O estudo do MIT Lincoln Laboratory explora uma nova abordagem para proteger sistemas.
Durante anos, as organizações adotaram uma abordagem defensiva de “castelo e fosso” à segurança cibernética, buscando proteger os perímetros de suas redes para bloquear qualquer agente mal-intencionado. Indivíduos com as credenciais corretas eram considerados confiáveis e permitiam o acesso aos sistemas e dados de uma rede sem precisar reautorizar a cada tentativa de acesso. No entanto, as organizações hoje armazenam cada vez mais dados na nuvem e permitem que os funcionários se conectem remotamente à rede, o que cria vulnerabilidades a essa abordagem tradicional. Um futuro mais seguro pode exigir uma “arquitetura de Zero Trust”, na qual os usuários devem provar sua autenticidade sempre que acessarem um aplicativo ou dados de rede.
Em maio de 2021, a Ordem Executiva do presidente Joe Biden para melhorar a segurança cibernética da nação delineou uma meta para as agências federais implementarem a segurança de Zero Trust. Desde então, o Laboratório Lincoln do MIT vem realizando um estudo sobre arquiteturas de Zero Trust, com o objetivo de revisar sua implementação no governo e na indústria, identificar lacunas e oportunidades técnicas e desenvolver um conjunto de recomendações para a abordagem dos Estados Unidos a um -sistema de confiança.
O primeiro passo da equipe de estudo foi definir o termo “Zero Trust” e entender as percepções errôneas no campo em torno do conceito. Algumas dessas percepções errôneas sugerem que uma arquitetura de Zero Trust requer equipamentos totalmente novos para implementar ou que torna os sistemas tão “bloqueados” que não são utilizáveis.
“Parte da razão pela qual há muita confusão sobre o que é Zero Trust é porque ela pega o que o mundo da segurança cibernética conhece há muitos anos e o aplica de uma maneira diferente”, diz Jeffrey Gottschalk, chefe assistente da Lincoln Divisão de Cibersegurança e Ciências da Informação do Laboratório e co-líder do estudo. “É uma mudança de paradigma em termos de como pensar sobre segurança, mas holisticamente é preciso muitas coisas que já sabemos como fazer – como autenticação multifator, criptografia e rede definida por software – e as combina em jeitos diferentes.”
Incidentes recentes de segurança cibernética de alto perfil – como os que envolvem a Agência de Segurança Nacional, o Escritório de Gerenciamento de Pessoal dos EUA, Colonial Pipeline, SolarWinds e Sony Pictures – destacam a vulnerabilidade dos sistemas e a necessidade de repensar as abordagens de segurança cibernética.
A equipe de estudo revisou incidentes de segurança cibernética recentes e impactantes para identificar quais princípios de segurança foram os maiores responsáveis pela escala e impacto do ataque. “Percebemos que, embora vários desses ataques explorassem vulnerabilidades de implementação anteriormente desconhecidas (também conhecidas como ‘zero-days’), a grande maioria na verdade se devia à exploração de princípios de segurança operacional”, diz Christopher Roeser, co-líder do estudo e o chefe adjunto da Divisão de Proteção Interna e Controle de Tráfego Aéreo, “isto é, a obtenção de credenciais de indivíduos e o movimento dentro de uma rede bem conectada que permite aos usuários reunir uma quantidade significativa de informações ou ter efeitos muito amplos”.
Em outras palavras, o ator malicioso “violou o fosso” e efetivamente se tornou um insider.
Os princípios de segurança de Zero Trust podem proteger contra esse tipo de ameaça interna, tratando cada componente, serviço e usuário de um sistema como continuamente exposto e potencialmente comprometido por um agente mal-intencionado. A identidade de um usuário é verificada cada vez que ele solicita acesso a um novo recurso, e todo acesso é mediado, registrado e analisado. É como colocar fios de viagem por todo o interior de um sistema de rede, diz Gottschalk. “Então, quando um adversário tropeçar nesse fio, você receberá um sinal e poderá validar esse sinal e ver o que está acontecendo.”
Na prática, uma abordagem de Zero Trust pode parecer substituir um sistema de logon único, que permite que os usuários entrem apenas uma vez para acessar vários aplicativos, por uma identidade baseada em nuvem que é conhecida e verificada. “Hoje, muitas organizações têm maneiras diferentes pelas quais as pessoas se autenticam e fazem login em sistemas, e muitas delas foram agregadas por conveniência em recursos de logon único, apenas para facilitar o login das pessoas em seus sistemas. Mas nós vislumbrar um estado futuro que abrace a Zero Trust, onde a verificação de identidade seja habilitada por uma identidade baseada em nuvem que seja portátil e onipresente e muito segura.”
Ao realizar o estudo, a equipe conversou com aproximadamente 10 empresas e organizações governamentais que adotaram implementações de Zero Trust – seja por meio de serviços em nuvem, gerenciamento interno ou uma combinação de ambos. Eles descobriram que a abordagem híbrida é um bom modelo para as organizações governamentais adotarem. Eles também descobriram que a implementação pode levar de três a cinco anos. “Conversamos com organizações que realmente fizeram implementações de Zero Trust, e todas indicaram que era necessário um comprometimento e mudança organizacional significativos para poder implementá-las”, diz Gottschalk.
Mas uma conclusão importante do estudo é que não existe uma abordagem única para a Zero Trust. “É por isso que achamos que os esforços de teste e piloto serão muito importantes para equilibrar a segurança de Zero Trust com as necessidades de missão desses sistemas”, diz Gottschalk. A equipe também reconhece a importância de conduzir pesquisas e desenvolvimentos contínuos além das implementações iniciais de Zero Trust, para continuar a lidar com as ameaças em evolução.
O Lincoln Laboratory apresentará outras descobertas do estudo em sua próxima conferência de Tecnologia Cibernética para Segurança Nacional, que será realizada de 28 a 29 de junho. A conferência também oferecerá um curso de curta duração para que os participantes aprendam mais sobre os benefícios e implementações de arquiteturas de Zero Trust.
Fonte: news.mit.edu