Il mio viaggio oltre il perimetro: Perché i firewall da soli non possono proteggere i vostri dati

La mia prima interazione con un firewall è stata con un TIS Gauntlet che ho compilato su una workstation Sun nel 1994. Da allora, ho lavorato con i firewall di Checkpoint (quando i file di configurazione erano file flat in chiaro e l’assistenza era fornita solo dalla loro sede centrale in Israele), Raptor, Pix (quando si avviavano da un floppy da 3 ¼”) e infine i firewall Cisco ASA, FortiGate e Palo Alto di oggi.

Con l’emergere di diversi casi d’uso, abbiamo iniziato a collegare al firewall altri dispositivi, come IDS, gateway di posta elettronica e filtri di ispezione degli URL. Con il tempo, il firewall ha iniziato ad assomigliare a un albero di Natale e la risoluzione dei problemi dei flussi di traffico ha richiesto competenze simili a quelle necessarie per districare le luci dell’albero.

Con il decollo dell’adozione del cloud, sono passato ai modelli cloud per la sicurezza: La configurazione centrale di Illumio per i firewall del sistema operativo e NSX di VMware, che prevedeva il firewalling nell’hypervisor. È sufficiente dire che: Ho fatto firewalling in quasi tutti i modi immaginabili. Dopo decenni di firewalling in decine di modi diversi, il brontolio di fondo persisteva. I firewall, pur essendo di fondamentale importanza, non riescono a risolvere problemi come insider threats, il phishing e il malware.

Negli ultimi mesi ho appreso alcune rivelazioni che hanno cambiato il paradigma e che hanno portato a un cambiamento di carriera.

I firewall non hanno un quadro completo della situazione

La sicurezza perimetrale ha un difetto fondamentale nel suo approccio: un firewall perimetrale tratta il traffico in modo binario. Un flusso di traffico o è consentito o non è consentito. Ma il mondo ha molte sfumature. La stessa risorsa a cui posso accedere da casa potrebbe non essere una risorsa a cui dovrei accedere da una caffetteria con Wi-Fi condiviso, ad esempio, anche se sto usando il mio login aziendale su un laptop aziendale. In altre parole: l’IP di origine, l’IP di destinazione e la porta costituiscono un insieme di dati incompleto e una decisione di accesso deve tenere conto del contesto, come il comportamento precedente dell’utente.

Un prodotto completo come ZeroTrust Network Access (ZTNA) prende decisioni basate su un’equazione di accesso che tiene conto del comportamento dell’utente e del livello di rischio del dispositivo. Con l’accesso condizionato continuo, Lookout si adatta e risponde ai cambiamenti delle circostanze durante la sessione.

Ma l’accesso da solo non è sufficiente. Questo mi porta al prossimo punto:

È tutta una questione di dati

La questione della sicurezza non dovrebbe essere limitata all’accesso del mio laptop a un’applicazione perché, in fin dei conti, non è l’applicazione a preoccupare. Le informazioni sanitarie protette (PHI) e le informazioni di identificazione personale (PII), che sono soggette a multe HIPAA e PCI se trapelano, sono dati, non applicazioni. Gli elenchi dei clienti, i brevetti, le ricette segrete e persino il codice sorgente del software sono tutti dati.

Le applicazioni servono a manipolare i dati

Tutti i server o gli indirizzi IP che proteggono le applicazioni non risolvono il problema fondamentale dei dati che vi risiedono. L’accesso a queste cose è necessario per svolgere il lavoro, ma sono solo alcuni dei dati a essere sensibili. In fin dei conti, le app aziendali sono un mezzo per manipolare i dati: raccolgono i dati, li massaggiano o li visualizzano.

