Segurança de data center e nuvem: mapeamento de aplicativos

Apresentando uma série de blogs do CTO da Illumio, PJ Kirner, que abordará os principais conceitos para ajudar você a pensar sobre a segurança do data center e da nuvem de uma nova maneira e realinhar sua abordagem com a evolução dos requisitos em todos os ambientes de aplicativos. Leia o primeiro post desta série, “Por que precisamos de uma revolução na segurança do data center e da nuvem.”

Não consigo me imaginar trabalhando sem um GPS. Sim, eu praticamente dirijo a mesma rota todos os dias e provavelmente poderia fazer isso com os olhos vendados, mas o GPS me ajuda a chegar lá mais rápido ao recomendar a rota certa, pois tem dados atualizados em tempo real sobre o trânsito e pode me orientar em acidentes e engarrafamentos. Ele conhece os dois lados da minha rota, de onde venho e para onde estou indo e, misturando dados históricos, pode prever a melhor hora para eu sair e sempre chegar na hora certa.

Ao tentar segmentar suas aplicações, você precisa de mais do que uma visibilidade comum, mais do que apenas gráficos de barras e linhas de ignição. Você precisa de algo que garanta que você tenha os insights, o contexto e a perspectiva corretos para otimizar sua abordagem para proteger seu ambiente. Assim como o GPS, você precisa de um mapa que reúna tudo: a visualização em tempo real, os dados históricos, o contexto do aplicativo. Você precisa de tudo isso para entender seus aplicativos e tudo o que envolve esses aplicativos, como conexões, fluxos de tráfego, políticas de acesso, dependências e entradas/saídas.

Com esse entendimento, você pode localizar e compreender o risco, modelar políticas, criar estratégias de mitigação, configurar controles de compensação e verificar se essas políticas, estratégias e controles estão funcionando como você pretende para mitigar o risco.

Neste post, exploro as principais características e requisitos das ferramentas que fornecem o mapeamento de aplicativos de que você precisa para ter sucesso na proteção dos ambientes de aplicativos distribuídos e conectados, cada vez mais complexos e em constante mudança.

A visibilidade por si só não bastará

Participe de qualquer conferência de tecnologia e posso garantir que visibilidade será a primeira palavra que você marcará no seu cartão de bingo. Ele aparece em quase todos os estandes. Mas só porque uma solução tem visibilidade não significa que você está vendo o que precisa para atingir suas metas. Especialmente quando se trata de segurança.

A visualização de dados pode ter várias formas, como gráficos de barras, gráficos de linhas, linhas de faísca, gráficos de acordes, partições Sunburst e até listas. Embora essas saídas possam ser adequadas para alguns casos de uso, elas não oferecem a perspectiva de ajudar você a entender e segmentar seu ambiente com o objetivo de melhorar a segurança.

A visibilidade da segmentação precisa ser construída com esse objetivo em mente. Ele precisa:

• Forneça uma perspectiva do ambiente para ajudá-lo a entender o contexto dos componentes de seus aplicativos e as relações entre eles.
• Forneça uma visão do estado atual e do passado para que você possa planejar e mitigar riscos futuros.
• Seja um mapa em tempo real do seu ambiente de aplicativos, com insights e dados que lhe darão uma visão geral.

A visibilidade que fornece a perspectiva errada, como apenas uma visão da rede, é insuficiente e ineficaz para planejar, definir e aplicar políticas de segurança para seus aplicativos. Seria como tentar dirigir de São Francisco a Nova York com apenas um mapa em relevo impresso...

Saiba o que está acontecendo

Houve um tempo em que você podia tirar um instantâneo do data center e saber com alta confiança que esse instantâneo seria válido por semanas, se não meses ou até anos. As coisas não mudaram muito. As equipes usavam ferramentas como o Visio para mapear ambientes, e algumas chegavam a imprimir grandes versões em tamanho de pôster de seu data center para pendurar na parede e apontar durante as discussões de planejamento. Imagine algo assim:

Esses dias já se foram graças à virtualização, à nuvem e aos contêineres, que facilitaram a criação, a desmontagem e a movimentação de cargas de trabalho, criando ambientes altamente dinâmicos. Mais rápido do que você pode clicar no ícone do Visio e abrir esse .vsd, sua visão do data center pode já estar desatualizada e obsoleta, pelo menos em parte. Esse ritmo acelerado de mudanças dificulta que as equipes de segurança entendam o cenário atual, avaliem adequadamente os riscos, planejem políticas e apliquem controles.

