Implementação da Arquitetura Zero Trust: uma Revisão Sistemática de Literatura

Abstract

A metodologia PRISMA foi utilizada considerando duas bases de dados: ACM Digital Library e IEEE Xplore no intervalo entre 2016 e 2022. [...]this paper presents a Systematie Literature Review, foeusing on the implementation of Zero Trust Arehiteeture (ZTA), eonsidering seven dimensions obtained from the analysis of the Google, Mierosoft, and NIST models. Qualitatively, a greater concern was observed in the theme related to access control and identities and an absence of studies focused on infrastructure security. Keywords: Cybersecurity, Zero Trust, Systematic Literature Review, PRISMA. 1.Introdução Algumas mudanças ocorreram na computação empresarial nas últimas duas décadas, principalmente com o surgimento de novas abordagens, como por exemplo a computação em nuvem, a computação de ponta e a Internet das Coisas (IoT, na sigla em ingles) (Vanickis et al., 2018). Este novo conceito vem ganhando importáncia tanto que o DoD dos EUA em 2021 publicou uma arquitetura de referencia ZT, onde definiu que o ZT deve ser utilizado na priorização e integração de recursos existentes no DoD de maneira a manter a disponibilidade e reduzindo atrasos temporais nos mecanismos de autenticação (Defense Information Systems Agency & National Security Agency, 2021).

Headnote

Resumo: O Zero Trust (ZT) aparece como uma evolução no conceito de segurança de rede, através da ideia de verificar toda tentativa de acesso à rede, seja pela internet ou intranet. O presente artigo apresenta uma Revisão Sistemática de Literatura, com enfoque voltado à implementação da Zero Trust Architecture (ZTA) considerando sete dimensões obtidas da análise dos modelos da Google, Microsofte NIST. A metodologia PRISMA foi utilizada considerando duas bases de dados: ACM Digital Library e IEEE Xplore no intervalo entre 2016 e 2022. Quantitativamente, observou-se um aumento no número de artigos no decorrer dos anos, contudo não foi encontrado trabalho com foco na gestão da implementação. Qualitativamente, observou-se uma preocupação maior no tema relacionado ao controle de acesso e identidades e uma ausência de estudos focados na segurança das infraestruturas. Destaca-se, também a falta de trabalhos que apresentem uma priorização na sequência de implementação das dimensões.

Palavras-chave: Segurança Cibernétiea, Zero Trust, Revisão Sistematiea de Literatura, PRISMA.

Abstract: Zero Trust (ZT) appears as an evolution in the concept of network security, through the idea of verifying any attempt at network access, whether internet or intranet. Thus, this paper presents a Systematie Literature Review, foeusing on the implementation of Zero Trust Arehiteeture (ZTA), eonsidering seven dimensions obtained from the analysis of the Google, Mierosoft, and NIST models. The PRISMA methodology was used eonsidering two databases: ACM Digital Library and IEEE Xplore and the interval between 2016 and 2022. Quantitatively, an inerease in the number of artieles over the years was observed, however, no work focusing on implementation management was found. Qualitatively, a greater concern was observed in the theme related to access control and identities and an absence of studies focused on infrastructure security. Also noteworthy is the lack of studies that present a prioritization in the sequence of implementation of the dimensions.

Keywords: Cybersecurity, Zero Trust, Systematic Literature Review, PRISMA.

1.Introdução

Algumas mudanças ocorreram na computação empresarial nas últimas duas décadas, principalmente com o surgimento de novas abordagens, como por exemplo a computação em nuvem, a computação de ponta e a Internet das Coisas (IoT, na sigla em ingles) (Vanickis et al., 2018). Além disso, com a proliferação da tecnología das redes e IoT, observou-se alterações no ámbito dos sistemas de tecnologías da informação (Teerakanok et al., 2021). Com isso, o gerenciamento da segurança das redes tem se tornado um grande desafio, uma vez que os dados são considerados ativos importantes nas instituições (Ahmed et al., 2020). A tradicional segurança de bordas divide a rede entre interna e externa (Chuan et al., 2020; Teerakanok et al., 2021), porém não apresentam capacidade para detectar que dados sejam capturados ou que ataques sejam realizados a partir do interior do próprio perímetro de segurança. Dēsta maneira, surge um dilema: manter a tradicional segurança de bordas ou mudar para um novo conceito.

