A ordem executiva do presidente Biden sobre segurança cibernética é clara como o dia… A arquitetura Zero Trust e a infraestrutura modernizada são a chave para proteger os dados do país contra um cenário de ameaças cada vez mais generalizado. Vimos os efeitos devastadores em primeira mão com um ataque de ransomware que interrompeu a distribuição de gasolina, causando interrupções no abastecimento e aumento dos preços em todos os Estados Unidos. Trata-se de um problema global e, estatisticamente, vem crescendo mês a mês desde o ano passado. https://www.blackfog.com/the-state-of-ransomware-in-2021/
Nesta postagem do blog, explicarei por que o Zero Trust é importante, o que ele é e como fortalecer sua infraestrutura adotando os princípios do Zero Trust com o Commvault e o Metallic.
O que é o modelo “Zero Trust”?
O Zero Trust não é uma tecnologia ou recurso específico. O Zero Trust é um conjunto de princípios de projeto para infraestrutura de TI que adota uma abordagem de “não confiar em ninguém; sempre validar a confiança” no acesso aos dados.
Uma ótima maneira de entender a arquitetura Zero Trust é pensar na segurança residencial. Ao redor do perímetro da sua casa, você tem câmeras, fechaduras, sensores nas janelas e uma cerca. Essencialmente, todos os seus pertences estão seguros dentro do perímetro da casa. No entanto, se você receber amigos e conhecidos para tomar um café, você autoriza a entrada na sua casa — nesse momento, seus pertences pessoais ficam acessíveis e correm o risco de serem roubados.
O exemplo acima ilustra perfeitamente uma abordagem tradicional à segurança — na qual os firewalls fornecem segurança de perímetro (impedem a entrada de invasores) e as permissões dos usuários controlam o acesso. Quando um invasor consegue entrar e obter acesso a credenciais privilegiadas (o que de fato acontece), ele geralmente fica sem ser detectado enquanto se move lateralmente pelo ambiente, causando danos.
Com uma abordagem de Zero Trust, o acesso privilegiado é constantemente questionado, limitando a capacidade dos agentes mal-intencionados de se movimentarem e agirem com eficácia. Voltando ao exemplo da casa, só porque estou autorizado a entrar nela, cofres com combinação, fechaduras nas portas internas e câmeras internas oferecem múltiplas camadas de fiscalização e validação. Assim, embora tenha autorização para entrar na casa, preciso continuar a me identificar, fornecendo a combinação do cofre ou as chaves das portas dos quartos, caso tente me movimentar pela casa.
Princípios fundamentais do Zero Trust
A publicação SP 800-207 do Instituto Nacional de Padrões e Tecnologia (NIST) é o guia de referência definitivo para a Arquitetura Zero Trust (ZTA). Muitos dos princípios descritos na publicação do NIST foram implementados como Features e práticas recomendadas, permitindo que a plataforma Commvault seja totalmente implantada em uma arquitetura Zero Trust. Além disso, o Metallic™ Data Management as a Service (DMaaS) foi totalmente projetado para a nuvem, utilizando os princípios do Zero Trust desde o início. Alguns dos princípios-chave descritos pelo NIST são o acesso com privilégios mínimos, a autenticação multifatorial e a microsegmentação. Vamos explorar isso mais a fundo.
Acesso com privilégios mínimos – NIST SP 800-207, Seção 2.1
O conceito de acesso com privilégios mínimos concede aos usuários e/ou contas apenas as capacidades estritamente necessárias para realizar seu trabalho, e nada além disso. Isso minimiza a exposição caso a conta seja comprometida, além de limitar vazamentos de acesso aos dados. A Commvault pode restringir o acesso aos dados de backup por meio de controles de acesso baseados em funções e bloqueios especiais de privacidade de dados. É fácil limitar os usuários a funções específicas, como apenas restauração ou apenas visualização. Além disso, é possível restringir o acesso de navegação/restauração aos proprietários dos dados, substituindo apenas quaisquer permissões administrativas de nível global. A integração adicional com plataformas de Gerenciamento de Acesso Privilegiado (PAM), como o CyberArk®, aprimora ainda mais a postura de segurança por meio do gerenciamento de contas orientado por políticas, da rotação de credenciais e do gerenciamento de sessões privilegiadas.
Autenticação multifatorial — NIST SP 800-207, Seção 2.1
A autenticação multifatorial (MFA) é outro conceito fundamental do modelo Zero Trust. Como a confiança precisa ser validada continuamente, a MFA oferece uma camada adicional de validação para qualquer solicitação de autenticação, dificultando que um agente mal-intencionado obtenha acesso aos dados. A Commvault e o Metallic BaaS oferecem suporte a implementações modernas de MFA por meio de sua estrutura de autenticação baseada em SAML. Utilizando o Azure AD, o ADFS, o Okta ou outro provedor de identidade (IDP), a Commvault permite que os clientes implementem ferramentas de MFA baseadas em PIN e ferramentas de autenticação por hardware para controlar o acesso aos dados de backup.
