Zero Trust em um mundo centrado em aplicações

Zero Trust é uma estratégia de segurança poderosa e holística que ajuda a impulsionar os negócios de forma mais rápida e segura. Garantir a segurança dos aplicativos corporativos é fundamental para evitar violações de dados. Fazê-lo bem também pode aumentar a eficiência nos processos de negócios e a produtividade do usuário. Um modelo de segurança Zero Trust pode fornecer esse valor comercial, mas Zero Trust não é um produto. Em vez disso, é uma abordagem — e uma máxima — que se traduz em arquiteturas de rede e aplicativos seguros. Basicamente, é um ecossistema de soluções que trabalham juntas para garantir que nenhum usuário ou dispositivo seja confiável por padrão, dentro ou fora da rede, e a verificação é necessária antes de obter acesso aos aplicativos.

Nos últimos anos, o Zero Trust tem recebido muita atenção, embora não seja um conceito novo. No entanto, é um conceito mais relevante e importante hoje do que nunca, principalmente porque empresas ao redor do mundo estão lutando para descobrir como operar e responder durante pandemias e outras emergências naturais ou provocadas pelo homem. À medida que organizações em todo o mundo aceleram iniciativas de transformação digital, Zero Trust é um conceito que é essencial para que todas as organizações entendam melhor.

A abordagem estabelecida de “fosso e castelo” da segurança de perímetro de rede tradicional – permitindo que apenas indivíduos conhecidos e confiáveis cruzem o “fosso” e entrem nas “paredes do castelo”, permitindo-lhes acesso a qualquer aplicativo ou recurso que tenham autorização para acessar – não é mais suficiente. Com o aumento de aplicativos sendo implantados ou migrando entre ambientes locais, vários ambientes de nuvem e aplicativos de software como serviço (SaaS), juntamente com a crescente força de trabalho móvel e remota, o perímetro da rede praticamente desapareceu.

Zero Trust elimina a ideia de uma rede confiável dentro de um perímetro definido. Hoje em dia, você deve presumir que os invasores já estão na sua rede, escondidos e à espreita, esperando o momento certo para lançar um ataque. Você precisa aplicar o acesso de usuário com privilégios mínimos e examinar os usuários, seus dispositivos, seus acessos e muito mais, tanto quanto possível, e obter mais contexto e visibilidade de seus pontos de controle internos e externos.

Para habilitar o Zero Trust, você deve abandonar a abordagem “Confiar, mas verificar” e agora aderir a estes princípios:

• Nunca confie
• Sempre verifique

Nenhum fornecedor hoje pode fornecer tudo o que é necessário para habilitar um ambiente Zero Trust. No entanto, o F5 agrega valor e fornece componentes essenciais que você precisará para implementar uma abordagem abrangente de Zero Trust. Com nosso robusto portfólio de segurança de aplicativos e capacidade de proteger os novos pontos de controle em um ambiente Zero Trust, a F5 fornece os blocos de construção necessários para abordar uma abordagem "Nunca confie, sempre verifique" para proteger os aplicativos de hoje e também adiciona um terceiro princípio ao Zero Trust, "Monitorar continuamente".

Da perspectiva do F5, estes são os quatro pontos de controle que você precisa proteger:

• Os endpoints que acessam os aplicativos
• Os aplicativos (independentemente de serem aplicativos nativos de nuvem ou SaaS, ou aplicativos clássicos e personalizados)
• O serviço de identidade
• A infraestrutura de rede

Então, como o F5 ajuda a proteger cada ponto de controle?

• Para endpoints que acessam aplicativos, as soluções Trusted Application Access da F5 fornecem autenticação moderna e acesso centralizado e controle para todos os aplicativos.
• Para sua infraestrutura de rede, as soluções de segurança de infraestrutura de aplicativos da F5 ajudam a proteger sua rede contra ataques e intrusões.
• Para seus aplicativos, a F5 oferece soluções de segurança na camada de aplicativos, fornecendo segurança no aplicativo ou próximo a ele e protegendo sua pilha de aplicativos, das camadas 4 a 7.
• Para o serviço de identidade, temos parcerias profundas com Microsoft , Okta e Ping , entre outras. Ao integrar nossas soluções Trusted Application Access com esses provedores de identidade como serviço (IDaaS), a F5 ajuda você a preencher a lacuna de identidade e autenticação entre aplicativos nativos de nuvem e SaaS e aplicativos clássicos e personalizados de missão crítica, permitindo uma experiência de acesso unificada e segura para todos os usuários em qualquer aplicativo.

A F5 pode ajudar você especificamente a implantar um modelo Zero Trust aproveitando nossas soluções Trusted Application Access, Application Infrastructure Security e Application Layer Security.  

Quando se trata de acesso a aplicativos, as organizações devem presumir que todos que acessam seu site são maliciosos. Violações relacionadas a acesso continuam aumentando e não mostram sinais de redução no curto prazo.