Em 2004 a Agencia de Sistemas de Informação de Defesa (DIŞA) e o Departamento de Defesa (DoD) dos EUA, apresentaram um trabalho no Fórum de Jericó, focado na mudança do modelo de segurança de perímetro para um baseado na segurança nas transações (Rose et al., 2020). Em 2010, John Kindervag, enquanto trabalhava como engenheiro da Forrester, aprimorou a ideia de desperimetrização cunhando o que se tornou o Zero Trust (ZT) (Rose et al., 2020). O ZT fornece uma coleção de conceitos e ideias projetadas para minimizar a incerteza na aplicação de decisões de acesso precisas e com menos privilégios por solicitação em sistemas e serviços de informação em face de uma rede vista como comprometida (Rose et al., 2020).

Este novo conceito vem ganhando importáncia tanto que o DoD dos EUA em 2021 publicou uma arquitetura de referencia ZT, onde definiu que o ZT deve ser utilizado na priorização e integração de recursos existentes no DoD de maneira a manter a disponibilidade e reduzindo atrasos temporais nos mecanismos de autenticação (Defense Information Systems Agency & National Security Agency, 2021). Também, o Executive Office of The President (2022), do governo dos EUA, emitiu um documento determinando que os entes federativos tem até o término do ano fiscal de 2024, para implementar os conceitos e premissas contidas no ZT.

Assim, considerando o fato de ser um conceito relativamente novo e sua releváncia observada pelo governo dos EUA, o presente artigo apresenta uma Revisão Sistemática de Literatura (RSL) focada na implementação da Zero Trust Architecture (ZTA). Para tal, o trabalho está estruturado da seguinte maneira: na seção 2 será abordado um referenciái teórico; na seção 3 será apresentada a metodologia utilizada na realização da revisão sistemática de literatura; na seção 4 serão relatados os resultados obtidos com a revisão da literatura; finalizando com a seção 5, onde são apresentadas as conclusões obtidas com o estudo e propostas de futuros trabalhos.

2.Referenciái Teórico

Como uma maneira de nivelar eonheeimentos, nesta seção serão apresentados eoneeitos importantes. Inicialmente, abordar-se-á o conceito ZT, sua arquitetura, as implementações realizadas pelo Google e Microsoft bem como o padrao estabelecido pelo National Institute of Standards Technology (NIST).

2.1. Zero Trust

A premissa do ZT é baseada no fato de que nenhum participante da rede é confiável não importando sua localização (Ahmed et al., 2020; Buck et al., 2021; Teerakanok et al., 2021). Com isso, o ZT garante que os acessos sejam verificados em todas as camadas, redes e aplicações dentro de uma corporação, uma vez que a localização deixou de ser considerada o componente principal para verificação da confiança (Campbell, 2020; Kerman et al., 2020).

Dessa forma, o ZT pode ser considerado um paradigma de segurança cibernética focado na proteção de recursos no qual uma organização ou empresa deve assumir que nao há uma confiança implícita devendo verificar continuamente cada tentativa de acesso (Ahmed et al., 2020; Rose et al., 2020; Teerakanok et al., 2021).

A ZTA é um plano de segurança cibernética de uma organização que utiliza os conceitos do ZT e abrange relacionamento de componentes, planejamento de fluxo de trabalho e políticas de acesso. Portanto, uma empresa com ZT considera a infraestrutura de rede e as políticas operacionais que estão em vigor como produto de um plano de ZTA (Rose et al., 2020). A ZTA aborda essa tendencia concentrando-se na proteção dos recursos, nao de perímetros de rede, visto que a localização da rede nao é mais considerada o principal componente da postura de segurança necessária (Kerman et al., 2020).

2.1.1. Google BeyondCorp

A implementação do Google para a ZTA partiu de uma nova abordagem para segurança de rede, removendo as necessidades de intranet com privilégios e transferindo suas aplicações para a internet. Para tal, consiste em componentes cooperativos de maneira a garantir que apenas dispositivos e usuários devidamente autenticados sejam autorizados a acessar os aplicativos corporativos necessários (Ward & Beyer, 2014). Como resultado, o objetivo principal do Google foi diminuir a confiança implícita que seus usuários e dispositivos haviam formado por sua presença física ou eletrónica na rede corporativa (Hosney et al., 2022). A Tabela 1 apresenta as cinco dimensões observadas na implementação do Google.

2.1.2.A ZTA proposta pela Microsoft

Baseado no principio de sempre verificar as tentativas de acesso, a arquitetura foi refinada no intuito de enfatizar a importância critica de integração entre automação e a aplicação de políticas, inteligencia e proteção contra ameaças através de pilares de segurança. Esses elementos integrados atuam na telemetria em todos os pilares para informar decisões com sinais em tempo real (Microsoft, 2021a). A ZTA proposta na Microsoft é suportada por seis dimensões (Microsoft, 2021b) descritas na Tabela 2:

2.1.3.A ZTA proposta pelo NIST

Segunda Kerman et al. (2020) o NIST foi o primeiro instituto de padronização mundial a escrever os padrões necessárias e uma ZTA.

