Implementando Zero Trust na Nuvem

Quando Usar

• Ao migrar de segurança tradicional baseada em perímetro para controles de acesso centrados na identidade
• Ao eliminar dependências de VPN para acesso da força de trabalho remota a aplicações em nuvem
• Ao implementar verificação contínua para cada solicitação de acesso, independentemente da localização da rede
• Ao projetar estratégias de microrsegmentação para cargas de trabalho multi-cloud
• Quando requisitos regulatórios exigem a adoção de arquitetura zero trust (mandatos federais, diretrizes NIST)

Não use para substituição simples de VPN sem mudanças arquiteturais mais amplas, apenas para gerenciamento de regras de firewall de rede (veja implementando-segmentacao-de-rede-na-nuvem), ou para configuração inicial de provedor de identidade (veja gerenciando-identidade-na-nuvem-com-okta).

Pré-requisitos

• Provedor de identidade capaz de integração OIDC/SAML (Okta, Azure AD, Google Workspace)
• Solução de gerenciamento de dispositivos para avaliação de confiança de endpoints (Intune, Jamf, Google Endpoint Verification)
• Cargas de trabalho em nuvem acessíveis via HTTPS com infraestrutura de balanceador de carga ou proxy reverso
• Plataforma SIEM para monitoramento contínuo de decisões de acesso e detecção de anomalias

Fluxo de Trabalho

Etapa 1: Definir Princípios e Arquitetura Zero Trust

Estabeleça os princípios centrais seguindo o NIST SP 800-207: nunca confie, sempre verifique. Cada solicitação de acesso deve ser autenticada, autorizada e criptografada, independentemente da origem.

Zero Trust Architecture Components:
+-------------------------------------------------------------------+
|                        Policy Decision Point                       |
|  +-------------------+  +------------------+  +-----------------+ |
|  | Identity Provider |  | Device Trust     |  | Risk Engine     | |
|  | (Okta/Azure AD)   |  | (Intune/Jamf)    |  | (Continuous)    | |
|  +-------------------+  +------------------+  +-----------------+ |
+-------------------------------------------------------------------+
                              |
                    +--------------------+
                    | Policy Enforcement |
                    | Point (IAP/Proxy)  |
                    +--------------------+
                              |
          +-------------------+-------------------+
          |                   |                   |
    +----------+        +----------+        +----------+
    | App A    |        | App B    |        | App C    |
    | (AWS)    |        | (Azure)  |        | (GCP)    |
    +----------+        +----------+        +----------+

Etapa 2: Implantar Proxy Ciente de Identidade

Configure o Proxy Ciente de Identidade (IAP) para impor decisões de acesso baseadas em identidade e contexto antes que as solicitações cheguem às aplicações. Elimine o acesso direto à rede aos backends das aplicações.

# GCP: Enable Identity-Aware Proxy for a backend service
gcloud services enable iap.googleapis.com

# Configure IAP for an App Engine application
gcloud iap web enable --resource-type=app-engine

# Set IAP access policy requiring specific user group
gcloud iap web add-iam-policy-binding \
  --resource-type=app-engine \
  --member="group:engineering@company.com" \
  --role="roles/iap.httpsResourceAccessor"

# Create Access Level requiring corporate device and MFA
gcloud access-context-manager levels create corporate-device \
  --title="Corporate Device with MFA" \
  --basic-level-spec='{
    "conditions": [
      {
        "devicePolicy": {
          "requireScreenlock": true,
          "allowedEncryptionStatuses": ["ENCRYPTED"],
          "osConstraints": [
            {"osType": "DESKTOP_CHROME_OS", "minimumVersion": "100.0"},
            {"osType": "DESKTOP_MAC", "minimumVersion": "12.0"},
            {"osType": "DESKTOP_WINDOWS", "minimumVersion": "10.0.19041"}
          ]
        },
        "requiredAccessLevels": ["accessPolicies/POLICY_ID/accessLevels/require-mfa"]
      }
    ]
  }'

# AWS: Configurar AWS Verified Access para acesso a aplicações zero trust
aws ec2 create-verified-access-instance \
  --description "Instância de Acesso Zero Trust"

aws ec2 create-verified-access-trust-provider \
  --trust-provider-type user \
  --user-trust-provider-type oidc \
  --oidc-options '{
    "Issuer": "https://company.okta.com/oauth2/default",
    "AuthorizationEndpoint": "https://company.okta.com/oauth2/default/v1/authorize",
    "TokenEndpoint": "https://company.okta.com/oauth2/default/v1/token",
    "UserInfoEndpoint": "https://company.okta.com/oauth2/default/v1/userinfo",
    "ClientId": "verified-access-client-id",

…