Confiança zero para aplicativos legados: camada de balanceador de carga pode ser uma solução

Quando a maioria das equipes de segurança e plataforma pensa em implementar a confiança zero, elas tendem a se concentrar na camada de gerenciamento de identidade e acesso e, no Kubernetes, na malha de serviço. Essas são abordagens excelentes, mas podem causar desafios para constelações de aplicativos internos herdados projetados para serem executados sem exposição a conexões externas. Uma solução para esse problema é aproveitar o balanceador de carga como o principal componente de implementação para arquiteturas de confiança zero que abrangem aplicativos legados.

História verdadeira: um grande banco, balanceadores de carga e código legado

Esta é uma história verdadeira: um grande banco possui milhares de aplicativos web legados executados em infraestrutura dedicada. No passado, ele poderia contar com uma “defesa de perímetro rígida” para proteção com controle de acesso muito frágil na frente da camada de aplicativos web. Essa abordagem não funciona mais. A confiança zero exige que até mesmo os aplicativos internos mantenham uma postura de segurança mais forte. E para que os aplicativos legados continuem úteis, eles devem se conectar com aplicativos mais recentes e APIs de parceiros. Isso significa exposição à Internet pública ou amplamente dentro do data center por meio do tráfego Leste-Oeste – algo para o qual esses aplicativos legados nunca foram projetados.

Ainda assim, enfrentando a pressão regulamentar do governo para melhorar a segurança, o CIO do banco decidiu migrar todas as suas aplicações para confiança zero, incluindo as aplicações legadas. Infelizmente, a implementação de modelos de segurança de confiança zero em ambientes carregados de aplicações legadas e infraestruturas desatualizadas apresenta uma série de desafios, incluindo a falta de suporte nativo para métodos e protocolos de autenticação modernos e dificuldades em corrigir vulnerabilidades e garantir a encriptação de dados.

Além disso, a natureza heterogênea de tais ambientes muitas vezes leva a um cenário de segurança fragmentado, tornando difícil aplicar políticas uniformes. Trazer novas peças de infraestrutura para aplicar confiança zero implicaria um longo período de configuração e ajuste para que o sistema funcionasse corretamente nas inúmeras aplicações legadas. Atualizar todos esses aplicativos para padrões modernos de segurança distribuída, alguns dos quais podem ser escritos em linguagens antigas como Cobol, seria extremamente caro e, em alguns casos, quase impossível. Os engenheiros que desenvolveram esses aplicativos podem ter deixado a empresa há mais de uma década, ou até mais.

Procurando por uma camada comum de confiança zero

A equipe de segurança do banco procurou uma peça comum da infraestrutura existente como ponto de partida para a confiança zero e decidiu-se pelo balanceador de carga. Isso pode parecer contra-intuitivo porque o balanceador de carga está entre as construções de infraestrutura mais antigas da pilha. Mas os balanceadores de carga estão curiosamente bem posicionados para serem um mecanismo neutro, semelhante ao da Suíça, para implementação de confiança zero em aplicações de qualquer tipo, em qualquer ambiente, localizadas em qualquer lugar da infraestrutura.

Embora seja um protocolo mais antigo baseado em XML, a Security Assertion Markup Language (SAML) continua a ser o padrão aberto mais utilizado para troca de dados de autenticação e autorização entre partes. Mais especificamente, o SAML é o elo crítico entre os provedores de identidade que autenticam um usuário e os provedores de serviços que dependem dos provedores de identidade para fornecer informações úteis sobre o privilégio e a função do usuário.

Tradicionalmente, o SAML está localizado em seu próprio componente arquitetônico, separado do balanceamento de carga. Ao mesmo tempo, surgiu toda uma indústria em torno de sistemas especializados de implementação de confiança zero, tanto de hardware como de software, residentes em diferentes pontos da pilha de infraestruturas.

