O Zero Trust Network Access (ZTNA) é um modelo de segurança informática concebido para proteger aplicações corporativas, recursos na nuvem e redes sem fios. Operando com base no princípio fundamental de "nunca confiar, verificar sempre", o ZTNA substitui os modelos tradicionais de segurança baseados no perímetro. Num ambiente de trabalho híbrido onde os colaboradores se ligam a partir de escritórios corporativos, filiais e redes domésticas, assumir que o tráfego da rede interna é implicitamente seguro cria uma exposição de segurança inaceitável.
A segurança tradicional do tipo "castelo e fosso" baseia-se em firewalls e redes privadas virtuais (VPNs) para manter os utilizadores não autorizados fora dos limites da rede. No entanto, assim que um utilizador ou dispositivo passa pela porta de entrada do perímetro, as redes legadas concedem um acesso amplo a sub-redes internas. O ZTNA elimina a confiança implícita ao verificar a identidade do utilizador, o estado do dispositivo e o contexto antes de conceder acesso a aplicações específicas, numa base de sessão a sessão.
Por que razão a segurança VPN tradicional falha nas redes empresariais modernas
Durante décadas, as equipas de TI das empresas confiaram em VPNs corporativas para permitir o acesso remoto. Uma VPN estabelece um túnel encriptado entre um dispositivo cliente e a rede interna. Embora a encriptação proteja os dados em trânsito, a falha arquitetónica subjacente de uma VPN é a ampla exposição da rede.
Assim que um utilizador se autentica numa VPN tradicional, o seu dispositivo torna-se um nó virtual na rede corporativa. Se um cibercriminoso capturar credenciais de VPN através de phishing ou comprometer um endpoint sem patches, obtém visibilidade sem restrições sobre servidores internos, repositórios de bases de dados e hardware ligado.
Este risco de movimento lateral representa uma fraqueza crítica na cibersegurança empresarial. Os atacantes que obtêm acesso inicial através de uma credencial comprometida podem varrer sub-redes internas, executar código remoto e implementar ransomware em todos os sistemas ligados. Além disso, o reencaminhamento do tráfego de utilizadores remotos através de concentradores VPN centrais cria estrangulamentos graves de largura de banda e degrada o desempenho das aplicações.
Comparar as VPNs tradicionais com o Zero Trust Network Access (ZTNA)
A transição da segurança de perímetro herdada para o ZTNA requer a avaliação das diferenças arquitetónicas em termos de autenticação, acesso à rede e contenção de riscos:
Os três pilares fundamentais da arquitetura Zero Trust
A implementação do Zero Trust Network Access exige a adoção de três pilares arquitetónicos fundamentais definidos por estruturas de cibersegurança como o NIST SP 800-207:
1. Verificar explicitamente
Cada tentativa de acesso tem de ser explicitamente autenticada e autorizada utilizando todos os pontos de dados disponíveis antes de o acesso ser concedido. Em vez de depender da localização de rede ou do endereço IP, o ZTNA avalia os sinais de identidade em tempo real, incluindo credenciais de utilizador, autenticação multifator (MFA), estado de integridade do dispositivo cliente, nível de patches do sistema operativo, localização geográfica e deteção de anomalias.
Para ambientes sem fios, a verificação explícita é alcançada combinando a autenticação de certificados 802.1X com servidores RADIUS. Para compreender como funciona a identidade baseada em certificados na infraestrutura sem fios, leia o nosso guia sobre os benefícios da autenticação 802.1X.
2. Impor o acesso com privilégio mínimo
O acesso com o privilégio mínimo restringe as permissões dos utilizadores estritamente às aplicações e recursos específicos necessários para realizar a sua tarefa imediata. O ZTNA concede túneis de acesso por aplicação em vez de conectividade ao nível da rede. Um representante de apoio ao cliente, por exemplo, recebe acesso ao sistema de CRM, mas permanece completamente isolado de bases de dados financeiras, repositórios de engenharia e segmentos de rede administrativos.
A imposição do privilégio mínimo minimiza o raio de impacto de qualquer violação de credenciais. Mesmo que um adversário comprometa uma conta autorizada, a microsegmentação impede-o de analisar recursos de rede adjacentes ou de elevar privilégios.
3. Assumir a violação
Operar sob o pressuposto de uma violação significa conceber controlos de rede partindo do princípio de que os elementos adversários já existem no ambiente. Em vez de depender apenas de defesas de fronteira externas, os controlos de segurança são construídos de dentro para fora.
Assumir a ocorrência de uma falha de segurança exige uma monitorização contínua de ameaças, encriptação de ponta a ponta para o tráfego da rede interna e a cessação automatizada da sessão após a deteção de comportamento suspeito. Os administradores de rede estruturam zonas isoladas nas instalações corporativas. Para estratégias sobre a configuração de políticas de controlo de acesso, explore a nossa análise de soluções de controlo de acesso à rede.
