Segurança de Confiança Zero no Azure

Confiança Zero é uma estratégia de segurança que pressupõe violação e verifica cada solicitação como se tivesse se originado de uma rede descontrolada. Este artigo explica como aplicar princípios de Confiança Zero à infraestrutura e aos serviços do Microsoft Azure.

Para obter informações abrangentes sobre a Confiança Zero como um modelo de segurança e seu aplicativo em produtos da Microsoft, consulte o que é Confiança Zero?.

Princípios de confiança zero para o Azure

Hoje, as organizações precisam de um modelo de segurança que se adapte efetivamente à complexidade do ambiente moderno, abrace a força de trabalho móvel e proteja pessoas, dispositivos, aplicativos e dados onde quer que estejam localizados.

O modelo de segurança de Confiança Zero baseia-se em três princípios orientadores:

• Verificar explicitamente : sempre autentique e autorize com base em todos os pontos de dados disponíveis, incluindo identidade do usuário, local, integridade do dispositivo e serviço ou carga de trabalho.
• Usar o acesso com o mínimo de privilégios – limite o acesso do usuário com JIT/JEA (Just-In-Time e Just-Enough-Access), políticas adaptáveis baseadas em risco e proteção de dados.
• Pressupor a violação – minimize o raio de alcance e segmente o acesso. Verifique a criptografia de ponta a ponta e use a análise para obter visibilidade, promover a detecção de ameaças e melhorar as defesas.

Aplicando princípios a cargas de trabalho do Azure

Ao implementar a Confiança Zero no Azure, esses princípios se traduzem em padrões de arquitetura específicos:

Verificar explicitamente significa que cada solicitação de acesso aos recursos do Azure deve ser autenticada e autorizada usando a ID do Microsoft Entra, com políticas de Acesso Condicional avaliando o risco com base em vários sinais, incluindo contexto de usuário, dispositivo, localização e carga de trabalho.

Usar o acesso de menor privilégio requer o uso de controle de acesso baseado em função (RBAC) com permissões mínimas, acesso Just-In-Time (JIT) para operações administrativas e identidades gerenciadas em vez de armazenar credenciais.

Suponha que a violação conduz a segmentação de rede para limitar a movimentação lateral, a criptografia de dados em repouso e em trânsito, o monitoramento contínuo e a detecção de ameaças e backups imutáveis para proteger contra ataques destrutivos.

Arquitetura de Confiança Zero no Azure

Uma abordagem de Confiança Zero se estende por toda a propriedade digital e serve como uma filosofia de segurança integrada e uma estratégia de ponta a ponta. Quando aplicado ao Azure, ele requer uma abordagem multidisciplinar que aborda sistematicamente a infraestrutura, a rede, a identidade e a proteção de dados.

Esta ilustração fornece uma representação dos elementos primários que contribuem para a Confiança Zero.

Na ilustração:

• A imposição de uma política de segurança está no centro de uma arquitetura de Confiança Zero. Isso inclui a autenticação multifator com acesso condicional que leva em conta o risco da conta de usuário, o status do dispositivo e outros critérios e políticas definidos.
• Identidades, dispositivos (também chamados de pontos de extremidade), dados, aplicativos, rede e outros componentes de infraestrutura são todos configurados com segurança apropriada. As políticas configuradas para cada um desses componentes são coordenadas com sua estratégia geral de Confiança Zero.
• A inteligência e proteção contra ameaças monitora o ambiente, revela os riscos atuais e toma medidas automatizadas para remediar ataques.

De abordagem baseada em perímetro para Zero Trust

A abordagem tradicional do controle de acesso para TI tem sido baseada na restrição do acesso a um perímetro de rede corporativa. Esse modelo restringe todos os recursos a uma conexão de rede de propriedade corporativa e tornou-se muito restritivo para atender às necessidades de uma empresa dinâmica.

Em ambientes do Azure, a mudança para Confiança Zero é particularmente importante porque existem recursos de nuvem fora dos perímetros de rede tradicionais. As organizações devem adotar uma abordagem de Confiança Zero para acessar o controle à medida que abraçam o trabalho remoto e usam a tecnologia de nuvem para transformar seu modelo de negócios.

Os princípios de Confiança Zero ajudam a estabelecer e melhorar continuamente as garantias de segurança, mantendo a flexibilidade necessária em ambientes de nuvem modernos. A maioria das jornadas de Confiança Zero começa com o controle de acesso e se concentra na identidade como o controle preferencial e primário. A tecnologia de segurança de rede continua sendo um elemento-chave, mas não é a abordagem dominante em uma estratégia de controle de acesso completa.

Para mais informações sobre a transformação de Zero Trust do controle de acesso no Azure, consulte o controle de acesso do Cloud Adoption Framework.

Implementando a confiança zero para a infraestrutura do Azure

A aplicação de Confiança Zero ao Azure requer uma abordagem metódica que aborda diferentes camadas de sua infraestrutura, desde elementos fundamentais até cargas de trabalho completas.

IaaS do Azure e componentes de infraestrutura

A Confiança Zero para IaaS do Azure aborda a pilha de infraestrutura completa: serviços de armazenamento com controles de criptografia e acesso, máquinas virtuais com criptografia de disco e inicialização confiável, redes spoke com microssegmentação, redes de hub com serviços de segurança centralizados e integração de PaaS por meio de pontos de extremidade privados. Para obter diretrizes detalhadas, consulte Aplicar princípios de Confiança Zero à visão geral do IaaS do Azure.