0 Existem tres componentes chaves para a ZTA do NIST: (i) o Policy Engine (PE) que gera a decisão na autorização, negação ou revogação de um determinado acesso; (ii) o Policy Administrator (PA) cuja função principal é estabelecer ou finalizar uma transação entre um sujeito e um recurso; e (iii) o Policy Enforcement Point (PEP) onde são habilitados, monitorados e, eventualmente, encerradas conexões entre sujeitos e recursos corporativos. Algumas implementações podem considerar o PE e PA como um único serviço, realizando nestes casos, as tarefas do PE e PA (Rose et al., 2020).

2.2. implementação da Arquitetura Zero Trust

Para a implementação da ZTA, precisa-se compreender que a confiança deve ser considerada um atributo bidirecional, estabelecido entre duas entidades, de que a outra entidade é o que afirma ser e que se comportará de maneira esperada durante a duração de interação (Ahmed et al., 2020). Além disso, a confiança pode aumentar as vulnerabilidades a um sistema, principalmente quando esta confiança é gerada de maneira automática.

Baseado nesta confiança e analisando os principios de Saltzer & Schroeder (1975) observa-se dois que devem ser destacados: Defaults seguros contra falhas, pois ao desenvolver controles de segurança, é importante definir e permitir operações que possam ser positivamente identificadas como estando de acordo com uma política de segurança e rejeitar as demais; e Mediação completa, onde cada acesso aos recursos deve ser verificado e confrontado com as políticas e esquemas de proteção.

Por ser um conceito de segurança mais avançado, sua implementação pode acontecer de diversas maneiras e de acordo com cenários específicos (Buck et al., 2021; Chuan et al., 2020). Conforme observou-se tanto o Google quanto a Microsoft realizaram a implementação do ZT em suas corporações utilizando maneiras diferentes. Aliado a isso, o padrao apresentado pelo NIST apresenta uma outra visão em sua utilização.

A proposta da Google, ilustrada na Figura 1, considera o processo de rastreamento de dispositivos dentro de um banco de dados de dispositivos um ponto basilar em sua segurança. Além disso, o banco de dados de funcionários, gerenciado pelo departamento de recursos humanos, e um serviço de validação de usuários e grupos, permite um sistema de login único. Esses dois serviços atuam de maneira conjunta para autenticar atribuir, dinamicamente, o acesso a VLAN específica. Outro ponto importante da política de acesso proposta está relacionada a atribuição de um nível de confiança do acesso, que ocorre dentro do Access Proxy, para permitir, ou nao, o acesso a determinado recurso.

O modelo de ZTA proposto pela Microsoft, representado na Figura 2, considera a Identidade e a conexao através de um Endpoint como base de segurança em sua ZTA. As solicitaç&ões são recebidas e verificadas pelas Políticas ZT (ZT Policy) que, após verificaç&ões com elementos fundamentais, impÖe acesso com privilégios mínimos. Estas políticas são aprimoradas pela Otimização de Política. Os dados de telemetria e análises, geram avaliaç&ões de risco que alimentam o mecanismo de política para oferecer proteção automatizada contra ameaças.

A Figura 3 ilustra os diversos componentes lógicos que compões a arquitetura proposta pelo modelo do NIST em uma corporação, sendo observados dois planos básicos: Plano de Dados e Plano de Controle. Enquanto neste ocorrem as transmissões relacionadas as solicitações de acessos, naquele trafegam os controles de acesso (Rose et al., 2020).

Desta maneira, analisando as cinco dimensões propostas pela Google e as seis propostas pela Microsoft descritas, observa-se que Controle de Acesso possui relação com Identidade assim como Dispositivo com Endpoints. Além disso, ambas utilizam a Rede e Aplicaç&ões em suas implementaç&ões. Em contrapartida, a proposta do NIST utiliza tres dimens&oes: uma que trata de autorização ou revogação de uma tentativa de acesso, outra relacionada as conexões entre individuos e recursos, e uma terceira onde são habilitadas e monitoradas as conexões. Desta maneira, o presente artigo leva em consideração sete dimensões: Autenticação, Identidade, Endpoints, Dados, Rede, Aplicações e Infraestrutura.

3.Metodologia

De forma a identificar as abordagens de implementação do Zero Trust, procedeu-se com uma RSL conduzida pelo método Preferred Reporting Items for Systematic Reviews and Meta-Analyses (PRISMA), que em sua última revisão, em 2021, traz um conjunto etapas para realização e um fluxograma que devem ser seguidos na condução de uma revisão sistemática (Galvao & Ricarte, 2019). Dessa forma, o presente trabalho se trata de uma pesquisa exploratoria, utilizando uma abordagem qualitativa e quantitativa (Gil, 2002).

