Os firewalls têm sido parte integrante da arquitetura de rede corporativa. Mas com a mudança para os modelos de negócios digitais, o firewall antes robusto passou de um item básico de segurança para um risco de segurança. Aqui está o porquê.
Em uma arquitetura de segurança tradicional baseada em perímetro que aproveita firewalls e VPNs, a segurança é restrita ao perímetro ou zona de confiança. Qualquer usuário ou aplicativo dentro do perímetro ou zona de confiança é considerado bom, e aqueles fora são considerados ruins. Isso funcionou bem quando a maioria dos usuários e aplicativos estava dentro do perímetro. Qualquer pessoa fora do perímetro tinha que ser trazida para a rede estendendo o perímetro para eles. Isso foi tratado como uma exceção para incluí-los na zona confiável.
Os negócios mudaram significativamente desde a introdução do firewall. Os funcionários corporativos de hoje podem trabalhar em qualquer lugar – em um escritório doméstico, em espaços de trabalho compartilhados, em filiais e além – contanto que haja uma conexão com a Internet e uma fonte de energia. Estender o perímetro para cada usuário remoto não funciona mais quando a exceção de usuários e aplicativos distribuídos é agora a norma. O conceito de zona confiável não é mais relevante porque aplicativos e usuários agora podem estar em qualquer lugar que exija a mudança para um modelo de Zero Trust. No entanto, firewalls e VPNs não são capazes de atingir o Zero Trust verdadeiro e apresentam vários riscos ao tentar fazê-lo.
Risco 1 – Grande superfície de ataque
Uma superfície de ataque é a soma de todos os pontos expostos, como endereços IP, que podem permitir que os adversários descubram vulnerabilidades, encaminhem para elas e as explorem para acessar um sistema e extrair dados valiosos. Simplificando, quanto menor a superfície de ataque, mais difícil é para os invasores obterem acesso. Mas a distribuição de aplicativos na nuvem e uma força de trabalho móvel expandiu exponencialmente a superfície de ataque, deixando as organizações mais vulneráveis do que nunca antes. O uso de firewalls físicos e virtuais baseados em perímetro legado não apenas não resolve esse problema, mas também o agrava ao adicionar superfícies de ataque adicionais para sua organização que permitem que os cibercriminosos ganhem uma posição em sua rede ou instância de nuvem.
Os firewalls publicam os endereços IP de seus servidores e aplicativos na Internet para que possam ser encontrados por seus funcionários e parceiros, mas isso significa que os invasores também podem encontrá-los. Todo firewall voltado para a Internet, seja no data center, na nuvem ou em uma filial, pode ser descoberto, atacado e explorado. Os firewalls virtuais são tão arriscados quanto os físicos, porque também expõem IPs à Internet, geralmente em um número muito maior do que os firewalls físicos, aumentando ainda mais o risco.
Risco 2 – Desempenho do aplicativo sufocado
Os usuários passaram a esperar um certo padrão de capacidade de resposta e tempo de atividade dos aplicativos em nuvem que usam em suas vidas pessoais. No entanto, os funcionários costumam ter uma experiência significativamente reduzida ao acessar aplicativos corporativos usando as soluções de acesso à rede da empresa, porque não têm mais acesso rápido e direto aos aplicativos em nuvem. Na verdade, os usuários perdem a produtividade e a capacidade de colaborar efetivamente com seus colegas devido ao atraso no desempenho do aplicativo. Isso obriga muitos usuários a ignorar os controles de segurança, o que é particularmente arriscado quando as pessoas estão usando dispositivos não gerenciados ou redes domésticas e Wi-Fi não seguras. Os problemas de desempenho do usuário final também surgem devido à disponibilidade de aplicativos SaaS ou em nuvem, capacidade do dispositivo, interrupções no caminho da rede ou congestionamento de rede que não podem ser facilmente isolados e diagnosticados pela operadora.
Por quê? A arquitetura de rede “hub-and-spoke” requer que escritórios remotos e filiais se conectem de volta ao escritório central (data center) por meio de firewalls com MPLS e a usuários remotos com VPN. Essa arquitetura cria uma rede plana que se estende a todos os locais que exigem que todo o tráfego de rede flua para uma pilha de segurança central. Enviar tráfego de um usuário remoto através do data center e sair para a nuvem antes de retornar ao usuário e seguir o mesmo caminho ao contrário aumenta significativamente a latência, degradando a experiência do usuário. Os firewalls virtuais na nuvem sofrem o mesmo destino, pois o tráfego precisa ser redirecionado para eles da mesma forma que para os data centers físicos, pois não estão embutidos nos servidores de aplicativos.
