O que é um perímetro definido por software? | SDP X VPN

O que é um perímetro definido por software (SDP)?

Um perímetro definido por software (SDP) é uma maneira de ocultar a infraestrutura conectada à internet (servidores, roteadores etc.) para que pessoas externas e invasores não possam vê-la, esteja hospedada no local ou na nuvem. O objetivo da abordagem de SDP é basear o perímetro da rede em um software em vez de um hardware. Uma empresa que usa um SDP está basicamente cobrindo seus servidores e outras infraestruturas com uma capa de invisibilidade, de forma que ninguém possa vê-los de fora; no entanto, os usuários autorizados continuam podendo acessar a infraestrutura.

Um perímetro definido por software forma um limite virtual em torno dos ativos da empresa na camada de rede, não na camada de aplicação. Isso o separa de outros controles baseados em acesso que restringem os privilégios do usuário, mas permitem amplo acesso à rede. Outra diferença importante é que um SDP autentica dispositivos e também a identidade do usuário. A Cloud Security Alliance foi quem primeiro desenvolveu o conceito de SDP.

Como funciona um SDP?

Com um SDP, não deve ser tecnologicamente possível conectar-se a um servidor, a menos que seja autorizado a fazê-lo. Os SDPs permitem o acesso aos usuários somente após 1) verificação da identidade do usuário e 2) avaliação do estado do dispositivo.

Após o usuário e o dispositivo terem sido autenticados, o SDP configura uma conexão de rede individual entre esse dispositivo e o servidor que está tentando acessar. Um usuário autenticado não é logado em uma rede maior; de preferência, recebe sua própria conexão de rede que ninguém mais pode acessar e que inclui apenas os serviços para os quais o usuário tem acesso aprovado.

Imagine um servidor web que está conectado à internet, mas não abre conexões com nada. Não aceita solicitações nem envia respostas; ele não tem portas abertas e nem acesso à rede, embora esteja conectado à internet (algo como uma torradeira ou lâmpada que está conectada a uma tomada, mas desligada para que a eletricidade não flua por ela). Este é o estado padrão para servidores dentro de um perímetro definido por software.

Outra maneira de pensar nos SDPs é imaginar uma porta da frente que está sempre trancada. Ninguém pode entrar pela porta, nem mesmo olhar para dentro, até que a pessoa do outro lado da porta verifique quem é o visitante e o que está fazendo. Assim que o visitante tem permissão para entrar, a pessoa que está na casa tranca a porta novamente.

Como um usuário obtém acesso em um SDP?

Verificação da identidade do usuário: a identidade do usuário normalmente é verificada por meio de um provedor de identidade (IdP) terceirizado. Os SDPs também podem se integrar a uma solução de SSO. A autenticação do usuário pode envolver uma combinação simples de nome de usuário e senha, mas é mais seguro usar a autenticação multifator com algum tipo de token de hardware.

Verificação do dispositivo: envolve a verificação para garantir que o dispositivo do usuário esteja executando um software atualizado, a verificação de infecções por malware e a execução de outras inspeções de segurança. Teoricamente, um SDP poderia até criar uma lista de bloqueio de dispositivos não permitidos e conferi-la para se certificar que o dispositivo não está na lista de dispositivos bloqueados.

Aprovação do controlador SDP: o "controlador" de SDP é o componente lógico do SDP responsável por determinar quais dispositivos e servidores devem ter permissão para se conectar. Depois que o usuário e o dispositivo são autenticados, o controlador repassa a aprovação do usuário e do dispositivo ao gateway do SDP. O gateway do SDP é onde o acesso é realmente permitido ou negado.

Conexão de rede segura estabelecida: o gateway do SDP abre o "portão" virtual para permitir a passagem do usuário. Ele estabelece uma conexão de rede segura com o dispositivo do usuário de um lado do gateway e, do outro lado, estabelece uma conexão de rede com os serviços aos quais o usuário tem acesso. Nenhum outro usuário ou servidor compartilha esta conexão. Essas conexões de rede seguras geralmente envolvem o uso de TLS mútuos e podem usar uma VPN.

Acesso do usuário: o usuário pode acessar recursos de rede anteriormente ocultos e pode continuar usando seu dispositivo normalmente. O usuário opera em uma rede criptografada à qual pertencem apenas ele e os serviços que acessa.

O que é TLS mútuo?