Segundo Galvao & Ricarte (2019) uma RSL busca entender e apresentar uma lógica ao grande corpus documental verificando o que funciona ou nao em determinado contexto. Uma outra definição pode ser observada em Kitchenham (2004), onde se identifica, avalia e interpreta as pesquisas relevantes disponíveis em uma particular questão de pesquisa de interesse. Além disso, Siddaway et al. (2019) cita como sendo uma das razões para se realizar uma RSL a necessidade de sintetizar um conjunto de evidencias sobre um determinado tópico com o propósito de obter conclusões robustas acerca deste assunto.

Na elaboração do trabalho, as bases de dados IEEE Xplore e a ACM Digital foram utilizadas, pois, segundo Galvao & Ricarte (2019), elas abordam temas relacionados a Tecnología da Informação. Além disso, sua escolha foi possível visto que o Portal de Periódicos da Coordenação de Aperfeiçoamento de Pessoal de Nivel Superior (Capes) permite o acesso aos artigos completos publicados. 0 período considerado na busca foi entre janeiro de 2016 e junho de 2022. Considerando o objetivo do trabalho, ou seja, verificar na literatura as diferentes maneiras de implementação da ZTA, a combinação inicial de palavras foi "Zero Trust" e "implementation". Aliado a isso, utilizou-se as palavras deployment e development como possíveis sinónimos. Com isso, foram realizadas tres pesquisas em casa base de dados: "zero trust" and implement·, "zero trust" and develop· e "zero trust" and deploy·. Utilizou-se o operador "·" ao final das palavras para se ampliar a consulta. 0 resultado trouxe 268 artigos. Em seguida, foram percorridas as etapas prescritas pelo método PRISMA, conforme mostra a Figura 4.

Dos 268 artigos iniciáis retirou-se aqueles duplicados, obtendo, assim, um número de 138 artigos únicos. Na sequencia foi realizada a primeira filtragem, que consistiu na verificação dos títulos, resumos e palavras chaves dos artigos com o objetivo de eliminar aqueles que nao citaram a expressão Zero Trust em seu título, resumo ou palavras-chave, sendo eliminados 58 artigos. A segunda filtragem buscou retirar artigos indisponíveis e textos de revistas e livros, representando uma redução de 11 documentos. Finalmente o último filtro consistiu na leitura dos resumos na busca de textos nao afetos ao tema implementação do ZT. Esta etapa retirou o total de 51 trabalhos, restando. Ao final, 18 artigos foram selecionados.

4.Resultados

Esta seção é dedicada a apresentar os resultados obtidos pela análise da leitura e do estudo dos 18 artigos.

A Tabela 3 apresenta o resultado da classificação dos artigos no que tange as sete dimensões do Zero Trust e as respectivas referencias para os artigos. Registra-se que um mesmo artigo pode ser classificado em mais de uma dimensão, motivo pelo qual a soma dos percentuais passa de 100%. Pelos resultados obtidos, pode-se observar dedicação maior dos autores em conduzir estudos para as dimensões rede (61%) e autenticação (56%). Em contrapartida, nao foi observado trabalho relacionado a dimensão infraestrutura. Em nenhum deles, observou-se trabalhos relacionados no que tange a gestão de uma implementação da ZTA dentro de uma organização. Além disso, apenas dois artigos (Ameer et al., 2022; Chen et al., 2021) abordam cinco ou mais dimensões da implementação, a diferença foi observada visto que o primeiro não aborda a dimensão rede.

Frequentemente os artigos abordam a evolução na quantidade de dispositivos de IoT conectados as redes, principalmente aqueles ligados a infraestruturas críticas, devido principalmente, ao aumento da superficie de ataque desse tipo de tecnología.

Ameer et al., (2022) observam que tanto o Attribute-Based Access Control (ABAC) quanto Role-Based Access Control (RBAC) não suportam controle continuo de autorização, bem com o fato de que a tecnología da Blockchain apresenta características técnicas que podem limitar a aplicabilidade da Blockchain na realização de um controle continuo de autorização. Assim, os autores avaliam cada um dos sete principios do ZT baseado no Policy, Enforcement, Implementation (PEI) Framework para fornecer uma visão estruturada de diferentes requisitos de autorização. Ao final do trabalho, apresentam um conjunto de sete componentes básicos de um modelo de política de autorização ZT, chamado de Framework de Requisitos de Autorização (ZT-ARF, na sigla em ingles).

