Por Nycholas Szucko
Você certamente já leu muito sobre Zero Trust com grande variação nas definições que envolvem o tema. Isso porque não há um padrão claramente definido ou um guia definitivo sobre esse modelo de segurança, pois cada fornecedor parece ter a sua própria realidade, ou até mesmo praticamente uma liberdade poética, com várias vertentes e pontos de vista.
Talvez um dos únicos consensos seja de que o Zero Trust inverte a abordagem de redes, que tradicionalmente visa permitir o acesso, e com ele passa a bloquear o acesso por padrão, e libera somente quando explicitamente exigido.
O Zero Trust é basicamente uma estrutura que impede a conectividade, assumindo que há risco, a menos que se prove o contrário. Em vez de simplesmente definir uma política de acesso minimalista, quesitos como postura e contexto, um conjunto de informações que influencia o comportamento de um sistema, se tornam primordiais para a melhoria da segurança. Antes de permitir que uma máquina ou usuário se conecte à rede, o Zero Trust sempre verifica se essa conexão pode ser feita com segurança e com dupla autenticação, realizadas por cada sessão, em vez de uma única vez no início.
A incorporação do contexto nas decisões de políticas do Zero Trust contrasta fortemente com a abordagem tradicional da lista de permissões. O processo de verificação do usuário não pode se resumir apenas às credenciais, mesmo com a autenticação de dois fatores. Claro, a identidade é uma etapa importante de verificação, mas não determinante, muito menos garante a segurança. É fundamental fazer perguntas específicas baseadas em métricas para permitir que decisões mais assertivas sejam tomadas em tempo real, como:
• De onde vem a conexão?
• Há alguma indicação de que a máquina usada para conectar esteja comprometida?
• Há vulnerabilidades capazes de expor o resto da rede a riscos?
• Qual é o histórico da comunicação entre esses sistemas ou é uma nova conexão?
Na infraestrutura de TI há um movimento significativo em direção à adoção de uma estrutura Zero Trust, com a “micro segmentação” das redes e evolução do acesso remoto via VPN para algo mais avançado. Além disso, os agentes de usuários, softwares que agem na interação do cliente final com o conteúdo da web, são implementados em estações de trabalho para obter mais informações sobre a postura de segurança.
Todos esses desenvolvimentos são de alto valor para a infraestrutura de TI, mas como fazer isso na infraestrutura OT/IoT e adotar os mesmos benefícios para sistemas de controle industrial, dispositivos ciberfísicos e infraestrutura crítica?
As particularidades para OT, IoT e sistemas de controle industrial
Em TI é normal e até desejável bloquear o tráfego quando há suspeita de perigo, mas em OT isso pode impactar a produção ainda mais do que se permitir o tráfego. Até porque, em muitos dispositivos OT e IoT, como controladores, sensores e robôs, com única finalidade e processadores simplificados que não executam um sistema operacional completo, não há opção de colocar software (agentes de usuários). Isso pode ser um entrave, já que, na maioria das vezes, a preocupação com a segurança não foi levada em conta na época da fabricação desses equipamentos. Atualmente é um desafio emparelhar tudo isso com a transformação digital em OT.
Para tomar as melhores decisões no que tangem à conectividade, é necessário, inicialmente, entender o que se espera proteger. Isto é idêntico ao TI, mas com métodos diferentes. Trata-se de conhecer os tipos de dispositivos, o comportamento esperado e hardware e software utilizados. A partir de uma visão holística de como o ambiente OT se comporta, quais máquinas se conversam e o tipo de protocolo, tudo isso em tempo real, é possível trilhar um caminho para aplicar de forma assertiva o Zero Trust em ambientes OT/IoT.
O momento decisivo para maximizar a segurança
A coleta de informações precisa levar a algum lugar. Sem ela, o esforço é inútil. Compreender as versões de hardware e software mostram quais vulnerabilidades se aplicam aos dispositivos monitorados, se ainda são suportados por seus fornecedores e como devem agir na rede.
Identificar o comportamento de redes OT/IoT por completo também inclui a capacidade de detectar e alertar sobre anomalias. Se dispositivos que nunca se comunicaram uns com os outros começam a fazê-lo de repente, ou se comunicaram anteriormente, mas agora apresentam comportamentos diferentes, isso requer uma investigação da legitimidade. É provável que seja o início de uma violação.
Em termos de inteligência acionável, vale lembrar que os dados coletados para o Zero Trust não devem ser apenas linhas que indiquem qual o risco provável. Esses dados precisam ajudar a determinar o impacto sobre a rede OT. Por exemplo, a correção de vulnerabilidades pode ser uma tarefa árdua, e analisar se ela melhora ou não a postura de segurança em comparação com o esforço exigido, é uma informação quantificável na tomada de decisão de como avançar com a aplicação de patches de correção.
Na política de Zero Trust em OT e IoT, há situações nas quais é justificável automatizar intervenções por meio do bloqueio do tráfego. O conjunto de ferramentas que formam o mecanismo de defesa cibernética deve ser efetivo e trocar informações para agir o mais rápido possível. Dessa forma, cada elemento pode cumprir sua função de maneira eficaz para garantir um ambiente mais seguro.
*Nycholas Szucko é diretor de Vendas da Nozomi Networks