As implantações locais que utilizam o AD ou contas locais contam com autenticação de dois fatores (2FA) integrada, permitindo que as organizações utilizem qualquer aplicativo gerador de PIN baseado no algoritmo de senha única baseada em tempo (TOTP), especificado na RFC 6238, como o Google Authenticator, o Microsoft Authenticator e muitos outros.
De acordo com as diretrizes de Identidade Digital do NIST (NIST 800-63), mencionadas em sua publicação sobre ZTA, as tecnologias de autenticação por hardware oferecem um dos mais altos padrões para a autenticação multifatorial (MFA), proporcionando o Nível 3 de Garantia de Autenticação. Isso inclui tecnologias de MFA que utilizam especificações modernas, como FIDO/FIDO2. A Commvault está totalmente integrada a dispositivos de MFA FIDO/FIDO2, como os oferecidos pela Yubico por meio do YubiKey, bem como aos Common Access Cards (CACs) baseados em PKI. Isso maximiza completamente o nível de proteção contra tentativas de autenticação ilegítimas e garante a preparação do seu ambiente de proteção de dados para o futuro.
Após a autenticação na interface de gerenciamento, a estrutura de autorização de comandos valida as ações realizadas nessa interface. Independentemente da função do usuário, qualquer solicitação de exclusão, restauração ou configuração requer a autorização de uma autoridade responsável pela aprovação. Isso protege contra ameaças internas, tanto maliciosas quanto acidentais, e mantém os dados a salvo de ações destrutivas.
Microssegmentação — NIST SP 800-207, Seção 3.1.2
A microsegmentação é outro princípio fundamental do modelo Zero Trust. A microsegmentação é a técnica de separar recursos tanto lógica quanto fisicamente, a fim de tornar o acesso altamente restritivo e controlado.
As instalações locais podem utilizar técnicas de segmentação de rede para isolar e criar um “air gap” para os destinos de armazenamento dentro da rede. Uma vez segmentada a arquitetura de rede, aplique as Topologias de Rede da Commvault para bloquear conexões de entrada para o destino de armazenamento e automatizar políticas de acesso por lista de permissões, permitindo apenas conexões de autenticação de saída para transferir dados para o cofre de dados seguro. Muitos de nossos clientes também optam por segmentar os dados na nuvem, aproveitando os controles de armazenamento WORM oferecidos pelo provedor de nuvem.
O Metallic Cloud Storage Service (MCSS) oferece uma abordagem de isolamento físico ainda mais simples, que não requer nenhuma alteração na infraestrutura. O MCSS é um destino de armazenamento em nuvem gerenciado pela Metallic, oferecendo recursos de proteção de dados seguros e com “air gap” em local remoto para a plataforma Commvault. Os dados protegidos no MCSS são imutáveis e não podem ser acessados nem expostos na conta de nuvem de back-end. Os dados são protegidos no ambiente da Metallic, projetado com arquitetura de confiança zero. Isso oferece um método fácil para segmentar e separar os dados de um ambiente local.
Além da segmentação física, o gerenciamento de dados também pode ser segmentado logicamente. Por meio de controles de multilocação, o acesso aos dados é segmentado e compartimentado, reduzindo a exposição potencial dos dados.
O gerenciamento de chaves de criptografia também pode ser distribuído entre vários sistemas KMS, como o AWS Key Management Service, o Azure KeyVault, bem como por meio de um dos muitos provedores certificados pelo KMIP, proporcionando níveis mais elevados de proteção contra o acesso aos dados.
Arquitetura DMaaS da Metallic
Para uma plataforma gerenciada totalmente baseada no modelo “zero trust”, a Metallic é a escolha certa. A Metallic é uma plataforma SaaS multilocatária com segregação integrada entre locatários. Os dados dos clientes são totalmente isolados e armazenados em locais separados, criando um “air-gap” virtual entre os ambientes de origem e as cópias de backup dos dados. Segurança reforçada e controles de acesso “zero trust”, incluindo autenticação multifatorial, acesso baseado em funções, criptografia avançada de dados e bloqueios de privacidade, impedem o acesso não autorizado e a movimentação lateral de dados. A Metallic também atende aos padrões de segurança mais rigorosos do setor e mantém a conformidade com HIPAA, ISO 27001, GDPR e SOC 2, além de ser a única solução de proteção de dados SaaS a atingir o padrão FedRAMP High In Process — atualmente em análise pelo PMO.
Conclusão
Como você pode ver, seja ao implantar uma solução da Commvault no local, ao utilizar o Metallic DMaaS ou ao combinar qualquer combinação das opções acima, a plataforma da Commvault é protegida com base nos princípios da arquitetura Zero Trust.
Saiba mais participando do próximo webinar da Commvault, “Going beyond Zero Trust”, no dia 23 de março.