Chen et al. (2021) apresentam um framework de segurança voltado a sistemas médicos inteligentes baseado na ZTA e tecnología 5G focado em quatro dimensões (ativos, objetos, meio ambiente e comportamento) e uma estrutura que emprega um modelo de controle de acesso dinámico confiável capaz de decidir, em tempo de execução, os privilégios atinentes a cada acesso. 0 modelo de controle de acesso é o responsável pela conexao entre o plano de dados e de controle, realizando as avaliações de segurança continuamente e ajusta o privilégio de acesso dinamicamente. Mesmo com os testes realizados no decorrer do estudo, os autores afirmam que ainda existem desafios, principalmente relacionados a uma melhor conscientização das pessoas e possíveis problemas de incompatibilidade com os sistemas 5G existentes na indústria da saúde.

Da Rocha et al. (2021) observaram a inexistencia, na literatura, de artigos que utilizem o ZT na prevenção de ataques Advanced Persistent Threats (APT). Baseado nisso, simularam uma rede composta de switches, roteadores, firewall e dispositivos IoT em um cenário onde há um ataque APT em curso. Demonstrou que a microssegmentação com a utilização de NGFW pode ser uma soluęão na proteção contra esse tipo de ameaça.

D'Silva & Ambawade (2021) descrevem um modelo criado baseado no padrao do NIST. Seu produto utiliza um Servidor de Proxy, cuja função é redirecionar a solicitação de acesso ao servidor de Autenticação e Autorização, porém sua configuração é feita de maneira que o usuário nao saiba seu endereço IP real. Foi utilizado a linguagem XACML para desenvolver o sistema de controle de acesso, composto pelo Policy Administration Point (PAP), PDP e PED. Além disso, é apresentado como seu modelo protege cada uma das camadas do modelo Open System Interconnect (OSI).

Decusatis et al. (2016) e Eidle et al. (2017) discutiram uma arquitetura única como facilitadora de uma abordagem de ZTA, baseada na geração de um token para identificar uma configuração de rede. Assim, o token de autenticação é ocultado dentro do primeiro pacote de autenticação e solicitações do Transmission Control Protocol (TCP). Uma vantagem desta abordagem aparece pois ela simplesmente rejeita as tentativas de acesso negadas, não retornando feedback a um possível usuário mal-intencionado.

Dimitrakos el al. (2020) desenvolvem um novo modelo de autorização continua através de uma nova tecnología, mais eficiente e leve, capaz de ser utilizada em redes de IoT, como por exemplo casas inteligentes. Sua eficiencia decorre do fato do conceito ZT estar instalado diretamente no dispositivo, reduzindo a quantidade de conexões. A performance do modelo foi avaliada e comparada com a ABAC, apresentando uma melhor eficiencia.

Fang & Guan (2022) elaboraram e testaram uma Aplicação iOS para prover uma solução de acesso remoto seguro. Os componentes principais utilizados foram divididos em dois planos com as seguintes tecnologías chaves em cada plano: Plano de Controle (Autenticação baseada em PKI e mecanismo de autorização baseado no RBAC) e Plano de Dados (Mecanismo Single Package Authorization (SPA), Transmissão segura de dados baseado em TLCP e acesso a recursos utilizando HTTPS).

Hatakeyama et al. (2021) consideram a utilização de um contexto na realização de verificação de cada acesso em uma ZTA, definindo, assim, a Zero Trust Federation (ZTF) de maneira a realizar o controle de acesso através de um servidor de controle de acessos. Este servidor utiliza um protocolo para gerar contextos, contudo, ainda não há uma padronização ou especificação sobre este protocolo.

Hosney et al. (2022) apresentam uma preocupação na limitação de definição de políticas necessárias para mudar de uma proteção através de firewall na camada 4, pois, segundo os autorer, o tempo e o esforço necessários na manutenção délas é crucial. Desta maneira, os administradores de rede devem mudar a maneira de pensar na segurança baseada apenas em Fonte, Destino e Aplicação, passando a utilizar o conceito W5H (Who, What, When, Where, Why and How). Assim, desenvolvem um estudo de Inteligencia Artificial (IA) para definir o motor de política (Policy Engine). Seu modelo apresentou uma acurácia de aproximadamente 85%. Além disso, a autenticação, juntamente com o controle de identidades, apresenta-se como uma maneira de garantir acesso a recursos, através da utilização de sistemas de gerenciamento de identidade e credenciais, assim como políticas para acesso a recursos, devendo ser continuamente monitorada.

Em contrapartida Li et al. (2022) nos propoem um framework para verificar pacotes baseados em um SDN e na blockchain onde uma estrutura básica de pacote é definida. Assim, torna-se possível uma verificação continua dos pacotes sem a necessidade de grandes atualizaęões na infraestrutura.

