Compreendendo a relação Zero Trust-SDP

• Uma entidade que deseja se comunicar na rede protegida – um host inicial – deve executar o software SDP e autenticar com um controlador SDP . Observe que a autenticação presume-se que envolva vários níveis de verificação, que podem variar de um certificado de dispositivo a uma verificação de integridade do sistema ativo, e presume-se que sempre inclua a autenticação do usuário – de preferência multifatorial.
• Uma vez autenticado, o host inicial é informado com quais outras entidades – hosts de aceitação – ele tem permissão para falar e esses hosts são instruídos a permitir a comunicação com eles. Os hosts de aceitação já são conhecidos pelo controlador; eles já foram autenticados. Os hosts não visíveis para o controlador não estão na lista de hosts permitidos. A lista de hosts aceitos é determinada pelo contexto, de acordo com o serviço que o host inicial está tentando alcançar e o que é permitido fazer com esse serviço. Deve incluir apenas aqueles que aceitam hosts essenciais para as comunicações solicitadas.
• O host inicial configura túneis VPN diretamente para os hosts de aceitação fornecidos. Observe que o controlador não faz parte dessa rede virtual criptografada de ponta a ponta.
• Um host de aceitação rejeitará ou descartará todas as comunicações de rede originadas de um host que não esteja na lista de hosts de inicialização autorizados que possui do controlador.
• Os controladores e hosts podem estar no local ou não; os controladores de nuvem podem gerenciar as comunicações para hosts em qualquer lugar, assim como os controladores locais. Mesmo as opções de SaaS podem, por meio de proxies ou corretores de segurança de acesso à nuvem, ser colocadas sob a proteção de um SDP.

Em um SDP a comunicação é criptografada ponta-a-ponta

e todos os hosts de aceitação são invisíveis na rede para todos os outros sistemas ou usuários até que o controlador permita que eles se conectem a algo

Arquiteturas variantes colocam hosts de gateway no ambiente. Eles agem como hosts de aceitação para clientes fora do ambiente – seja ele data center ou nuvem – e fazem todas as comunicações com os hosts de fornecimento de serviços reais. Os hosts inicializadores veem apenas o gateway e nunca se comunicam diretamente com a infraestrutura que fornece serviços de aplicativo.

Um dos principais benefícios da implementação de um SDP é que os hosts de aceitação são invisíveis na rede para todos os outros sistemas ou usuários até que o controlador permita que eles se conectem a algo. Somente os hosts iniciais que o controlador permite vê-lo podem vê-lo; para todo o resto, é invisível. Essa é uma postura de segurança básica extremamente forte e a principal razão pela qual a DISA promoveu essa abordagem.

SDP é (uma forma de) confiança zero

Dado que o SDP é baseado no gerenciamento granular de quem pode se conectar com quem, com a postura padrão de “nenhum fluxo de tráfego se não for explicitamente sancionado“, o SDP é claramente uma implementação de confiança zero.

No entanto, a confiança zero é mais ampla e acomoda conceitos não considerados essenciais no SDP. Por exemplo, confiança zero exige um mapa de confiança dinâmico que responde ao comportamento. O SDP permite isso, mas não é considerado fundamental.

O SDP também assume que os hosts – sob a direção do controlador – são as únicas entidades que fiscalizam se as comunicações de rede ocorrem, descartando pacotes de parceiros de comunicação não autorizados. Como alternativa, a confiança zero permite que uma infraestrutura possa participar ativamente, reduzindo o tráfego antes mesmo de chegar a um host. Sob confiança zero, pode haver um componente baseado em rede para gerenciamento de tráfego, além de, ou substituindo, SDP.

As empresas que buscam uma base de segurança abrangente em várias nuvens para construir estão adotando o conceito de confiança zero. Eles também devem avaliar as ferramentas SDP como uma expressão desse princípio.