Zero Trust Network Access (ZTNA)
Saiba o que é o Zero Trust Network Access (ZTNA), como ele funciona na Digibee Integration Platform e o que você precisa antes de implementá-lo.
O que é ZTNA?
O Zero Trust Network Access (ZTNA) é uma arquitetura de segurança baseada no princípio "nunca confie, sempre verifique". Diferente dos modelos tradicionais, que confiam em usuários ou dispositivos já dentro da rede, o ZTNA exige autenticação e autorização contínuas para acessar qualquer recurso, independentemente da localização do usuário.
VPNs tradicionais criam risco assim que um usuário se conecta: qualquer sessão autenticada pode se mover lateralmente pela rede, expondo mais do que deveria. As VPNs também centralizam o tráfego, o que aumenta a latência, e têm dificuldade para escalar em ambientes híbridos e multicloud. O ZTNA resolve essas lacunas autenticando cada requisição individualmente, em vez de confiar em uma sessão inteira.
Como o ZTNA funciona
O ZTNA combina cinco componentes para criar uma rede segura e escalável.
Políticas de acesso
Políticas de acesso são regras que definem quem pode acessar o quê, com base em identidade. Por exemplo, uma política de acesso pode exigir que um usuário esteja autenticado e autorizado antes de acessar um sistema financeiro.
Fabric
O Fabric é a infraestrutura de rede que conecta todos os dispositivos e recursos. Ele roteia o tráfego de forma dinâmica e segura, escolhendo o melhor caminho com base nas condições atuais da rede.
Edge Routers
Os Edge Routers são os pontos de conexão entre os recursos da rede. Eles aplicam as políticas de acesso para que apenas origens autorizadas alcancem um recurso, além de otimizar o tráfego e minimizar a latência.
Network Mappings
Os Network Mappings são os recursos protegidos dentro da rede, como APIs, servidores ou aplicações. O ZTNA cria uma rede privada para esses recursos, de forma que apenas usuários e dispositivos autenticados possam acessá-los.
Mutual TLS (mTLS)
O Mutual TLS (mTLS) autentica os dois lados de uma conexão antes que eles se comuniquem, de forma que apenas usuários ou dispositivos verificados alcancem a rede. Isso reduz a chance de ataques e simplifica a operação, já que nenhum dos lados precisa de uma etapa de verificação separada.
Fluxo Inverso (Inverse Flow)
O Fluxo Inverso (Inverse Flow) permite chamar pipelines internos da Digibee a partir da sua própria infraestrutura usando ZTNA, invertendo o sentido usual de um Network Mapping. Consulte Network Mapping para configurar um.
Quando usar o ZTNA
O ZTNA é indicado para empresas que:
Operam em ambientes híbridos ou multicloud.
Precisam de segurança rigorosa para dados regulados, como no setor bancário ou de saúde.
Querem melhorar o acesso remoto de colaboradores sem ampliar a superfície de ataque.
Buscam reduzir o risco de ransomware e sequestro de credenciais.
Em comparação com uma VPN, o ZTNA oferece:
Mais segurança: o acesso é segmentado e baseado em identidade, o que elimina a movimentação lateral.
Menor latência: uma arquitetura distribuída evita saltos desnecessários na rede.
Gerenciamento mais simples: você administra o ZTNA de forma autônoma pela Digibee Integration Platform, sem regras de entrada complexas para manter.
Maior disponibilidade: o ZTNA na Digibee opera com um SLA de 99,99%.
Requisitos
Requisitos de firewall
O TLS protege toda a comunicação entre Edge Routers, e entre Edge Routers e o network controller.
Seus proxies e firewalls de aplicação web precisam permitir exceções para o tráfego dos Edge Routers.
A inspeção profunda de pacotes (deep packet inspection) pode causar problemas de conectividade com os Edge Routers.
Os Edge Routers só fazem conexões de saída, então nenhum tráfego de entrada precisa alcançá-los.
Os Edge Routers precisam das seguintes portas de saída abertas:
443/TCP/UDP: conecta ao network controller para sessões e autenticação inicial.6262/TCP/UDP: conecta ao network controller para manutenção de software na fabric e na camada de dados.
Requisitos de Edge Router
O Edge Router liga o lado Digibee da sua rede ao lado do cliente, então ele precisa conseguir resolver o DNS de todo recurso que expõe. Por exemplo, se você expõe um banco de dados em prod-db.customerdomain.me, o Edge Router precisa resolver esse hostname.
Para redundância, configure seus Edge Routers em duas infraestruturas separadas. Se uma falhar, a outra assume todo o tráfego e mantém o roteamento inteligente funcionando corretamente.
Você é responsável por instalar o Edge Router. Siga o guia de implantação do seu ambiente:
Dimensionamento de VM do Edge Router
Dimensione corretamente as máquinas virtuais do seu Edge Router para obter o desempenho necessário. Consulte o guia de dimensionamento de VM da NetFoundry para diretrizes de CPU, RAM e armazenamento em disco.
Próximos passos
Agora que você entende o que é o ZTNA e o que ele exige, leia o Guia de implementação do ZTNA para planejar e implantar o ZTNA na sua organização.
Atualizado
Isto foi útil?