Para ficar em sincronia com esses ambientes altamente dinâmicos, você precisa de um mapa em tempo real, constantemente observado e ajustado para acompanhar as mudanças.

Isso se torna importante para entender o estado atual do meio ambiente e entender a evolução dos riscos — ambos insumos essenciais para esforços efetivos de mitigação.

Saiba o que aconteceu no passado

O tempo real não é suficiente. Você também precisa ser capaz de olhar para trás no tempo e ver o que aconteceu. A famosa citação de George Santayana, “Aqueles que não conseguem se lembrar do passado estão condenados a repeti-lo”, certamente deve ser considerada pelas equipes de segurança. Analisar dados históricos, considerando essencialmente experiências passadas, se torna a próxima entrada importante no planejamento de segurança para garantir que você não esteja considerando apenas o que está acontecendo agora, mas também o que aconteceu no passado — ambos preditores do que pode acontecer no futuro.

Como sua segurança melhorará com dados históricos?

Considere cargas de trabalho dinâmicas, como VMs, servidores em nuvem e contêineres, que podem desaparecer tão rapidamente quanto surgirem. Como você sabe o que eles fizeram? Qual tráfego foi enviado? Como eles impactaram o meio ambiente? Que risco foi introduzido enquanto eles existiam? Os dados históricos são outra dimensão fundamental para ajudar você a entender como o risco pode se manifestar em seu ambiente no futuro.

Ver como as dependências dos aplicativos mudaram ao longo do tempo pode ser outra perspectiva importante. Quando meu aplicativo essencial se tornou tão altamente conectado? O que exatamente está se conectando a ele? Todas essas conexões são realmente necessárias? Quão preocupado eu deveria estar? Os dados históricos permitem que você analise o que causou os riscos atuais e faça perguntas sobre como eles surgiram.

E se duas cargas de trabalho atualmente correm o mesmo risco, mas, ao analisar a visão histórica, uma delas estiver aumentando com o tempo e a outra diminuindo no mesmo período? Quais fatores causaram a divergência? Com dados históricos, você não só vê que os riscos mudaram, mas também como eles mudaram ao longo do tempo.

Não se esqueça — é sobre os aplicativos

O componente final nos lembra por que estamos aqui. Estamos aqui para proteger os aplicativos, então devemos analisar as coisas no contexto dos aplicativos, não da rede. As equipes de aplicativos não querem examinar e tentar entender a rede (endereços IP, portas, VLANs). Eles entendem os aplicativos, como funcionam, como devem funcionar e, em última análise, provavelmente têm uma boa perspectiva sobre como devem ser protegidos.

Ver o ambiente no contexto dos aplicativos é essencial.

Uma visão centrada no aplicativo ajuda você a ver esses aplicativos e seus componentes no contexto das funções que desempenham em um ambiente maior. Essa é a única maneira de realmente entender o risco e criar uma política para mitigá-lo.

Um mapa de dependência de aplicativos reúne tudo

Com um mapa de dependências de aplicativos, agora você pode ver as coisas no contexto de seus aplicativos e suas dependências e relacionamentos, enquanto abstrai a complexidade e os detalhes do ambiente. Você não precisa mais pensar na rede (endereços IP e portas), na plataforma (bare-metal, VM, contêiner) ou na infraestrutura (data center privado ou nuvem). Você pode se concentrar nos aplicativos, em como eles funcionam, em como dependem uns dos outros, em como devem funcionar juntos como processos de negócios e na melhor forma de protegê-los.

Ver um mapa de dependências de aplicativos oferece uma visão de como as coisas estão conectadas; agora você tem contexto para o que está se conectando e pode fazer perguntas. Por que esse servidor web está se conectando diretamente a esse banco de dados?

Você também pode ver como o risco em um aplicativo pode afetar outros aplicativos, como pontos únicos de falha que podem causar indiretamente interrupções em cascata em outros aplicativos essenciais. Com essa visão, você pode realmente entender o risco em todo o ambiente e pensar em criar a política certa para impor como as coisas devem funcionar.