O F5 BIG-IP Access Policy Manager (APM) protege, simplifica e centraliza o acesso a aplicativos, APIs e dados, não importa onde os usuários e seus aplicativos estejam localizados. Com seus recursos de Identity Aware Proxy (IAP), o BIG-IP APM implanta uma validação de modelo Zero Trust com base em contexto granular e reconhecimento de identidade, protegendo todas as solicitações de acesso ao aplicativo. Ele também monitora continuamente a integridade do dispositivo de cada usuário, sua localização e outros parâmetros de acesso ao aplicativo durante toda a sessão de acesso ao aplicativo.

O BIG-IP APM aprimora a experiência do usuário por meio de logon único (SSO) em qualquer aplicativo ao qual o usuário tenha autorização para acessar, independentemente de onde ele esteja hospedado ou do tipo de método de autenticação necessário, autenticação moderna ou clássica, permitindo uma experiência de usuário comum em todos os aplicativos. Ao empregar o IAP, os aplicativos e o acesso a eles ficam mais seguros, ajudando a habilitar o acesso ao aplicativo Zero Trust.  O BIG-IP APM também oferece uma arquitetura comum para ambientes híbridos e permite que políticas de acesso comuns sejam criadas e aplicadas para acessar aplicativos em várias nuvens.

Com a adição do Shape Security e a capacidade de identificar criminosos que cometem fraudes, a F5 agora consegue identificar melhor os bons usuários e reduzir o número de vezes que um usuário precisa digitar uma senha.  Isso permite que os usuários tenham mais acesso aos serviços para os quais estão autorizados sem precisar criar pares adicionais de nome de usuário/senha — uma grande fonte de roubo de credenciais e ataques de preenchimento de credenciais, esquecimento de senhas, redução de custos de suporte e aumento de receita.

Embora o perímetro da rede tenha diminuído, ele não desaparecerá em um futuro próximo. Sua infraestrutura de rede desempenha um papel importante para garantir que seus aplicativos locais, em um data center ou em uma nuvem privada permaneçam seguros e disponíveis para atingir o Zero Trust. Um perigo que pode impactar significativamente sua rede, usuários e dados são ameaças ocultas no tráfego criptografado. 

A criptografia agora é o novo normal. A maioria dos carregamentos de páginas da web agora são criptografados. Embora isso seja ótimo para a privacidade, permite que invasores usem o tráfego criptografado para ocultar malware e outras cargas maliciosas para contornar os controles de segurança. Hoje em dia, você deve presumir que seu tráfego criptografado de entrada está abrigando malware. Você também deve presumir que seu tráfego criptografado de saída contém dados confidenciais que estão sendo exfiltrados ou se comunicando com servidores de comando e controle mal-intencionados, sendo preparados para lançar mais ou maiores ataques.

O F5 SSL Orchestrator resolve os perigos do tráfego criptografado que tenta acessar sua rede. Ele elimina pontos cegos de segurança expondo malware oculto no tráfego criptografado e interrompe a exfiltração de dados roubados. É uma solução dedicada à orquestração de tráfego criptografado de entrada e saída.  Ele permite a criação de cadeias de serviços de segurança dinâmicas, aproveitando seu mecanismo de política com reconhecimento de contexto e direcionamento de tráfego baseado em políticas, permitindo que você elimine a necessidade de encadear manualmente as soluções em sua pilha de segurança. Ele também garante um bypass inteligente, para evitar que você infrinja as regulamentações de privacidade do setor e do governo. O SSL Orchestrator monitora, equilibra a carga e garante a integridade das suas soluções de segurança existentes. Ele também centraliza o controle de criptografia, economizando tempo e energia dos seus administradores.

A realidade é que os aplicativos são vulneráveis em qualquer organização. Os aplicativos continuam sendo, de longe, os alvos iniciais de violações. Os invasores sabem o quão importantes os aplicativos são para sua empresa e tentam ativamente comprometer seus aplicativos, pois cada um deles pode ser uma porta dos fundos (ou uma porta da frente) para sua valiosa propriedade intelectual e dados. É essencial proteger continuamente seus aplicativos como parte de qualquer estratégia Zero Trust.

O F5 protege sua pilha de aplicativos em uma arquitetura Zero Trust. Nossas soluções de firewall de aplicativo da Web (WAF), como Advanced WAF , Essential App Protect e Silverline WAF , previnem vulnerabilidades e explorações comuns, como o OWASP Top 10 ou injeções de SQL/PHP. Além disso, o NGINX App Protect , desenvolvido com base na tecnologia WAF líder da F5 e executado em nosso software NGINX Plus, é um WAF leve e de alto desempenho para ambientes de aplicativos modernos.

Nossas soluções WAF também podem proteger contra ataques DoS de camada 7 por meio de nossa capacidade de análise comportamental, monitorando continuamente a integridade de seus aplicativos. O F5 também fornece proteção de credenciais para impedir o acesso não autorizado de invasores às contas dos seus usuários. Além disso, com o uso crescente de APIs, a F5 as protege e protege seus aplicativos contra ataques de API.

Enquanto a F5 protege as vulnerabilidades do seu aplicativo com soluções de segurança WAF e API, também protegemos sua lógica de negócios contra fraudes e abusos com as soluções Shape Security.

Além disso, a F5 fornece nossas ofertas de segurança para se adequar à estratégia de implantação Zero Trust da sua organização – autogerenciada, como serviço ou como um serviço totalmente gerenciado via Silverline e Shape Security.