Zero Trust Architecture (ZTA) e DevSecOps
Gabarito: letra B. A alternativa correta descreve a implementação de uma arquitetura Zero Trust (ZTA) com práticas DevSecOps, incluindo segmentação de rede (ZTNA e CASB), MFA, automação no pipeline CI/CD com scanners de vulnerabilidade e monitoramento contínuo com SIEM. Esses elementos estão alinhados aos princípios fundamentais do Zero Trust, conforme o NIST SP 800-207, que preconiza a verificação contínua, o acesso mínimo e a suposição de violações.
O Zero Trust (Confiança Zero) é um modelo de segurança que parte do princípio de que nenhum usuário, dispositivo ou rede é confiável por padrão, independentemente de sua localização (interna ou externa). Em vez de confiar na localização da rede (perímetro), o Zero Trust foca na proteção de recursos (dados, ativos, serviços), exigindo autenticação e autorização contínuas para cada solicitação de acesso. O NIST SP 800-207 define três princípios centrais: verificar explicitamente (considerar todos os pontos de dados antes de autenticar), usar acesso menos privilegiado (limitar informações e tempo de acesso) e supor violações (segmentar redes para conter danos e exigir criptografia ponta a ponta).
Na prática, a implementação de uma ZTA envolve a adoção de tecnologias como ZTNA (Zero Trust Network Access), que substitui as VPNs tradicionais ao conceder acesso a aplicativos específicos, e CASB (Cloud Access Security Broker), que atua como intermediário entre usuários e serviços em nuvem, garantindo políticas de segurança. A segmentação de rede (microsegmentação) é crucial para restringir o movimento lateral de atacantes. Além disso, a autenticação multifator (MFA) é obrigatória para todos os acessos, e o monitoramento contínuo com ferramentas SIEM (Security Information and Event Management) permite detectar e responder a ameaças em tempo real. No contexto DevSecOps, a segurança é integrada ao pipeline de CI/CD, com scanners de vulnerabilidade automatizados para identificar falhas antes da implantação.
A banca explora a confusão entre o modelo Zero Trust e o modelo tradicional de segurança baseado em perímetro. Enquanto o Zero Trust elimina a confiança implícita e segmenta a rede, o modelo tradicional confia em tudo que está dentro do perímetro e usa firewalls de borda como principal defesa. A alternativa correta (B) reflete exatamente a abordagem moderna, enquanto as demais apresentam conceitos ultrapassados ou incompatíveis com a ZTA. Guarde essa distinção: Zero Trust = verificação contínua + microsegmentação + MFA + monitoramento, enquanto perímetro = confiança interna + firewall de borda.
Critério | Zero Trust (ZTA) | Modelo Tradicional (Perímetro) |
|---|
Princípio central | Nenhuma confiança implícita; verificação contínua | Confiança implícita dentro do perímetro |
Controle de acesso | Acesso a aplicativos específicos (ZTNA, CASB) | Acesso à rede como um todo (VPN) |
Segmentação | Microsegmentação para conter movimento lateral | Macroperímetros em torno de ativos |
Autenticação | MFA obrigatória para todos os acessos | 2FA ou mecanismos básicos |
Monitoramento | Contínuo com SIEM | Foco em firewall de borda |
Alternativa A — ❌ Incorreta
A alternativa afirma que serviços com modelos híbridos, multi-nuvem, dispositivos não gerenciados ou SaaS devem ser cancelados, pois estão fora do controle direto. Isso é incorreto porque o Zero Trust foi projetado justamente para lidar com esses cenários. O NIST SP 800-207 reconhece que o Zero Trust é uma resposta a tendências como usuários remotos, BYOD e ativos baseados em nuvem que não estão dentro do perímetro da rede. Em vez de cancelar esses serviços, a ZTA os integra com políticas de acesso baseadas em identidade e contexto, verificando continuamente cada solicitação.
Alternativa B — ✅ Correta ⟵ GABARITO
A alternativa descreve corretamente a implementação de uma ZTA com práticas DevSecOps. A segmentação de rede (ZTNA e CASB) restringe o movimento lateral, o MFA garante autenticação forte, a automação no pipeline CI/CD com scanners de vulnerabilidade integra segurança ao desenvolvimento, e o monitoramento contínuo com SIEM permite detecção e resposta a ameaças. Esses elementos estão alinhados aos princípios do Zero Trust (verificar explicitamente, usar acesso menos privilegiado e supor violações) e às práticas DevSecOps (segurança integrada ao ciclo de desenvolvimento).
Alternativa C — ❌ Incorreta
A alternativa propõe armazenar dados em servidores centralizados e usar VPNs para controlar acesso. Isso contraria o Zero Trust, que não confia na localização da rede e não usa VPNs como mecanismo principal de acesso. VPNs concedem acesso à rede como um todo, enquanto o ZTNA concede acesso a aplicativos específicos. Além disso, a centralização de dados em servidores cria um ponto único de falha e não aborda a segmentação necessária para conter ataques. O Zero Trust prefere microsegmentação e acesso baseado em identidade, não em localização.
Alternativa D — ❌ Incorreta
A alternativa descreve um modelo de segurança baseado em proteção de perímetro, que é o oposto do Zero Trust. O modelo de perímetro estabelece macroperímetros em torno de ativos e confia em tudo que está dentro deles. O Zero Trust elimina a confiança implícita e verifica cada acesso, independentemente da localização. Além disso, a alternativa menciona "autorização por voz do usuário", que não é um mecanismo padrão ou recomendado para autenticação em ZTA. O correto seria usar MFA e acesso baseado em contexto.
Alternativa E — ❌ Incorreta
A alternativa sugere priorizar firewalls de perímetro e reduzir o foco em autenticação e controle granular. Isso contradiz o Zero Trust, que não depende de firewalls de perímetro como principal defesa e exige autenticação forte e controle granular para cada acesso. Reduzir a autenticação enfraqueceria a segurança, pois o Zero Trust parte do princípio de que todo acesso é suspeito até que se prove o contrário. A alternativa também afirma que firewalls impedem invasores de comprometer credenciais, o que é falso — firewalls não protegem contra roubo de credenciais, que é uma das principais ameaças que o Zero Trust aborda.
Gabarito: letra B