Aplicar os princípios de Zero Trust a redes WiFi empresariais
As redes sem fios representam um perímetro fundamental nas instalações físicas. As redes com chave pré-partilhada padrão (WPA2/WPA3-Personal) utilizam uma única frase-passe partilhada por todos os dispositivos ligados. Se um colaborador sair da empresa ou se um portátil for perdido, a palavra-passe partilhada fica comprometida em toda a organização.
A aplicação de ZTNA a infraestruturas sem fios envolve a substituição de palavras-passe estáticas por controlos de acesso baseados na identidade:
- Autenticação por certificado 802.1X EAP-TLS: Emite certificados digitais criptográficos exclusivos para dispositivos geridos da empresa. Os dispositivos ligam-se sem palavra-passe enquanto o RADIUS valida o estado do certificado em tempo real com o Microsoft Entra ID, Okta ou Google Workspace. Implemente perfis de certificado de forma simples utilizando o nosso guia de implementação de certificados no Microsoft Intune.
- Chaves Pré-Partilhadas baseadas em Identidade (iPSK): Atribui frases de acesso exclusivas e individuais a dispositivos não geridos, dispositivos BYOD e hardware IoT. Cada frase de acesso mapeia diretamente para a identidade de um utilizador ou dispositivo específico e encaminha o tráfego para segmentos de VLAN designados. Saiba mais no nosso guia completo de segurança iPSK.
- Redes de WiFi para convidados isoladas: Separa totalmente o tráfego de visitantes dos ativos corporativos utilizando VLANs isoladas, isolamento de clientes e Captive Portals autenticados. Descubra as melhores práticas de segurança para convidados no nosso guia de WiFi para convidados.
Ligar o ZTNA com Cloud RADIUS e fornecedores de identidade na nuvem
As implementações herdadas de 802.1X exigiam controladores de domínio Active Directory locais complexos e hardware de Network Policy Server (NPS). As plataformas ZTNA modernas tiram partido da arquitetura Cloud RADIUS para fornecer autenticação de alta disponibilidade diretamente a partir de fornecedores de identidade na nuvem.
O Cloud RADIUS liga-se a diretórios na nuvem através de protocolos seguros OAuth e SCIM. Quando um dispositivo solicita a entrada na rede, o Cloud RADIUS verifica o estado da conta, as associações a grupos e as políticas de segurança em tempo real. Quando um funcionário é desvinculado no seu fornecedor de identidade, o acesso à rede é revogado em todas as localizações da empresa imediatamente, eliminando as alterações manuais de palavras-passe.
Perguntas frequentes sobre o Zero Trust Network Access
O que é o Zero Trust Network Access (ZTNA)?
O Zero Trust Network Access (ZTNA) é uma estrutura de segurança de TI que impõe uma verificação de identidade rigorosa, avaliação do estado de saúde dos dispositivos e controlos de acesso com privilégio mínimo para cada pedido de ligação, assumindo que nenhum utilizador ou dispositivo dentro ou fora da rede é implicitamente fidedigno.
Como é que o ZTNA difere de uma VPN tradicional?
Uma VPN tradicional concede acesso amplo ao nível da rede a uma sub-rede inteira após a autenticação, permitindo o movimento lateral nos sistemas internos. O ZTNA cria microtúneis seguros e encriptados apenas para aplicações autorizadas individuais, bloqueando a visibilidade de recursos de rede adjacentes.
O Zero Trust pode ser aplicado a redes WiFi empresariais?
Sim. Os princípios de Zero Trust aplicam-se diretamente ao WiFi empresarial, substituindo as passphrases estáticas partilhadas por certificados digitais 802.1X EAP-TLS, autenticação Cloud RADIUS, isolamento de segmentos iPSK e sincronização automatizada de diretórios de identidade na nuvem.
Como é que o Zero Trust previne o movimento lateral de ameaças durante uma falha de segurança?
O Zero Trust impede o movimento lateral através de microsegmentação e limites de acesso por aplicação. Mesmo que um adversário comprometa uma credencial de utilizador ou um dispositivo de ponto final, não conseguirá analisar sub-redes de rede adjacentes ou aceder a aplicações internas não autorizadas.
Implemente Zero Trust Network Access em todo o WiFi da sua empresa
Ligue os seus pontos de acesso sem fios diretamente à plataforma Cloud RADIUS da Purple. Disponibilize autenticação por certificado 802.1X sem palavra-passe, isolamento de dispositivos iPSK e sincronização automatizada de identidade na nuvem em todos os seus locais.
