Por que ‘Zero Trust’ é a melhor maneira de fortalecer a segurança do dispositivo IoT

Os especialistas em segurança cibernética lutam para ficar um passo à frente dos hackers que procuram explorar as fraquezas de milhões de dispositivos da Internet das coisas em todo o mundo. Mas talvez eles estejam se concentrando no problema errado.

Os dispositivos IoT permeiam virtualmente todos os aspectos dos negócios hoje e também estão avançando rapidamente no setor de consumo. Cada sensor que se conecta à Internet cria outra vulnerabilidade potencial para seu usuário. Portanto, não é surpresa que o estado atual de segurança da IoT "provavelmente não seja muito bom", como Gary Kinghorn, diretor-gerente da Tempered Networks, descreve.

Quando o banco de dados de grandes apostadores de um cassino é invadido por um termômetro de tanque de peixes "inteligente", fica claro que o universo IoT em expansão tem um problema sério. O estado de vulnerabilidade da tecnologia “está quase ao ponto do absurdo”, diz Kinghorn.

As empresas que buscam fortalecer seus sistemas de informação têm se concentrado nos próprios dispositivos, em particular na necessidade de senhas fortes que deveriam protegê-los de ladrões cibernéticos. O governo também buscou reforçar os dispositivos de IoT por meio de medidas como a recentemente aprovada Lei de Melhoria da Segurança Cibernética. Mas Kinghorn acredita que essa não é a resposta completa - ou mesmo a pergunta certa.

Cada dispositivo conectado à IoT tem um endereço IP que o torna um alvo tentador para hackers. No entanto, os transmissores simplesmente não são tão "inteligentes" como o adjetivo da moda pode sugerir. “Eles são dispositivos muito simples”, diz Kinghorn. “Eles nunca serão sofisticados o suficiente para analisar uma conexão de rede legítima ou solicitação de dados.”

Em vez disso, os usuários devem se concentrar no que Kinghorn chama de “o verdadeiro buraco” na segurança:a própria rede. A chave é garantir que os vetores de ataque não estejam disponíveis para os hackers. E para fazer isso, os sistemas precisam adotar um modelo de “confiança zero” para autorizar a entrada.

O termo significa que “você não confia em nada que esteja tentando se conectar à sua rede, mesmo em aplicativos ou dispositivos de seus próprios usuários internos, a menos que eles sejam especificamente autorizados”, explica Kinghorn. Pense em uma “lista branca” que protege uma linha telefônica de golpistas, operadores de telemarketing e ligações automáticas, bloqueando todos, exceto os números designados anteriormente.

Um ambiente de confiança zero garante que “todo o tráfego se mova pela rede criptografado, para que não haja interceptações ou ataques man-in-the-middle”, afirma Kinghorn. A política de segurança da organização é gerenciada em torno da identificação antecipada de dispositivos e usuários, em vez de contar com a confiabilidade dos sensores IoT.

Esse sistema restringe o acesso à rede até mesmo pelos dispositivos mais confiáveis. No caso do cassino hackeado, Kinghorn pergunta, por que o termômetro do tanque de peixes estava vinculado ao banco de dados do cliente em primeiro lugar? “Só deve ser permitido o acesso a um sistema - aquele que fala sobre a temperatura do tanque.”

A confiança zero possibilita que os sistemas isolem sensores individuais da rede maior. Então, por que mais usuários privados e públicos não adotaram o conceito, mesmo que as violações de segurança continuem aumentando?

Kinghorn encontra algumas respostas no Relatório de Adoção de Confiança Zero por Insiders de Segurança Cibernética. Ele encontra um alto nível de entusiasmo em relação ao modelo de confiança zero, com 78% dos entrevistados I.T. equipes de segurança expressando interesse em implementar o acesso à rede de confiança zero no futuro. Eles estão respondendo a uma necessidade de aumentar a segurança do sistema em um momento em que as empresas estão se voltando para a nuvem pública e tentando gerenciar com segurança a força de trabalho móvel.

Ao mesmo tempo, 47% da amostra disseram não ter confiança na capacidade de sua tecnologia de segurança atual de implementar confiança zero. Apenas 15% já têm esse sistema em vigor, e cerca de 20% não deram muito por meio da tecnologia.

O custo é um fator limitante, diz Kinghorn. A confiança zero pode ser cara de se alcançar, com a necessidade de “remover e substituir” alguns I.T. sistemas e, em sua forma atual, nem sempre se estende a aplicativos fora do data center.

“Esse é o nosso foco”, diz Kinghorn, “ser capaz de aplicar confiança zero a qualquer rede ou dispositivo, por meio de uma combinação de um agente de software típico e dispositivos de gateway com fio.”

Quando se trata de atualizações de tecnologia, a mudança raramente é fácil. ISTO. as equipes de segurança podem se sentir confortáveis ​​com firewalls tradicionais e redes privadas virtuais (VPNs) ou se preocupar com o incômodo de exigir autenticação multifator. Mas a confiança zero pode ser configurada com um único logon e os agentes podem ser instalados em questão de minutos, afirma Kinghorn. “Não é onerosamente caro”, diz ele, “embora algumas organizações possam fazer isso”.

Ele vê o interesse na confiança zero crescendo rapidamente, especialmente em resposta à pandemia COVID-19 e as questões de segurança adicionais que ela trouxe para o I.T. departamentos. E embora a aceitação total da tecnologia possa levar algum tempo, o fracasso em seguir em frente irá expor as empresas a ataques cada vez mais prejudiciais de hackers criativos.

Os sistemas legados de ontem não estão equipados para lidar com as ameaças cibernéticas dos dias modernos, afirma Kinghorn. “A pilha de protocolos IP tem 50 anos. Nunca foi projetado para fazer o que I.T. organizações estão sendo solicitadas a fazer hoje. É por isso que precisamos de um modelo completamente novo. ”