O que é o ZTNA?
O ZTNA (acesso à rede zero trust) é uma abordagem ao acesso na qual nenhum utilizador ou dispositivo merece confiança só por estar na rede. Cada pedido para alcançar um recurso é avaliado perante identidade verificada e políticas, e o acesso é concedido de forma restrita, a aplicações ou sistemas específicos, em vez de à rede como um todo. Aplica o princípio zero trust de «nunca confiar, verificar sempre» à questão de quem pode alcançar o quê.
O ZTNA (acesso à rede zero-trust) concede acesso a aplicações específicas com base em identidade verificada e políticas, nunca confiando num utilizador ou dispositivo só por estar na rede.
O que define o ZTNA
- 01
Orientado por identidade e políticas: as decisões de acesso baseiam-se em quem ou o quê está a pedir e em se a política o permite, não na localização de rede.
- 02
Privilégio mínimo: a um utilizador ou serviço é concedido acesso apenas aos recursos específicos de que precisa, não a um alcance amplo na rede.
- 03
Sem confiança implícita: ligar-se à rede não concede nada por si só; cada sessão é verificada.
- 04
Os recursos mantêm-se ocultos: as aplicações internas não são expostas à internet aberta e só são alcançadas através da camada de acesso, por pedidos autorizados.
ZTNA vs uma VPN tradicional
Uma VPN tradicional autentica um utilizador uma vez e depois coloca o seu dispositivo na rede, muitas vezes com alcance amplo: qualquer pessoa que se ligue pode sondar tudo o que o encaminhamento permitir. O ZTNA inverte isto: concede acesso a recursos individuais, por sessão, com base em verificação contínua, pelo que um dispositivo ligado só consegue alcançar o que a política permite explicitamente. Isto reduz drasticamente o raio de impacto de uma credencial roubada ou de um dispositivo comprometido, porque não há uma rede plana para vaguear depois de se estar «dentro».
Como o ZTNA é entregue
O ZTNA aparece em formas diferentes. Os grandes fornecedores de segurança oferecem-no como parte de amplas plataformas SASE entregues na nuvem, onde um serviço global intermedeia o acesso às aplicações. Outras implementações integram o acesso zero trust numa malha ou overlay de rede, autenticando cada nó e sessão e aplicando acesso de privilégio mínimo por função e segmento. O que têm em comum é o princípio: verificar a identidade, conceder acesso mínimo a recursos específicos, manter esses recursos fora da internet aberta e registar cada ligação.
Como isto se relaciona com o Vexaro Mesh (em desenvolvimento)
O Vexaro Mesh, atualmente em desenvolvimento, foi concebido para aplicar princípios zero trust ao acesso na sua malha, e não como uma plataforma SASE independente: cada nó e cada sessão autenticados e verificados por política, o acesso concedido por função e os sistemas internos isolados da internet pública e acessíveis apenas através do fabric, com cada ligação registada e exportável para o seu SIEM.
Ver as funcionalidades previstas