Rede do Azure

A segurança de rede se concentra em quatro áreas principais: criptografia de todo o tráfego de rede, segmentação usando grupos de segurança de rede e Firewall do Azure, visibilidade por meio do monitoramento de tráfego e descontinuação de controles herdados baseados em VPN em favor de abordagens centradas em identidade. Para obter diretrizes detalhadas, consulte Aplicar princípios de Confiança Zero à rede do Azure.

Identidade como o plano de controle

A identidade é o plano de controle principal para Zero Trust no Azure. O Acesso Condicional serve como o principal mecanismo de política, avaliando solicitações de acesso com base em vários sinais para conceder, limitar ou bloquear o acesso. Para obter mais informações, consulte Acesso Condicional para Confiança Zero e visão geral de segurança de gerenciamento de identidades do Azure.

Protegendo dados e garantindo a disponibilidade

A proteção de dados no Azure requer várias camadas: criptografia em repouso e em trânsito, controles de acesso baseados em identidade usando identidades gerenciadas e RBAC e cargas de trabalho altamente confidenciais, computação confidencial para proteger dados durante o processamento. A resiliência contra ataques destrutivos requer bloqueios de recursos, backups imutáveis, replicação geográfica e proteção da própria infraestrutura de recuperação. Para obter diretrizes detalhadas, consulte Proteger seus recursos do Azure contra ataques cibernéticos destrutivos.

Detecção e resposta de ameaças

A Confiança Zero requer monitoramento contínuo com a suposição de que as ameaças já podem estar presentes. O Microsoft Defender para Nuvem fornece gerenciamento unificado de segurança e proteção contra ameaças para recursos do Azure, enquanto a integração com o Microsoft Defender XDR permite a detecção correlacionada em todo o seu ambiente. Para obter informações detalhadas, consulte a visão geral da detecção de ameaças do Azure e o Microsoft Sentinel e o Microsoft Defender XDR.

Responsabilidade compartilhada e segurança do Azure

A segurança no Azure é uma responsabilidade compartilhada entre a Microsoft e os clientes. A Microsoft protege a infraestrutura física e a plataforma do Azure, enquanto os clientes são responsáveis pela identidade, dados e segurança do aplicativo, com a divisão variando por modelo de serviço (IaaS, PaaS, SaaS). A implementação da Confiança Zero requer a coordenação de controles no nível da plataforma com as opções de configuração do cliente. Para obter mais informações, consulte Responsabilidade compartilhada na nuvem.

Recursos de segurança do Azure

Embora este artigo se concentre na aplicação conceitual de Confiança Zero para o Azure, é importante entender a amplitude dos recursos de segurança disponíveis. O Azure fornece serviços de segurança abrangentes em todas as camadas de sua infraestrutura.

Para obter uma visão geral dos recursos de segurança do Azure organizados pela área funcional, consulte Introdução à segurança do Azure. Para obter uma exibição da segurança do Azure organizada por recursos de proteção, detecção e resposta, consulte a segurança de ponta a ponta no Azure.

Diretrizes detalhadas adicionais estão disponíveis para domínios específicos:

• Identidade e acesso - Visão geral da segurança de gerenciamento de identidades do Azure
• Segurança de rede - Visão geral de segurança de rede do Azure
• Proteção de dados - Visão geral da criptografia do Azure e segurança do Azure Key Vault
• - Visão geral de segurança de Máquinas Virtuais do Azure
• Segurança da plataforma - Visão geral de segurança da plataforma do Azure
• Detecção de ameaças - Visão geral da detecção de ameaças do Azure
• Gerenciamento e monitoramento - Visão geral de gerenciamento e monitoramento de segurança do Azure

Desenvolvimento de aplicativos e Confiança Zero

Os aplicativos implantados no Azure devem autenticar e autorizar cada solicitação em vez de depender da confiança implícita do local da rede. Os principais princípios incluem o uso da ID do Microsoft Entra para verificação de identidade, a solicitação de permissões mínimas, a proteção de dados confidenciais e o uso de identidades gerenciadas em vez de credenciais armazenadas. Para obter diretrizes abrangentes, consulte Desenvolver usando princípios de Confiança Zero e Criar aplicativos prontos para Confiança Zero usando a plataforma de identidade da Microsoft.

Próximas etapas

Para implementar a Confiança Zero em seu ambiente do Azure, comece com estes recursos:

• Aplicar princípios de Confiança Zero à visão geral dos serviços do Azure – comece aqui para obter uma visão abrangente de como aplicar a Confiança Zero em diferentes tipos de serviço do Azure
• Aplicar princípios de Confiança Zero à visão geral do IaaS do Azure – Diretrizes detalhadas para cargas de trabalho de infraestrutura
• Aplicar princípios de Confiança Zero à rede do Azure – Diretrizes de implementação de segurança de rede
• Proteger seus recursos do Azure contra ataques cibernéticos destrutivos – resiliência e planejamento de recuperação
• O que é Confiança Zero? – Diretrizes abrangentes de Confiança Zero em produtos da Microsoft

Para recursos mais amplos do Microsoft Zero Trust:

• Diretrizes de implantação de Confiança Zero – Objetivos de implantação específicos da área de tecnologia
• Estrutura de adoção de Confiança Zero – Diretrizes de implementação focada no resultado dos negócios
• Confiança Zero para Microsoft 365 – Diretrizes para workloads de produtividade e SaaS