Mujib & Sari (2020) conduziram simulações para determinar a performance da microssegmentação através da avaliação de tres parámetros: Round Trip Time (RTT), Jitter, perdas de pacotes entre data centers. Estes parámetros foram comparados em testes realizados na rede sem e com a microssegmentação utilizando o Wireshark. Em que pese haja um acréscimo no tempo do RTT e do Jitter, os autores consideraram que a utilização da microssegmentação nao afeta a performance da rede.

Wang et al. (2022) descrevem o fato de que mesmo a blockchain apresentando altas demandas na verificação de credibilidade, a fragmentação pode aparecer como uma solução de seu problema de escalabilidade.

Em seu artigo Wu et al. (2021) descrevem que existem tres formas de verificar a identidade de uma pessoa e baseado nela, apresenta tres maneiras na qual a autenticação da identidade pode ser realizada e as vulnerabilidades que cada uma pode apresentar.

Yao et al. (2020) baseando-se no fato que o RBAC nao permite que o controle de acesso seja dinámico, propoem um novo modelo chamado de Trust-Based Access Control (TBAC). Este sistema de controle de acesso define e ajusta o status de autorização dinamicamente através de um algoritmo de geração de confiança.

5.Conclusões

Com o propósito de ampliar os conhecimentos acerca da implementação da ZTA, uma revisão sistemática de literatura foi realizada em duas bases de dados voltadas a assuntos afetos a Tecnología da Informação. Este processo permite descobrir como os tópicos vem sendo abordados pelos pesquisadores, ampliar conhecimentos acerca do assunto, bem como observar possíveis lacunas de estudos.

A partir da leitura dos textos observou-se a preocupação apresentada na forma de autenticação dos usuarios, ponto este bastante abordado pelo NIST. Dēsta maneira, os artigos consideraram estudar sistemas de controle de acesso baseado em Identidades antes de se considerar a localização das redes

Além disso, percebe-se uma preocupação voltada a uma maior compreensão e desenvolvimento de ferramentas e soluções voltadas a autenticação e autorização de acessos a recursos dentro de uma corporação. Aliado a isto, ha também, trabalhos relativos a microssegmentação de redes e acesso a estas. Em contrapartida, nao foram observados estudos preocupados com o controle das infraestruturas. Este controle, que representa um vetor crítico de ameaças, pode ser aprimorado utilizando ferramentas que apresentem soluções de segurança para proteger a infraestrutura de rede contraataques conhecidos e desconhecidos.

Além disto, dentro do espectro de artigos estudados, nao foi observado discussões sobre a priorização para implementação dos controles de segurança de uma ZTA, de maneira a garantir um maior nivel de confiança no acesso aos recursos.

Desta maneira, torna-se necessario, além de um aprofundamento nos estudos relativos a como garantir uma maior proteção as infraestruturas, um trabalho sobre a priorização dos controles na implementação da ZTA torna-se importante, sendo duas lacunas observadas no decorrer dos estudos, apresentando-se como oportunidades de estudos futuros.

Agradecimentos

Os autores agradecem o suporte da ABIN TED 08/2019. O autor Rafael Rabelo Nunes agradece o suporte do Centro Universitário Atenas e da Universidade de Brasilia, por meio do Editai PI/DPG 02/2022.

Sidebar

Recebido/Submission: 03/09/2022

Aceitação/Acceptance: 20/11/2022

References

Referencias

Ahmed, I., Nahar, T., Urmi, S. S., & Taher, К. A. (2020). Protection of sensitive data in zero trust model. ACM International Conference Proceeding Series, 0-4. https://doi.org/io.ii45/3377049.3377ii4

Ameer, S., Gupta, M., Bhatt, S., & Sandhu, R. (2022). BlueSky: Towards Convergence of Zero Trust Principles and Score-Based Authorization for IoT Enabled Smart Systems. Proceedings of the 27th ACM on Symposium on Access Control Models and Technologies, 235-244. https://doi.org/i0.ii45/3532i05.3535020

Bello, Y., Refaey, A., Ulema, M., & Kolipali, J. (2022). On Sustained Zero Trust Conceptualization Security for Mobile Core Networks in 5G and Beyond. IEEE Transactions on Network and Service Management, PP(c), 1. https://doi.org/i0.ii09/TNSM.2022.3i57248

Buck, C., Olenberger, C., Schweizer, A., Völter, F., & Eymann, T. (2021). Never trust, always verify: A multivocal literature review on current knowledge and research gaps of zero-trust. Computers & Security, ii0, İ02436. https://doi.org/i0.i0i6/j. cose.2021.102436