Os aplicativos em nuvem foram projetados para serem acessados diretamente, com o menor número de saltos possível, para maximizar o desempenho. Como tal, muitos fornecedores de aplicativos SaaS (como o Microsoft 365) alertam especificamente que os firewalls não devem ser colocados em seu caminho para serem totalmente suportados.
Risco 3 – Alta complexidade operacional e custos
Utilizar firewalls tradicionais, MPLS e VPNS, ou até mesmo dispositivos virtuais, não é uma abordagem realista para implementar Zero Trust. Gerenciar e implantar firewalls de perímetro para fornecer segurança consistente a todos os usuários, todos os aplicativos, todos os dispositivos e todos os locais é muito complexo e caro do ponto de vista operacional. A equipe não pode ser dimensionada para gerenciar a implantação, as atualizações e os patches de políticas de perímetro. Hardware e firewalls virtuais precisam ser adquiridos e implantados para os piores cenários e o tráfego de retorno para uma única pilha de segurança utiliza largura de banda e capacidade de segurança desnecessárias.
O planejamento de capacidade exige que CIOs e CISOs prevejam com precisão o futuro para planejar os requisitos de hardware e os custos de consumo de largura de banda do envio de todo o tráfego por MPLS para o data center para inspeção. Subestimar as necessidades da rede estrangula o desempenho e, por outro lado, superestimar resulta em custos desnecessariamente altos e equipamentos ociosos. Sem mencionar que não é prático implantar exatamente a mesma pilha de dispositivos em todos os locais, o que resulta em uma coleção de produtos díspares espalhados por sua infraestrutura. A coleta e a curadoria de logs para esses vários dispositivos é outro desafio, e os operadores geralmente ignoram os logs críticos, levando a um possível risco de segurança. Impressionantes 75% das operadoras concordam que é um desafio gerenciar hardware de firewall, atualizações e implantações.2
E isso é apenas uma fração do desafio. Essa abordagem fragmentada exige que a equipe de segurança use assinaturas e plataformas de gerenciamento separadas para implementar políticas diferentes e gerenciar diferentes zonas com segmentação de rede. Esforço adicional é necessário para unir a visibilidade por usuário, aplicativo e local. Os funcionários devem concentrar seus esforços em tempo integral na implementação de patches, atualizações de segurança, atualizações de hardware e gerenciamento de políticas em toda a coleção incompatível de firewalls e dispositivos de segurança. O resultado é um dreno em suas finanças e produtividade que não pode ser sustentado.
Risco 4 – Movimento de Ameaça Lateral
Os invasores usam vários meios para obter acesso à rede de uma organização, geralmente por meio de ataques de phishing ou infecções por malware. Uma vez na rede, seu objetivo é mover-se lateralmente pela organização procurando acesso a dados confidenciais para exfiltrar, criptografá-los para resgate ou causar outras interrupções. O movimento lateral permite que um invasor evite a detecção e retenha o acesso, mesmo se descoberto na máquina que foi infectada pela primeira vez. E com um longo tempo de permanência, o roubo de dados pode não ocorrer até semanas ou até meses após a violação original.
As organizações contam com uma abordagem de segurança de “castelo e fosso” – também conhecida como “segurança de perímetro” – para proteger os dados contra ataques maliciosos. Assim como os castelos medievais protegidos por muros de pedra, fossos e portões, a segurança de perímetro investe fortemente na fortificação de perímetros de rede com firewalls e outras ferramentas. A segurança do perímetro protege os pontos de entrada e saída da rede verificando os pacotes de dados e a identidade dos usuários que entram e saem da rede da organização e, em seguida, assume que a atividade dentro do perímetro protegido é relativamente segura.
