiável”, cada aplicativo virou seu próprio ambiente independente.

Agora, mesmo que um invasor comprometa um componente, o movimento lateral é limitado e a violação é interrompida na fonte.

Os EUA Ministério da Defesa: Proteção em grande escala

Com milhões de usuários e uma das maiores presenças digitais do mundo, os EUA... O Departamento de Defesa enfrentou a tarefa impossível de modernizar seu modelo de segurança. Em 2022, eles lançaram uma Estratégia Zero Trust de cinco anos baseada em sete pilares: identidade, dispositivos, redes, aplicativos, dados, visibilidade e automação.

As primeiras áreas de foco foram identidade e visibilidade: garantir que todos os usuários e dispositivos, em todas as filiais, fossem autenticados sob o mesmo conjunto de políticas contextuais. Com o tempo, esses controles passaram a incluir automação e respostas adaptativas aos riscos.

Essa implementação massiva e gradual mostrou que até as organizações mais complexas podem fazer a transição para o zero trust.

Saúde: Protegendo os dados dos pacientes sem atrasar o atendimento

Na área da saúde, tempo e precisão salvam vidas, então os modelos tradicionais de segurança do tipo “bloquear tudo” não funcionam. Hospitais como a Mayo Clinic adotaram a política de confiança zero para proteger os registros dos pacientes sem atrapalhar o fluxo de trabalho clínico.

Cada função da equipe tem níveis de acesso bem definidos: Os médicos podem acessar registros eletrônicos confidenciais de saúde a partir de dispositivos móveis seguros, enquanto enfermeiros e funcionários administrativos têm acesso restrito e limitado no tempo aos dados de que realmente precisam.

Essas decisões de acesso são reforçadas pela microsegmentação e pelo monitoramento contínuo, garantindo que, mesmo que uma credencial seja roubada, ela não possa abrir todas as portas da rede do hospital. A ZTA não é só pra grandes empresas de tecnologia.

O papel da IA e da automação no modelo Zero Trust

Depois que as bases do zero trust estiverem prontas, o próximo passo é fazer tudo funcionar em grande escala. Por sorte, hoje em dia, temos a inteligência artificial e a automação pra ajudar nisso.

A confiança zero gera um monte de dados: registros, padrões de acesso, sinais de dispositivos e métricas comportamentais. Revisar tudo manualmente não é nada realista. A automação transforma esse ruído em ação, e a IA ajuda a identificar os sinais fracos que os humanos podem deixar passar.

Detecção mais inteligente por meio do machine learning

Os sistemas de segurança tradicionais dependem de regras fixas. Por exemplo, “bloquear logins de fora do Reino Unido”. Mas os sistemas de IA podem aprender o que é “normal” para cada usuário ou dispositivo e sinalizar pequenos desvios:

• Um desenvolvedor acessando um novo repositório às 3 da manhã.
• Um dispositivo que de repente não passa na verificação de integridade depois de uma atualização.
• Um usuário que está baixando mais dados do que o normal.

Essas anomalias nem sempre significam um ataque. São avisos, e a IA ajuda a separar o inofensivo do perigoso muito mais rápido do que a revisão manual. É cada vez mais usado, com empresas como a CrowdStrike e a Microsoft Defender usando análises baseadas em ML para detectar movimentos laterais e uso indevido de credenciais em segundos.

Aplicação automatizada de políticas

Depois que você perceber o que está rolando, a automação pode te ajudar a reagir. Se um dispositivo deixar de estar em conformidade ou um login parecer suspeito, as ferramentas de confiança zero podem:

• Forçar uma reautenticação imediata.
• Desligue o aparelho da rede.
• Revogar tokens de acesso automaticamente.

É assim que funcionam plataformas como o Zscaler Zero Trust Exchange ou o Risk Engine da Okta. Ajustar dinamicamente em tempo real é mais rápido do que a resposta humana e geralmente significa uma aplicação consistente e imparcial em todos os níveis.

Melhoria contínua e autoajuste

A IA também ajuda a manter as políticas atualizadas. À medida que os padrões de trabalho mudam (pense em novos aplicativos, novos locais, novos comportamentos), os modelos de ML podem sugerir mudanças ou ajustar automaticamente os limites. Assim, a segurança continua forte sem precisar de ajustes manuais o tempo todo ou correr o risco de configurações muito restritivas que incomodam os usuários.

Lembra quando eu disse que o ZTA não era um trabalho do tipo “uma vez e pronto”? Bem, a combinação de IA e automação pode te ajudar a transformar o zero trust em um sistema dinâmico. Ele reage a novas ameaças, se adapta ao comportamento do usuário e mantém a segurança invisível até que algo pareça errado!

Conformidade regulatória e confiança zero

Além de oferecer mais segurança, o zero trust também facilita muito a conformidade com as leis de proteção de dados, que estão cada vez mais rígidas. Regulamentos como o GDPR, HIPAA, PCI-DSS e a Estratégia Federal Zero Trust dos EUA (EO 14028) enfatizam as mesmas três coisas: saber quem está acessando os dados, protegê-los em trânsito e em repouso e manter trilhas de auditoria detalhadas.

O zero trust naturalmente dá suporte a todos esses objetivos, porque é construído em torno da verificação de identidade, acesso com privilégios mínimos e criptografia por padrão. A conformidade vira um subproduto da própria arquitetura!

Conclusão

A segurança cibernética costumava ser sobre manter os malfeitores longe. Hoje, o importante é manter a resiliência quando (não se for!) eles encontrarem uma maneira de entrar.  Como vimos, o zero trust não é uma grande mudança que você faz de uma vez, mas sim uma mudança gradual na forma como você pensa sobre acesso, risco e responsabilidade. Comece com a visibilidade. Adicione verificações de identidade rigorosas. Automatize o que puder. Com o tempo, você vai passar de reagir aos incidentes para preveni-los antes que eles aconteçam.

O legal é que o zero trust não protege só a tecnologia, mas também a forma como as pessoas trabalham. Se for bem feito, isso deve ajudar você a incorporar a segurança nas operações diárias sem atrasar ninguém.

E, embora a jornada nunca termine de verdade, cada passo te aproxima de um sistema que aprende, se adapta e te mantém um passo à frente, mesmo quando o cenário de ameaças continua mudando.