Campbell, M. (2020). Beyond Zero Trust: Trust Is a Vulnerability. Computer, 53(i0), 110-113. https://doi.org/10.1109/MC.2020.3011081

Chen, B., Qiao, S., Zhao, J., Liu, D., Shi, X., Lyu, M., Chen, H., Lu, H., & Zhai, Y. (2021). A Security Awareness and Protection System for 5G Smart Healthcare Based on Zero-Trust Architecture. IEEE Internet of Things Journal, 8(13), 10248-10263. https://doi.org/10.1109/JIOT.2020.3041042

Chuan, T., Lv, Y., Qi, Z., Xie, L., & Guo, W. (2020). An Implementation Method of Zero-trust Architecture. Journal of Physics: Conference Series, i65i(i). https://doi.org/i0.i088/i742-6596/i65i/i/0i20i0

da Rocha, B. C., de Melo, L. P., & de Sousa, R. T. (2021). Preventing APT attacks on LAN networks with connected IoT devices using a zero trust based security model. 2021 Workshop on Communication Networks and Power Systems, WCNPS 2021, Wcnps. https://doi.org/i0.ii09/WCNPS53648.202i.9626270

Decusatis, C., Liengtiraphan, P., Sager, A., & Pinelli, M. (2016). Implementing Zero Trust Cloud Networks with Transport Access Control and First Packet Authentication. Proceedings - 2016 IEEE International Conference on Smart Cloud, SmartCloud 20i6, 5-i0. https://doi.org/i0.ii09/SmartCloud.20i6.22

Defense Information Systems Agency, & National Security Agency. (2021). Department of Defense (DoD) Zero Trust Reference Architecture. https://dodcio.defense.gov/ Portals/0/Documents/Library/(U)ZT_RA_v1.1(U)_Mar21.pdf

Ðimitrakos, t., Ðilshener, t., Kravtsov, a., la Marra, a., Martinelli, f., Rizos, a., Rosett, A., & Saracino, A. (2020). Trust aware continuous authorization for zero trust in consumer internet of things. Proceedings - 2020 IEEE 19th International Conference on Trust, Security and Privacy in Computing and Communications, TrustCom 2020, 1801-1812. https://d0i.0rg/10.1109/TrustC0m50675.2020.00247

D'Silva, D., & Ambawade, Ð. Ð. (2021). Building A Zero Trust Architecture Using Kubernetes. 2021 6th International Conference for Convergence in Technology, I2CT 2021, 1-8. https://d0i.0rg/10.1109/I2CT51068.2021.9418203

Dzogovic, B., Santos, B., Hassan, I., Feng, B., Do, V. T., Jacot, N., & van Do, T. (2022). Zera-Trust Cybersecurity Approach for Dynamic 5G Netw0rk Slicing with Netw0rk Service Mesh and Segment-R0uting 0ver IPv6. 105-114. https://d0i.0rg/10.1109/ das54948.2022.9786074

Eidle, D., Ni, S. Y., Decusatis, C., & Sager, A. (2017). Autonomic security for zero trust networks. 2017 IEEE 8th Annual Ubiquitous Computing, Electronics and Mobile Communication Conference, UEMCON 2017, 2018-Janua(Area 4), 288-293. https://d0i.0rg/10.1109/UEMCON.2017.8249053

Executive Office 0f The President. (2022). M0ving the U.S. G0vernment T0ward Zer0 Trust Cybersecurity Principles. Executive Office 0f the President Office 0f Management and Budget, 26633(January), 1-29. https://www.whitehouse.gov/ wp-content/uploads/2022/01/M-22-09.pdf

Fang, W., & Guan, X. (2022). Research on iOS Remote Security Access Technology Based on Zero Trust. IEEE 6th Information Technology and Mechatronics Engineering Conference, ITOEC 2022, 238-241. https://doi.org/10.1109/ ITOEC53115.2022.9734455

Galvão, M. C. B., & Ricarte, I. L. M. (2019). REVISÄO SISTEMÁTICA DA LITERATURA: CONCEITUAÇÂO, PRODUÇÂO E PUBLICAÇÂO. L0gefon: Fifos0fia Da Informaçâ0, 6(1), 57-73. https://d0i.0rg/10.21728/l0gei0n.2019v6n1.p57-73

Gil, A. C. (2002). C0m0 Elatorar Prqjetos de Pesquisa (4th ed.). Editora Atlas.