As arquiteturas de segurança tradicionais são incapazes de interromper esses ataques sofisticados porque, uma vez que seu usuário, bom ou ruim, entra em uma rede “segura”, eles se tornam usuários confiáveis e obtêm acesso lateral a todos os aplicativos, mesmo que não devessem. Reduzir o movimento lateral leste-oeste em arquiteturas tradicionais baseadas em perímetro requer segmentação de rede (perímetros internos), que é um pesadelo operacional, pois exige que as organizações implantem e gerenciem mais firewalls com mais políticas sem resolver adequadamente o problema subjacente.
Risco 5 – Perda de dados
Os dados são cruciais para as organizações por motivos estratégicos, financeiros e de segurança, entre outros; e em alguns casos pode ser crítico para a segurança nacional. Mesmo com perímetros de segurança de rede implantados, os dados podem vazar devido à falta de conscientização, ações não intencionais do usuário, falhas no sistema e atividades maliciosas cada vez mais sofisticadas. Isso pode causar uma série de problemas, incluindo multas, perda de clientes, ramificações legais, descumprimento regulatório e danos à marca da empresa. Vamos analisar diferentes tipos de dados e como eles podem estar em risco:
• Dados em movimento: Os dados em trânsito pela Internet constituem a maioria dos dados em movimento hoje, pois os aplicativos agora são acessados principalmente pela Web; isso vale para aplicativos SaaS, aplicativos no data center e aqueles em nuvens públicas. Quando os usuários acessam a Internet e destinos arriscados onde informações confidenciais podem ser vazadas, isso é uma ameaça aos dados corporativos. Os firewalls legados não podem seguir os usuários fora da rede ou proteger o tráfego crítico da Web em movimento. Menos dados e menos aplicativos permanecem nos endpoints, dando mais importância à proteção dos dados que fluem entre endpoints, aplicativos em nuvem e armazenamento com uma solução de dados em movimento.
• Dados em repouso: os dados que residem em data centers, aplicativos SaaS e nuvens públicas representam a grande maioria dos dados em repouso. Em particular, proteger dados em repouso em aplicativos SaaS é fundamental para a segurança; mesmo protegido por firewalls, bastam alguns cliques para compartilhar dados com um usuário não autorizado por meio de aplicativos como o Microsoft OneDrive. Além disso, as violações na nuvem podem ser causadas por configurações ou permissões perigosas. Como SaaS e IaaS são altamente dinâmicos e muitas vezes configurados por indivíduos que não são especialistas em segurança, essas lacunas são frequentemente ignoradas e exploradas.
O objetivo final de qualquer tecnologia de segurança é proteger dados confidenciais, mas os firewalls não são capazes de identificar e controlar com eficiência os dados em movimento ou em repouso, e isso coloca os dados da organização em risco. Mais importante ainda, eles são incapazes de inspecionar o tráfego criptografado com eficiência – mais de 90% de todo o tráfego – permitindo que o tráfego criptografado por SSL/TLS passe sem inspeção.
Alcance o verdadeiro Zero Trust com o Zscaler
O Zscaler oferece Zero Trust com o Zscaler Zero Trust Exchange, uma plataforma nativa da nuvem – operando em 150 data centers em todo o mundo – que aproveita a maior nuvem de segurança do planeta para fornecer conexões rápidas e seguras e permite que seus funcionários trabalhem com segurança de qualquer lugar, em qualquer dispositivo, usando a internet como rede corporativa. Ao contrário de firewalls e VPNs herdados, o Zero Trust Exchange baseia-se no princípio do acesso menos privilegiado e na ideia de que nenhum usuário ou aplicativo é inerentemente confiável. Em vez disso, a confiança é construída com base na identidade e no contexto do usuário, incluindo a localização do usuário, a postura de segurança do dispositivo, o aplicativo acessado e o conteúdo trocado.
O Zero Trust Exchange começa encerrando a conexão para permitir a inspeção profunda de conteúdo, incluindo tráfego criptografado, execução de dados profundos e análise de ameaças. Em seguida, determina a identidade e o dispositivo e verifica os direitos de acesso usando políticas de negócios com base no contexto; incluindo usuário, dispositivo e aplicativo que está sendo solicitado e o tipo de conteúdo. Depois que a política de negócios é verificada e aplicada, o Zero Trust Exchange intermedia a conexão entre os recursos pretendidos. Usuários e dispositivos são conectados diretamente aos aplicativos, nunca à rede corporativa.