Guia de implementação do ZTNA

Um guia passo a passo para migrar para o ZTNA na Digibee Integration Platform.

Este guia apresenta os passos práticos para planejar e implantar o ZTNA na sua organização. Se você procura uma visão conceitual do ZTNA, consulte Zero Trust Network Access (ZTNA).

Etapa 1: Mapeie os recursos que precisam de proteção

Antes de configurar o ZTNA, identifique e categorize os recursos que precisam ser protegidos. Isso garante que o escopo esteja claro e que as medidas de segurança sejam adequadas.

Liste os recursos críticos

• APIs expostas externamente, como api.minhaempresa.com/v1/login.

• Aplicações internas, como um sistema ERP ou um banco de dados financeiro.

• Serviços em nuvem, como plataformas de CRM ou gestão de projetos.

Classifique os recursos por sensibilidade

• Alta sensibilidade: dados financeiros, APIs de autenticação.

• Média sensibilidade: documentos internos não públicos.

• Baixa sensibilidade: recursos de treinamento ou materiais públicos.

Identifique os usuários e sistemas que precisam de acesso

• Equipes internas, como desenvolvedores ou analistas financeiros.

• Aplicações automatizadas, como bots que consomem APIs.

• Parceiros externos que precisam acessar sistemas específicos.

Mapeie a localização dos recursos

• On-Premises: servidores locais ou data centers.

• Nuvem: Amazon AWS, Microsoft Azure, Google Cloud.

• Híbrido: recursos distribuídos entre nuvem e on-premises.

Entenda os fluxos de comunicação

• Quais usuários acessam quais recursos?

• Como as aplicações interagem entre si?

Etapa 2: Configure Edge Routers em locais estratégicos

O Edge Router é o componente central para estabelecer comunicação segura no ZTNA. Sua configuração e posicionamento são cruciais para otimizar o tráfego.

Escolha a infraestrutura

• On-Premises: posicione o Edge Router dentro do data center, próximo ao recurso que será protegido. Exemplo: proteção de um servidor de banco de dados local.

• Nuvem: use o AWS Marketplace para implantar o Edge Router diretamente na região da API. Exemplo: APIs hospedadas na AWS.

Planeje a redundância

Configure sempre pelo menos dois Edge Routers para garantir alta disponibilidade. Exemplo: um no leste dos EUA (AWS US-East) e outro no oeste dos EUA (AWS US-West).

Registre o Edge Router

1. Acesse a seção de Conectividade para ZTNA na Digibee Integration Platform.

2. Gere uma chave e registre o Edge Router. Exemplo de nome: EdgeRouter-US-East.

Consulte Edge Routers para o passo a passo de como gerar chaves.

Configure as regras de saída

• Não são necessárias regras de entrada no firewall.

• Certifique-se de que as portas de saída necessárias estejam abertas, como:

  • Porta 443 (HTTPS) — comunicação segura.

  • Portas específicas para o controlador ZTNA.

Etapa 3: Conceda acesso

Uma das premissas mais importantes do ZTNA é conceder acesso apenas ao necessário, limitando privilégios excessivos.

Restrinja portas e endpoints

• Limite o acesso a portas e endpoints específicos. Exemplo:

  • Usuários internos: apenas a porta 22 (SSH) e a 443 (HTTPS).

  • Parceiros externos: apenas api.parceiro.minhaorganizacao.com.

Habilite a microsegmentação

Exemplo: um Edge Router pode permitir que apenas uma aplicação interaja com o banco de dados financeiro, como um dashboard financeiro.

A migração pode ser feita de forma gradual, permitindo que a infraestrutura existente (como VPNs) coexista enquanto o ZTNA é implementado.

Exemplo integrado

Cenário: uma empresa opera uma aplicação financeira que permite consultas de clientes. A aplicação está distribuída entre um data center local e uma nuvem AWS.

Solução com ZTNA:

1. Mapear a API api.financeira.com e o banco de dados local como recursos críticos.

2. Configurar um Edge Router na AWS (para a API) e outro no data center local (para o banco de dados).

3. Criar políticas de acesso para permitir que:

   • Apenas usuários autenticados consultem a API.

   • Apenas a API acesse o banco de dados.

4. Testar a comunicação com um usuário simulado e validar a latência.