Hatakeyama, K., Kotani, D., & Okabe, Y. (2021). Zero Trust Federation: Sharing Context under User Control towards Zero Trust in Identity Federation. 2021 IEEE International Conference on Pervasive Computing and Communications W0rksh0ps and Other Affiliated Events, PerC0m W0rksh0ps 2021, 514-519. https://dqi.qrg/l0.1l09/PerCqmWqrkshqps5l409.202l.943lll6

H0sney, E. S., Halim, I. T. A., & Y0usef, A. H. (2022). An Artificial Intelligence Approach f0r Depl0ying Zer0 Trust Architecture (ZTA). 5th Internati0nal C0nference 0n C0mputing and Informatics, ICCI 2022, 343-350. https://d0i.0rg/10.1109/ ICCI54321.2022.9756117

Kerman, A., Borchert, O., Rose, S., Division, E., & Tan, A. (2020). Implementing a Zero Trust Architecture. Nist, October.

Kitchenham, В. (2004). Procedures for Performing Systematic Reviews. Jt. Tech. Report, Keele Univ. TR/SE-0401 NICTA TR- 0400011T.1, 33, 33. https://www.inf.ufsc.br/~aldo.vw/kitchenham.pdf

Li, Z., Ding, Y., Gao, H., Qu, B., Wang, Y., & Li, J. (2022). A Highly Compatible Verification Framework with Minimal Upgrades to Secure An Existing Edge Network. ACM Transactions on Internet Technology. https://doi.org/10.1145/3511901

Microsoft. (2021a). Evolving Zero Trust: How real-world deployments and attacks are shaping the future of Zero Trust strategies. https://www.microsoft.com/pt-br/ security/business/zero-trust

Microsoft. (2021b). The Comprehensive Playbook for Implementing Zero Trust Security. https://clouddamcdnprodep.azureedge.net/gdc/gdctT4SO0/original

Mujib, M., & Sari, R. F. (2020). Performance Evaluation of Data Center Network with Network Micro-segmentation. ICITEE 2020 - Proceedings of the 12th International Conference on Information Technology and Electrical Engineering, 27-32. https://doi.org/10.1109/ICITEE49829.2020.9271749

Rose, S., Borchert, 0., Mitchell, S., & Connelly, S. (2020). Zero Trust Architecture. In Encyclopedia of Cryptography, Security and Privacy. Springer Berlin Heidelberg. https://doi.org/10.6028/NIST.SP.800-207

Saltzer, J. H., & Schroeder, M. D. (1975). The Protection of Information in Computer Systems. Proceedings of the IEEE, 63(9), 1278-1308. https://doi.org/10.1109/ PROC.1975.9939

Siddaway, A. P., Wood, A. M., & Hedges, L. v. (2019). How to Do a Systematic Review: A Best Practice Guide for Conducting and Reporting Narrative Reviews, MetaAnalyses, and Meta-Syntheses. Annual Review of Psychology, 70, 747-770. https://doi.org/10.1146/annurev-psych-010418-102803

Teerakanok, S., Uehara, T., & Inomata, A. (2021). Migrating to Zero Trust Architecture: Reviews and Challenges. Security and Communication Networks, 2021. https://doi.org/10.1155/2021/9947347

Vanickis, R., Jacob, P., Dehghanzadeh, S., & Lee, B. (2018). Access Control Policy Enforcement for Zero-Trust-Networking. 29th Irish Signals and Systems Conference, ISSC 2018. https://doi.org/10.1109/ISSC.2018.8585365

Wang, J., Chen, J., Xiong, N., Alfarraj, O., Tolba, A., & Ren, Y. (2022). S-BDS: An Effective Blockchain-based Data Storage Scheme in Zero-Trust IoT. ACM Transactions on Internet Technology. https://doi.org/10.1145/3511902

Ward, R., & Beyer, B. (2014). BeyondCorp: A new approach to enterprise security. ;;Login:, 39(6), 6-11. https://www.usenix.org/publications/login/dec14/ward

Wu, Y. G., Yan, W. H., & Wang, J. Z. (2021). Real identity-based access control technology under zero trust architecture. Proceedings - 2021 International Conference on Wireless Communications and Smart Grid, ICWCSG 2021, 18-22. https://doi.org/10.1109/ICWCSG53609.2021.00011

Yao, Q., Wang, Q., Zhang, x., & Fei, J. (202o). Dynamic Access Control and Authorization System based on Zero-trust architecture. ACM International Conference Proceeding Series, 123-127. https://doi.org/10.1145/3437802.3437824

Zaheer, Z., Chang, H., Mukherjee, S., & Merwe, J. van der. (2019). EZTrust: Network-Independent Zero-Trust Perimeterization for Microservices. SOSR 2019 - Proceedings of the 2019 ACM Symposium on SDN Research, 49-61. https://doi.org/10.1145/3314148.3314349