Implementando Avaliação de Postura de Dispositivo em Zero Trust

Quando Usar

• Ao impor a integridade do dispositivo como pré-requisito para acessar aplicativos corporativos
• Ao integrar pontuações ZTA do CrowdStrike, conformidade do Intune ou status do dispositivo Jamf em decisões de acesso
• Ao implementar os requisitos do pilar de dispositivo do Modelo de Maturidade Zero Trust da CISA
• Ao construir políticas de acesso condicional que se adaptam com base na postura de segurança do endpoint em tempo real
• Ao detectar e bloquear o acesso de dispositivos comprometidos, não gerenciados ou não conformes

Não use para dispositivos IoT ou "headless" que não podem executar agentes de postura, como um controle de segurança autônomo sem verificação de identidade, ou quando dados de postura em tempo real não estiverem disponíveis e dados de conformidade desatualizados criarem confiança falsa.

Pré-requisitos

• Endpoint Detection and Response (EDR): CrowdStrike Falcon com módulo ZTA, ou Microsoft Defender for Endpoint
• Mobile Device Management (MDM): Microsoft Intune, Jamf Pro, ou VMware Workspace ONE
• Provedor de Identidade: Microsoft Entra ID, Okta, ou Ping Identity com capacidade de acesso condicional
• Plataforma ZTNA: Zscaler ZPA, Cloudflare Access, Palo Alto Prisma Access, ou IAP nativo da nuvem
• Acesso à API para plataformas EDR/MDM para ingestão de sinais de postura

Fluxo de Trabalho

Etapa 1: Definir Linhas de Base de Conformidade de Dispositivo

Estabeleça requisitos mínimos de segurança para cada categoria de dispositivo.

# Microsoft Intune: Create device compliance policy via Graph API
Connect-MgGraph -Scopes "DeviceManagementConfiguration.ReadWrite.All"

# Windows 10/11 Compliance Policy
$compliancePolicy = @{
    "@odata.type" = "#microsoft.graph.windows10CompliancePolicy"
    displayName = "Zero Trust - Windows Compliance"
    description = "Minimum device requirements for zero trust access"
    osMinimumVersion = "10.0.19045"
    bitLockerEnabled = $true
    secureBootEnabled = $true
    codeIntegrityEnabled = $true
    tpmRequired = $true
    antivirusRequired = $true
    antiSpywareRequired = $true
    defenderEnabled = $true
    firewallEnabled = $true
    passwordRequired = $true
    passwordMinimumLength = 12
    passwordRequiredType = "alphanumeric"
    storageRequireEncryption = $true
    scheduledActionsForRule = @(
        @{
            ruleName = "PasswordRequired"
            scheduledActionConfigurations = @(
                @{
                    actionType = "block"
                    gracePeriodHours = 24
                    notificationTemplateId = ""
                    notificationMessageCCList = @()
                }
            )
        }
    )
}

New-MgDeviceManagementDeviceCompliancePolicy -BodyParameter $compliancePolicy

# macOS Compliance Policy via Jamf Pro API
curl -X POST "https://jamf.company.com/api/v1/compliance-policies" \
  -H "Authorization: Bearer ${JAMF_TOKEN}" \
  -H "Content-Type: application/json" \
  --data '{
    "name": "Zero Trust - macOS Compliance",
    "rules": [
      {"type": "os_version", "operator": ">=", "value": "14.0"},
      {"type": "filevault_enabled", "value": true},
      {"type": "firewall_enabled", "value": true},
      {"type": "gatekeeper_enabled", "value": true},
      {"type": "sip_enabled", "value": true},
      {"type": "auto_update_enabled", "value": true},
      {"type": "screen_lock_timeout", "operator": "<=", "value": 300},
      {"type": "falcon_sensor_running", "value": true}
    ]
  }'

Etapa 2: Configurar o CrowdStrike Zero Trust Assessment

Habilite a pontuação ZTA e configure os limites de pontuação para os níveis de acesso.

# API do CrowdStrike Falcon: Consultar pontuações ZTA para todos os endpoints
curl -X GET "https://api.crowdstrike.com/zero-trust-assessment/entities/assessments/v1?ids=${DEVICE_AID}" \
  -H "Authorization: Bearer ${CS_TOKEN}" \
  -H "Content-Type: application/json"

# A resposta inclui:
# {
#   "aid": "id-do-agente-do-dispositivo",
#   "assessment": {
#     "overall": 82,
#     "os": 90,
#     "sensor_config": 85,
#     "version": "7.14.16703"
#   },
#   "assessment_items": {
#     "os_signals": [
#       {"signal_id": "firmware_protection", "meets_criteria": "yes"},
#       {"signal_id": "disk_encryption", "meets_criteria": "yes"},
#       {"signal_id": "kernel_protection", "meets_criteria": "yes"}
#     ],
#     "sensor_signals": [
#       {"signal_id": "sensor_version", "meets_criteria": "yes"},
#       {"signal_id": "prevention_policies", "meets_criteria": "yes"}
#     ]
#   }
# }

# Definir limites de pontuação ZTA para níveis de acesso
# Nível 1 (Acesso Básico):      ZTA >= 50

…