Confiança Zero: A Defesa Definitiva para Segurança de Dispositivos IoT

Especialistas em cibersegurança se esforçam para ficar um passo à frente de hackers procurando explorar fraquezas em milhões de dispositivos de internet das coisas no mundo todo. Mas talvez estejam focando no problema errado.

Dispositivos IoT permeiam virtualmente todos os aspectos dos negócios hoje, e estão fazendo avanços rápidos no setor de consumo também. Cada sensor que se conecta à internet cria outra vulnerabilidade potencial para seu usuário. Então não é surpresa que o estado atual de segurança de IoT "provavelmente não é muito bom", como Gary Kinghorn, diretor administrativo da Tempered Networks, descreve.

Quando o banco de dados de grandes apostadores de um cassino é hackeado através de um termômetro de aquário "inteligente", fica claro que o universo IoT nascente tem um problema sério. O estado de vulnerabilidade da tecnologia "é quase ao ponto do absurdo", diz Kinghorn.

Empresas buscando proteger seus sistemas de informação focaram nos próprios dispositivos, em particular a necessidade de senhas fortes que supostamente os protejam de ladrões cibernéticos. O governo também buscou reforçar dispositivos IoT através de medidas como o recentemente aprovado Cybersecurity Improvement Act. Mas Kinghorn acredita que isso não é a resposta completa — ou mesmo a pergunta certa.

Todo dispositivo conectado à IoT tem um endereço IP que o torna um alvo tentador para hackers. No entanto, transmissores simplesmente não são tão "inteligentes" quanto esse adjetivo da moda sugere. "Eles são dispositivos muito simples", diz Kinghorn. "Eles nunca vão ser sofisticados o suficiente para analisar uma conexão de rede legítima ou solicitação de dados."

Em vez disso, usuários deveriam focar no que Kinghorn chama de "o buraco real" na segurança: a rede em si. A chave é garantir que vetores de ataque não estejam disponíveis para hackers. E para fazer isso, sistemas precisam adotar um modelo de "confiança zero" para autorizar entrada.

O termo significa que "você não confia em nada que está tentando se conectar à sua rede, mesmo apps ou dispositivos de seus próprios usuários internos, a menos que sejam especificamente autorizados", explica Kinghorn. Pense em uma "lista branca" que protege uma linha telefônica de golpistas, telemarketers e robocalls bloqueando todos, exceto números previamente designados.

Um ambiente de confiança zero garante que "todo tráfego se move através da rede criptografado, então não há interceptações ou ataques man-in-the-middle", diz Kinghorn. A política de segurança da organização é gerenciada em torno da identificação antecipada de dispositivos e usuários, em vez de contar com a confiabilidade de sensores IoT.

Tal sistema restringe o acesso à rede até pelos dispositivos mais confiáveis. No caso do cassino hackeado, Kinghorn pergunta, por que aquele termômetro de aquário estava ligado ao banco de dados de clientes em primeiro lugar? "Deveria apenas ter permissão para acessar um sistema — o que fala sobre a temperatura do tanque."

Confiança zero torna possível para sistemas isolarem sensores individuais da rede maior. Então por que mais usuários privados e públicos não abraçaram o conceito, mesmo enquanto violações de segurança continuam a aumentar?

Kinghorn encontra algumas respostas no Relatório de Adoção de Confiança Zero da Cybersecurity Insiders. Ele encontra um alto nível de entusiasmo sobre o modelo de confiança zero, com 78% das equipes de segurança de TI pesquisadas expressando interesse em implementar acesso de rede de confiança zero no futuro. Eles estão respondendo a uma necessidade de apertar a segurança do sistema em um momento em que empresas estão recorrendo à nuvem pública e tentando gerenciar forças de trabalho móveis com segurança.

Ao mesmo tempo, 47% da amostra disse que falta confiança na capacidade de sua tecnologia de segurança atual de implementar confiança zero. Apenas 15% já têm tal sistema em vigor, e cerca de 20% não deram muita atenção à tecnologia.

Custo é um fator limitante, diz Kinghorn. Confiança zero pode ser caro de alcançar, com a necessidade de "arrancar e substituir" alguns sistemas de TI, e em sua forma atual nem sempre se estende a aplicações fora do data center.

"Esse é nosso foco", diz Kinghorn, "ser capaz de aplicar confiança zero a qualquer rede ou dispositivo, através de uma combinação de um agente de software típico e dispositivos gateway com fio."

Quando se trata de atualizações de tecnologia, mudança raramente é fácil. Equipes de segurança de TI podem se considerar confortáveis com firewalls tradicionais e redes privadas virtuais (VPNs), ou se preocupar com o incômodo de exigir autenticação multifator. Mas confiança zero pode ser configurada com um único sign-on, e agentes podem ser instalados em questão de minutos, afirma Kinghorn. "Não é onerosamente caro", ele diz, "embora algumas organizações possam torná-lo assim."

Ele vê o interesse em confiança zero crescendo rapidamente, especialmente em resposta à pandemia de COVID-19 e aos problemas adicionais de segurança que trouxe para departamentos de TI. E embora a aceitação total da tecnologia possa levar algum tempo, a falha em avançar exporá empresas a ataques cada vez mais danosos por hackers criativos.

Sistemas legados de ontem não estão equipados para lidar com ameaças cibernéticas modernas, diz Kinghorn. "A pilha de protocolo IP tem 50 anos. Nunca foi projetada para fazer o que organizações de TI estão sendo solicitadas a fazer hoje. É por isso que precisamos de um modelo completamente novo."