Defesa em profundidade.

Por que a sobreposição vence um único muro robusto

A defesa em profundidade parte de uma suposição pessimista: qualquer controlo acabará por falhar mais cedo ou mais tarde. Uma firewall mal configurada, um patch que chega atrasado, um e-mail de phishing que atinge o alvo, uma credencial que vaza. Se a sua segurança assenta numa única barreira, essa única falha significa o fim do jogo. Sobrepor controlos significa que o atacante que ultrapassa o perímetro depara-se ainda com a proteção dos endpoints, depois com redes segmentadas, depois com controlos de aplicação, depois com dados cifrados, depois com uma monitorização que observa todo o percurso. Cada camada é independente, pelo que a probabilidade de todas falharem ao mesmo tempo é muito menor do que a probabilidade de uma única falhar.

O valor para o profissional não é apenas a prevenção, é o tempo e a visibilidade. Cada camada que o atacante tem de vencer custa-lhe esforço, gera ruído e cria uma oportunidade para a sua equipa de deteção e resposta notar a intrusão antes que esta chegue aos dados que importam. A defesa em profundidade tem tanto a ver com ganhar tempo de deteção como com travar a violação por completo.

As camadas e o que reside em cada uma

Os profissionais costumam pensar em camadas concêntricas em vez de numa lista plana de produtos. O essencial é a cobertura de todas as categorias, e não a compra de todas as ferramentas de uma mesma categoria. Uma forma comum de organizar as camadas:

• Físico: instalações trancadas, cartões de acesso e controlos de equipamentos, para que um atacante não possa simplesmente caminhar até ao hardware.
• Pessoas: formação de sensibilização, simulações de phishing e processos claros, porque os utilizadores são ao mesmo tempo um alvo e um controlo.
• Rede: segmentação, firewalls e inspeção do tráfego, para que um ponto de apoio numa zona não conceda acesso a todo o parque.
• Endpoint: reforço, EDR e gestão de patches nas máquinas onde os ataques são efetivamente executados.
• Aplicação: desenvolvimento seguro, validação de entradas e controlos de autenticação ao nível do software.
• Dados: cifragem em repouso e em trânsito, classificação e controlos de acesso, para que o próprio ativo permaneça protegido mesmo que uma camada acima dele seja violada.

Como se relaciona com o zero trust e o privilégio mínimo

A defesa em profundidade é o princípio mais antigo e mais amplo. O zero trust e o privilégio mínimo são expressões modernas mais afinadas do mesmo instinto. O privilégio mínimo dita conceder a cada identidade apenas o acesso de que necessita, o que limita até onde qualquer conta comprometida pode chegar, acrescentando, na prática, uma camada dentro do sistema em vez de em redor dele. O zero trust abandona a suposição de que tudo o que está dentro do perímetro é de confiança, verificando cada pedido de forma contínua.

Onde a defesa em profundidade clássica costumava pressupor uma casca externa dura com um interior mais mole, o zero trust leva a verificação a cada fronteira. São complementares: um programa maduro utiliza a defesa em profundidade como arquitetura e o zero trust como modelo operacional que remove o centro mole e maleável.

Nas normas e nas auditorias, a ideia está em todo o lado mesmo quando a expressão não está. O Anexo A da ISO/IEC 27001 distribui os controlos por temas organizacionais, de pessoas, físicos e tecnológicos, o que é defesa em profundidade com outro nome. Os frameworks do NIST e os CIS Controls estão estruturados de modo que nenhuma salvaguarda isolada suporte toda a carga. Os auditores esperam ver controlos em camadas com uma justificação documentada, e tratam um ponto único de falha como uma constatação, não como uma escolha de conceção.