ZERO-TRUST WEAKNESS

INTRODUÇÃO: Um ambiente de confiança zero tem como objetivo impedir o acesso de pessoas não autorizadas a uma infraestrutura conectada a internet, hospedada em local ou em nuvem, usando softwares que ocultam a rede dos usuários até a sua autenticação e posterior autorização. Na arquitetura Zero Trust todos os usuários já são classificados pela rede como não confiáveis independente se estão dentro ou fora dela, sendo assim, uma evolução natural da segurança perimetral. OBJETIVOS: Esse projeto tem como objetivo encontrar as fragilidades do zero trust forma prática a estratégia para aumentar a proteção contra-ataques no contexto da aplicação, bem como recursos computacionais de rede, por meio de controles de segurança previstos na arquitetura Zero Trust Network Access. MATERIAIS E MÉTODO: Será utilizado ferramentas de escaneamento de rede, e vulnerabilidades, para simular um agente malicioso, e uma VPN com ZTNA como controle de segurança, executando casos de uso em três ambientes de rede diferentes. RESULTADOS: Foi-se observado que uma VPN com design ZTNA é muito efetiva contra escaneamento de rede, dada a medida de defesa onde diversas portas falsas são publicadas pelo serviço da VPN, como medida de ocultamento da real infraestrutura. No entanto, ao executar escaneamento de vulnerabilidades rede, este mecanismo falhou, pois houve maior interação com o suposto serviço alocado. CONSIDERAÇÕES FINAIS: Temos que o modelo de VPN baseado em agente, gera um controle de permissão granular sobre os usuários e grupos, a recursos de rede, no entanto, este modelo também gera maior complexidade de gestão, e configuração, do ambiente. Portanto, ainda que o controle testado tenha sido efetivo para mitigar a fase de reconhecimento de um ataque, é indispensável a adoção de demais medidas de segurança no ambiente, aplicando o modelo de defesa em profundidade, dado que o ZTNA somente se propõe a ser um intermediador de recursos de rede.

PALAVRAS-CHAVE: 1. Confiança zero; 2. Autenticação; 3. Segurança definida por identidade; 4. Segurança perimetral; 5. ZTNA