Implantação de Perímetro Definido por Software

Pré-requisitos

• Compreensão dos princípios de confiança zero (NIST SP 800-207)
• Conhecimento da especificação de Perímetro Definido por Software (SDP) da CSA
• Familiaridade com PKI e autenticação mútua TLS
• Experiência com arquitetura de segurança de rede

Visão Geral

Um Perímetro Definido por Software (SDP) implementa a confiança zero criando um perímetro dinamicamente provisionado e centrado na identidade em torno de recursos individuais. Definido pela Cloud Security Alliance (CSA), o SDP torna a infraestrutura de aplicativos invisível para usuários não autorizados através de uma abordagem de "nuvem escura" onde os serviços ficam ocultos até serem autenticados e autorizados. Diferente de VPNs tradicionais, o SDP estabelece conexões criptografadas um-a-um entre usuários verificados e aplicativos específicos.

Esta habilidade abrange a implantação de SDP usando a especificação CSA v2.0, a implementação de Autorização de Pacote Único (SPA), a configuração do controlador e gateway SDP, e a validação da implantação contra os requisitos do NIST SP 800-207.

Quando Usar

• Ao implantar ou configurar capacidades de implantação de perímetro definido por software em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou aprimorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Familiaridade com conceitos e ferramentas de arquitetura de confiança zero
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Arquitetura

Componentes do SDP (Especificação CSA)

┌─────────────────────┐
│ SDP Controller       │
│ - Authentication     │
│ - Authorization      │
│ - Policy management  │
│ - Key management     │
└──────────┬──────────┘
           │
    ┌──────┴──────┐
    │             │
    v             v
┌────────┐  ┌────────────┐
│ IH     │  │ AH         │
│(Client)│  │(Gateway)   │
│        │  │            │
│ SPA    │──│ Protected  │
│ mTLS   │  │ Resources  │
└────────┘  └────────────┘

IH = Initiating Host (User Device)
AH = Accepting Host (Application Gateway)
SPA = Single Packet Authorization

Modelos de Implantação de SDP

1. Cliente-para-Gateway: Dispositivo do usuário se conecta através do gateway SDP a aplicativos de backend
2. Cliente-para-Servidor: Conexão direta entre o usuário e o servidor de aplicativos
3. Servidor-para-Servidor: Comunicação de carga de trabalho para carga de trabalho através do SDP
4. Gateway-para-Gateway: Conectividade site-a-site substituindo túneis VPN tradicionais

Conceitos Chave

Autorização de Pacote Único (SPA)

SPA é um mecanismo de segurança de rede onde o gateway SDP descarta todos os pacotes TCP/UDP por padrão. Um único pacote criptograficamente assinado deve ser enviado antes que qualquer conexão seja estabelecida. O gateway valida o pacote SPA e, somente então, abre uma porta temporária para a sessão autenticada. Isso torna o gateway invisível para scanners de portas.

TLS Mútuo (mTLS)

Após a validação SPA, tanto o cliente quanto o servidor se autenticam mutuamente usando certificados X.509. Essa autenticação bidirecional impede ataques man-in-the-middle e garante que ambos os endpoints sejam verificados.

Provisionamento Dinâmico

As conexões SDP são provisionadas sob demanda com base na avaliação de políticas em tempo real. Não existem túneis de rede persistentes; cada sessão é individualmente autorizada e criptografada.

Fluxo de Trabalho

Fase 1: Implantação do Controlador SDP

1. Implantar Controlador SDP

   • Instalar o controlador SDP em infraestrutura redundante e protegida
   • Configurar integração PKI para emissão de certificados
   • Configurar backend de autenticação (LDAP, SAML, OIDC)
   • Configurar banco de dados de políticas com definições de aplicativos
   • Habilitar registro de auditoria para todas as decisões do controlador

2. Configurar Autenticação

   • Integrar com IdP corporativo via SAML 2.0 ou OIDC
   • Configurar registro de certificado de dispositivo (SCEP/EST)
   • Habilitar requisitos de autenticação multifator
   • Configurar verificação de revogação de certificado (OCSP/CRL)

3. Definir Políticas de Acesso

   • Mapear usuários/grupos para aplicativos autorizados
   • Definir requisitos de postura do dispositivo por aplicativo
   • Configurar condições contextuais (localização, hora, nível de risco)
   • Definir duração da sessão e intervalos de reautenticação

Fase 2: Implantação do Gateway SDP

4. Implantar Hosts de Aceitação (Gateways)
   • Instalar instâncias de gateway SDP na frente dos aplicativos protegidos
   • Configurar regras de firewall de "negação padrão" (negar todo o tráfego de entrada)

…