TLS, ou Transport Layer Security, é um protocolo de criptografia e autenticação que verifica se um servidor é legítimo, o que significa que é quem afirma ser. No mutual TLS, o processo de verificação ocorre em ambos os lados: o cliente é verificado, assim como o servidor. Saiba mais sobre mutual TLS.

O que é uma VPN?

Uma VPN, ou rede privada virtual, é uma rede criptografada executada em uma rede não criptografada. Ela cria conexões criptografadas entre dispositivos e servidores de forma que seja como se estivessem em sua própria rede privada.

Tradicionalmente, as VPNs têm sido usadas para proteger e gerenciar o acesso à infraestrutura da empresa. Em alguns casos, um SDP pode substituir uma VPN.

SDP X VPN: Quais são as diferenças?

Os SDPs podem incorporar VPNs em sua arquitetura para criar conexões de rede seguras entre os dispositivos do usuário e os servidores que eles precisam acessar. No entanto, os SDPs são muito diferentes das VPNs. Em alguns aspectos, eles são mais seguros: enquanto as VPNs permitem que todos os usuários conectados acessem a rede inteira, os SDPs não compartilham conexões de rede. Os SDPs também podem ser mais fáceis de gerenciar do que as VPNs, especialmente se os usuários internos precisarem de vários níveis de acesso.

Gerenciar vários níveis diferentes de acesso à rede usando VPNs envolve a implantação de várias VPNs. Suponha que Bob trabalhe na Acme Inc. em contabilidade, Carol trabalhe em vendas e Alice trabalhe em engenharia. O gerenciamento de seu acesso no nível da rede envolve a configuração de três VPNs: 1) uma VPN de contabilidade para fornecer acesso ao banco de dados de contabilidade, 2) uma VPN de vendas para o banco de dados de clientes e 3) uma VPN de engenharia para a base de código. Isso não é apenas difícil de gerenciar, mas também menos seguro: qualquer pessoa que obtiver acesso à VPN de contabilidade, por exemplo, agora pode acessar as informações financeiras da Acme Inc. Se Bob acidentalmente fornecer suas credenciais de login para Carol, então a segurança está comprometido — e a TI pode nem estar ciente disso.

Agora imagine uma quarta pessoa: David, o CFO da Acme Inc. David precisa acessar o banco de dados de contabilidade e o banco de dados de clientes. David tem que entrar em duas VPNs separadas para fazer seu trabalho? Ou o departamento de TI da Acme deve configurar uma nova VPN que forneça acesso à contabilidade e ao banco de dados de clientes? Ambas as opções são difíceis de gerenciar e a segunda opção apresenta um alto grau de risco: um invasor que comprometa esta nova VPN com amplo acesso em dois bancos de dados é capaz de causar o dobro de danos do que antes.

Os SDPs, por outro lado, são muito mais granulares. Não existe uma VPN geral na qual todos que acessam os mesmos recursos se conectem; em vez disso, uma conexão de rede separada é estabelecida para cada usuário. É quase como se todos tivessem sua VPN privada. Além disso, os SDPs verificam os dispositivos e também os usuários, tornando muito mais difícil para um invasor violar o sistema apenas com credenciais roubadas.

Alguns outros recursos importantes distinguem os SDPs das VPNs: os SDPs são independentes de localização e infraestrutura. Como são baseados em software e não em hardware, os SDPs podem ser implantados em qualquer lugar para proteger a infraestrutura no local, a infraestrutura em nuvem ou ambas. Os SDPs também se integram facilmente às implantações multinuvem e de nuvem híbrida. Finalmente, os SDPs podem conectar usuários em qualquer local e não precisam estar dentro do perímetro de rede física de uma empresa. Isso torna os SDPs úteis para gerenciar equipes remotas que não trabalham dentro de um escritório corporativo.

Como os SDPs se relacionam com a segurança Zero Trust?

Como o nome indica, não há confiança na segurança Zero Trust; nenhum usuário, dispositivo ou rede é considerado confiável por padrão. A segurança Zero Trust é um modelo de segurança que exige verificação de identidade rigorosa para todas as pessoas e dispositivos que tentam acessar recursos internos, independentemente de estarem dentro ou fora do perímetro da rede (ou do perímetro definido por software).

Um SDP é uma maneira de implementar a segurança Zero Trust. Usuários e dispositivos devem ser verificados antes de poderem se conectar e eles têm apenas o acesso mínimo à rede de que precisam. Nenhum dispositivo, nem mesmo o notebook de um CEO, pode estabelecer uma conexão de rede com um recurso que não está autorizado a usar.

Saiba mais sobre a segurança Zero Trust.