Implementando Verificação de Identidade para Zero Trust

Pré-requisitos

• Compreensão dos princípios de zero trust (NIST SP 800-207)
• Familiaridade com provedores de identidade (Azure AD, Okta, Ping Identity)
• Conhecimento de protocolos de autenticação (SAML 2.0, OIDC, FIDO2)
• Compreensão de MFA e autenticação sem senha

Visão Geral

A identidade é o pilar fundamental da arquitetura de zero trust. O NIST SP 800-207 determina que toda autenticação e autorização de recursos sejam dinâmicas e rigorosamente aplicadas antes que o acesso seja permitido. A verificação de identidade em zero trust vai além do tradicional nome de usuário/senha, implementando autenticação contínua e adaptável a riscos, utilizando múltiplos sinais, incluindo postura do dispositivo, biometria comportamental, localização e contexto de rede.

Esta habilidade abrange a implementação de MFA resistente a phishing, verificação contínua de identidade, acesso condicional baseado em risco e governança de identidade alinhada ao Pilar de Identidade do Modelo de Maturidade de Zero Trust da CISA.

Quando Usar

• Ao implantar ou configurar a implementação de verificação de identidade para capacidades de zero trust em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Familiaridade com conceitos e ferramentas de arquitetura de zero trust
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Arquitetura

Fluxo de Verificação de Identidade

User Access Request
    │
    v
┌───────────────────────┐
│ Primary Authentication │
│ - FIDO2/WebAuthn key  │
│ - Certificate-based    │
│ - Passwordless         │
└──────────┬────────────┘
           v
┌───────────────────────┐
│ Contextual Assessment  │
│ - Device posture       │
│ - Network location     │
│ - Geo-velocity check   │
│ - Time of access       │
│ - Behavioral baseline  │
└──────────┬────────────┘
           v
┌───────────────────────┐
│ Risk Scoring Engine    │
│ - Aggregate signals    │
│ - Calculate risk score │
│ - Compare to threshold │
└───┬──────────┬────────┘
    │          │
 Low Risk   High Risk
    │          │
    v          v
┌────────┐  ┌──────────────┐
│ Grant  │  │ Step-up Auth  │
│ Access │  │ - Hardware key│
│        │  │ - Biometric   │
│        │  │ - Manager OK  │
└────────┘  └──────────────┘

Arquitetura do Provedor de Identidade

1. IdP Principal: Azure AD / Okta / Ping Identity para gerenciamento centralizado de identidade
2. Autenticadores FIDO2: Chaves de segurança de hardware (YubiKey) ou autenticadores de plataforma (Windows Hello, Touch ID)
3. Motor de Risco: Acesso adaptativo usando detecção de ameaças de identidade (Microsoft Entra ID Protection, Okta ThreatInsight)
4. Governança de Identidade: Gerenciamento de ciclo de vida, revisões de acesso, provisionamento just-in-time
5. Identidade Privilegiada: Verificação separada para acesso elevado (CyberArk, BeyondTrust)

Conceitos Chave

MFA Resistente a Phishing

FIDO2/WebAuthn elimina credenciais suscetíveis a phishing ao vincular a autenticação ao domínio de origem. Chaves de segurança de hardware e autenticadores de plataforma fornecem prova criptográfica de identidade sem transmitir segredos.

Verificação Contínua de Identidade

Em vez de autenticar uma vez no início da sessão, o zero trust exige verificação contínua por meio de avaliação de token de sessão, análise comportamental e desafios de reautenticação periódicos baseados em sinais de risco.

Acesso Condicional Baseado em Risco

Políticas de acesso condicional avaliam múltiplos sinais (nível de risco do usuário, risco de login, conformidade do dispositivo, localização) para ajustar dinamicamente os requisitos de autenticação e as concessões de acesso.

Detecção de Ameaças de Identidade

Análises impulsionadas por IA detectam identidades comprometidas por meio de detecção de viagens impossíveis, padrões de login anômalos, detecção de ataques de stuffing de credenciais e ataques de repetição de token.

Fluxo de Trabalho

Fase 1: Infraestrutura de Identidade

1. Consolidar Provedores de Identidade

   • Auditar todas as fontes de identidade na organização
   • Federar para um IdP autoritativo único usando SAML 2.0 ou OIDC
   • Configurar SCIM para provisionamento e desprovisionamento automatizados
   • Eliminar contas locais e credenciais compartilhadas

2. Implantar MFA Resistente a Phishing

   • Registrar todos os usuários em FIDO2/WebAuthn com chaves de segurança de hardware
   • Configurar autenticadores de plataforma (Windows Hello for Business, macOS Touch ID)

…