O SAML também era compatível com aplicativos legados, muitos dos quais foram construídos durante a história do SAML e o suportavam. Como o SAML foi projetado para funcionar em sistemas mais antigos, mas se adaptou bem aos sistemas mais novos e resistiu ao teste do tempo, é uma escolha particularmente forte como eixo para a confiança zero. Para ser eficaz, a confiança zero deve ser quase independente do sistema.

Os benefícios potenciais de tal configuração são consideráveis. Ao mover o SAML e o servidor de identidade para o balanceador de carga, o banco conseguiu implantar a confiança zero de uma forma mais escalável, mais eficiente e mais ágil do que a maioria dos paradigmas existentes.

Os pontos fortes do SAML na camada do balanceador de carga

Há vários pontos fortes específicos inerentes à implantação de confiança zero na camada do balanceador de carga via SAML. A implementação de confiança zero na camada do balanceador de carga permite que as organizações imponham um mecanismo unificado de controle de acesso para todos os aplicativos. Isso garante uma aplicação de segurança consistente em diversas plataformas tecnológicas e se estende aos nós internos que policiam o tráfego Leste-Oeste ou externamente à rede de serviços nativos da nuvem e APIs de parceiros.

O gerenciamento e a rotação de certificados são um problema considerável para aplicativos nativos da nuvem, muito menos para constelações híbridas de aplicativos que podem variar de alguns meses a 30 anos. Os balanceadores de carga gerenciam nativamente certificados TLS, oferecendo um ponto centralizado para gerenciamento eficiente de certificados que é relativamente independente de aplicativos. Esta centralização não só alivia a carga administrativa, mas também aumenta a segurança, garantindo a renovação oportuna dos certificados e o tratamento eficiente dos processos de criptografia/descriptografia.

Ao mover a confiança zero para um ponto de infraestrutura que já está integrado com todas as outras partes da sua infraestrutura, esta abordagem reduz significativamente a complexidade associada à modificação de cada aplicação individualmente para alinhar com os princípios de confiança zero. Em volumes elevados, a criptografia e outras cargas necessárias para a autenticação contínua inerente à confiança zero podem causar latência grave.

Os balanceadores de carga são projetados para lidar com eficiência com grandes volumes de tráfego e podem ser ajustados mais facilmente para lidar com autenticação contínua. Além disso, o uso de balanceadores de carga elimina a necessidade de controles de segurança adicionais e, às vezes, caros, para impor confiança zero.

Tornando o Zero Trust parte da pilha de rede

A jornada em direção a uma arquitetura abrangente de confiança zero, especialmente para organizações com extensa infraestrutura legada, não é trivial. Como a confiança zero deve ser tudo para todos os usuários e sistemas — onipresente, interoperável, confiável e rápida — faz sentido anexá-la a partes conhecidas da infraestrutura que já lidam com esses requisitos.

Um balanceador de carga com SAML inline e autoridade de certificação se enquadra nesse projeto. Para começar, esta abordagem minimiza as interrupções, aproveita a infraestrutura existente e fornece uma base sólida para melhorar a postura de segurança organizacional. Ao focar nesta camada, as organizações podem garantir uma transição estratégica, eficiente e eficaz para um modelo de confiança zero com trabalho mínimo e cobertura máxima, usando componentes confiáveis ​​que as equipes têm décadas de experiência em operação.

O objetivo é fazer com que a confiança zero fique em segundo plano e se torne apenas parte da pilha — e reduzir a carga operacional para todos, ao mesmo tempo que melhora a segurança mesmo nos mais diversos ambientes de aplicativos. Como uma peça de infraestrutura implantada universalmente, familiar tanto para desenvolvedores de aplicativos quanto para equipes de operações de rede e segurança, o balanceador de carga pode ser usado para atender a esses critérios com menos interrupções, trabalho e custos.

A postagem Confiança zero para aplicativos legados: camada de balanceador de carga pode ser uma solução apareceu pela primeira vez em The New Stack.