Inoltre, c’è un falso senso di sicurezza che deriva dal proteggere solo le app. Solo perché l’app ha un accesso controllato, non significa che i dati stessi siano protetti. Questo pensiero binario si traduce in un accesso limitato a causa della presenza di alcuni dati sensibili, che limita l’attività, o in un accesso eccessivamente generoso, che introduce rischi. Inoltre, a meno che i contenuti dei dati dell’app non vengano rivisti a ogni rilascio, le ipotesi di accesso all’app sono un indicatore molto scarso della sicurezza dei dati.

I dati si presentano in tutte le forme

Infine, dobbiamo riconoscere che i dati esistono in tutte le forme, non solo nei database. Ci sono fogli di calcolo con numeri di fatturato e molte altre forme di dati che devono essere protetti perché… si tratta di dati! Pertanto, la prevenzione della perdita di dati (DLP) è essenziale per il vostro stack di sicurezza.

La protezione dei dati non deve per forza ostacolare la collaborazione

Nei primi anni pensavo che la protezione dei dati inibisse la collaborazione. Consideravo la protezione dei dati attraverso la mia lente perimetrale binaria di consentire/disconsentire. Pensavo che i dati fossero un blob amorfo a cui si consentiva o non consentiva l’accesso nel suo complesso. Quando finalmente ho visto che i contenuti potevano essere condivisi con le parti più sensibili eliminate, sono rimasto a bocca aperta.

Si tratta di un gioco completamente nuovo: i documenti con dati sensibili possono essere condivisi, a condizione che i dati sensibili vengano automaticamente redatti. Quando la preoccupazione per la sensibilità viene tolta all’utente e affidata allo strumento, la collaborazione diventa più facile e la sicurezza aumenta. L’effettivo numero di previdenza sociale o di carta di credito è importante per l’identificazione del record, ma non ha la stessa importanza dei dati associati a quell’identificatore.

Il mondo binario “allow/disallow” ha favorito il movimento dell’IT ombra, ma utilizzando i moderni strumenti per i diritti digitali, come l’EDRM (Enterprise Digital Rights Management), è possibile effettuare controlli intelligenti, come l’eliminazione degli utenti esterni da una condivisione quando vengono presentati dati sensibili o la crittografia proattiva che garantisce l’accesso ai dati solo agli utenti autorizzati.

La perdita di dati non è solo un problema di server

Una recente rivelazione è stata l’idea che la perdita di dati avviene spesso negli endpoint mobili. I dispositivi smarriti o rubati sono all’origine di oltre due terzi delle violazioni di informazioni sanitarie elettroniche protette (ePHI). Questo ha senso, dato che le applicazioni mobili spesso prelevano dati da altre applicazioni. Ma un aspetto a cui non ho pensato è l’idea che i dati possano trapelare lateralmente. Dal punto di vista del consumatore, sono solo i miei dati a essere scambiati dalle app, e presumibilmente ho acconsentito alla condivisione dei dati. Dal punto di vista aziendale, invece, questo significa che i dipendenti che scaricano un allegato a un’e-mail di lavoro o lo inviano a un collaboratore potrebbero essere un altro punto di fuga dei dati.

Le preoccupazioni relative alle prestazioni non si applicano nel mondo cloud-native

In qualità di esperto di firewall di lunga data, ho imparato a conoscere il compromesso tra ispezione di sicurezza e prestazioni che definiva le appliance. In quanto tale, vivevamo in un mondo di sicurezza sufficiente a causa delle limitazioni delle prestazioni. Con i servizi nati nel cloud, queste tradizionali preoccupazioni sulle prestazioni si sono dissolte. I prodotti di sicurezza cloud-native possono ora integrare le appliance per eseguire ispezioni di sicurezza a un livello che prima era impossibile.

Ora credo che i firewall, pur essendo necessari, non siano sufficienti. Dobbiamo evolvere il nostro modo di pensare la sicurezza da una visione perimetrale, incentrata sul controllo degli accessi, a una visione incentrata sui dati distribuiti. Non si tratta più di proteggere l’accesso al castello, ma di custodire i gioielli.

Fonte: Lookout – Maria Teigeiro