Implementando Acesso à Rede Zero Trust com Zscaler

Pré-requisitos

• Compreensão dos princípios de zero trust (NIST SP 800-207)
• Familiaridade com provedores de identidade (Okta, Azure AD, Ping Identity)
• Conhecimento de fundamentos de segurança de rede
• Acesso a um tenant do Zscaler Private Access (ZPA)

Visão Geral

O Acesso à Rede Zero Trust (ZTNA) substitui arquiteturas VPN tradicionais, aplicando acesso baseado em identidade e ciente do contexto a aplicações privadas sem colocar os usuários na rede corporativa. O Zscaler Private Access (ZPA) é uma solução ZTNA líder que intermedia conexões seguras entre usuários autenticados e aplicações internas através da plataforma de nuvem Zscaler Zero Trust Exchange.

Esta habilidade abrange a implantação ponta a ponta do ZPA, incluindo configuração de conectores, segmentação de aplicações, configuração de políticas e integração com provedores de identidade para verificação contínua.

Quando Usar

• Ao implantar ou configurar a implementação de capacidades de acesso à rede zero trust com Zscaler em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Familiaridade com conceitos e ferramentas de arquitetura zero trust
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Arquitetura

Componentes do Zscaler Private Access

1. Client Connector: Agente leve nos endpoints do usuário que estabelece túneis TLS de saída para o ZPA Service Edge mais próximo.
2. ZPA Service Edge: Broker hospedado na nuvem (ou Private Service Edge on-premises) que une as conexões usuário-aplicação após a avaliação da política.
3. App Connector: VM leve implantada no ambiente da aplicação que cria túneis de saída para o Service Edge.
4. ZPA Admin Portal: Console de gerenciamento centralizado para definir aplicações, segmentos e políticas de acesso.

Fluxo de Conexão

User Device (Client Connector)
    |
    v [Outbound TLS tunnel]
ZPA Service Edge (Policy Evaluation + IdP Auth)
    |
    v [Outbound TLS tunnel]
App Connector --> Internal Application

Princípio chave: Nenhuma conexão de entrada é necessária. Tanto o Client Connector quanto o App Connector iniciam conexões apenas de saída, eliminando a superfície de ataque das VPNs tradicionais.

Conceitos Chave

Segmentos de Aplicação

Defina aplicações específicas ou grupos de aplicações por endereço IP, FQDN, porta e protocolo. Os segmentos permitem microsegmentação granular em vez de acesso amplo à rede.

Políticas de Acesso

As políticas combinam identidade do usuário, associação a grupos, postura do dispositivo e sinais contextuais (localização, hora) para conceder ou negar acesso a segmentos de aplicação.

Grupos de Servidores

Agrupamentos lógicos de App Connectors que atendem a segmentos de aplicação específicos, permitindo alta disponibilidade e distribuição geográfica.

Acesso via Navegador

O ZPA suporta acesso sem cliente baseado em navegador para aplicações web, permitindo ZTNA para dispositivos não gerenciados e usuários terceirizados sem a necessidade do Client Connector.

Fluxo de Trabalho

Fase 1: Configuração Fundamental

1. Configurar Integração do Provedor de Identidade

   • Navegue até Administração > Configuração de IdP no ZPA Admin Portal.
   • Adicione integração SAML 2.0 ou OIDC com seu IdP (Azure AD, Okta, Ping).
   • Configure o provisionamento SCIM para sincronização automática de usuários/grupos.
   • Teste o fluxo de autenticação SSO.

2. Implantar App Connectors

   • Provisione VMs de App Connector em cada ambiente de aplicação (data center, VPC da AWS, VNet do Azure).
   • Baixe a chave de provisionamento do ZPA Admin Portal.
   • Instale e registre o App Connector usando a chave de provisionamento.
   • Verifique se o status do conector mostra "Saudável" no portal de administração.
   • Implante pelo menos dois conectores por ambiente para alta disponibilidade.

3. Criar Grupos de Servidores

   • Agrupe App Connectors por localização geográfica ou nível de aplicação.
   • Configure intervalos de verificação de integridade e comportamento de failover.

Fase 2: Segmentação de Aplicação

4. Definir Segmentos de Aplicação

   • Crie segmentos para cada aplicação ou grupo lógico.
   • Especifique domínios/IPs, portas e protocolos.
   • Associe segmentos aos grupos de servidores apropriados.
   • Habilite ou desabilite o acesso via navegador conforme necessário.

5. Criar Grupos de Segmentos

   • Organize segmentos de aplicação em grupos lógicos (por exemplo, aplicativos de RH, aplicativos Financeiros).

…