Universidade de pesquisa dos EUA (anônima)

Em uma universidade de pesquisa do centro-oeste, uma pequena equipe em uma organização de TI de 100 pessoas gerencia serviços compartilhados, incluindo e-mail, login único e aplicações administrativas. "Estamos sempre pensando na segurança", diz um membro da equipe de TI. "A universidade tem 250 aplicações, então é seguro apostar que uma nova invasão afetará pelo menos uma delas. Parte do nosso trabalho é impedir que os ataques bem-sucedidos a um servidor migrem para outros servidores. Trata-se de limitar o risco."

A equipe de TI usa uma combinação de técnicas de segurança para afastar as ameaças, incluindo patches regulares, detecção de invasão e Web Application Firewall. Se uma ameaça conseguir passar por todas essas proteções, uma técnica chamada microssegmentação limita a propagação. O objetivo é permitir apenas comunicações entre servidores quando absolutamente necessário, por exemplo, quando uma aplicação da Web se conecta a um banco de dados.

Antes, a equipe de TI segmentava a rede escrevendo regras de firewall. Por exemplo: a aplicação A pode aceitar tráfego das aplicações B e C, bloqueando o tráfego de todas as outras aplicações. Essa abordagem funcionava bem quando todas as aplicações eram executados nos data centers dos campus. Mas, à medida que a universidade começou a migrar aplicações para as nuvens AWS e Azure, as regras de firewall se tornaram mais complicadas e difíceis de gerenciar. 

Aplicações como Admissões, por exemplo, se conectam ao serviço de banco de dados relacional do AWS, que tem dezenas de endereços IP que mudam continuamente. A equipe de TI da universidade não tem tempo para inserir novos endereços IP constantemente nas regras de firewall, então eles decidiram procurar uma solução de segmentação mais eficiente e gerenciável.

A universidade encontrou a solução no Akamai Guardicore Segmentation. A equipe de TI instalou o software nos servidores locais e na nuvem da universidade. Quando os endereços IP por trás de um serviço de nuvem mudam, o que ocorre com frequência, a Akamai ajusta imediatamente as regras para refletir os novos endereços IP. 

A comunidade universitária colheu os benefícios imediatamente. Por exemplo, a equipe de TI precisou atualizar a configuração de todos os 250 servidores o mais rápido possível para corrigir uma vulnerabilidade de segurança descoberta recentemente. Porém, os servidores recuperam as novas configurações de um repositório de nuvem que tem muitos endereços IP e esses endereços tinham mudado recentemente. 

"Se ainda estivéssemos usando o firewall para segmentação, os servidores permaneceriam vulneráveis enquanto trabalhávamos para atualizar as regras com os novos endereços IP", diz um membro da equipe de TI. "A Akamai reduziu a janela de vulnerabilidade e nos economizou muito trabalho."

Agora, a segmentação não é apenas mais fácil de gerenciar, também é mais forte. Onde os firewalls controlam o tráfego de entrada para os servidores, o Akamai Guardicore Segmentation também pode controlar o tráfego de saída dos servidores, uma proteção chamada "bloqueio de evacuação", porque inclui o software instalado diretamente nos servidores. 

"As regras de evacuação são um pesadelo para se descobrir em firewalls, então, antes não fazíamos isso", afirma o membro da equipe de TI. "Com a Akamai é simples e é outra maneira de evitar que infecções se espalhem." 

A equipe também gosta que a Akamai os ajuda a verificar se as regras estão funcionando. Com uma olhada rápida em um mapa visual, é possível ver quais conexões estão acontecendo e quais estão bloqueadas. Antes, eles teriam que fazer login em todos os 250 servidores e analisar os contadores de acesso ao firewall, o que tomaria um tempo que eles não tinham.

A equipe de TI está obtendo méritos por melhorar a experiência do usuário e está reforçando a segurança. Digamos que um provável aluno faça login na aplicação Admissões às 20:00 para verificar o status da aplicação e a elegibilidade do auxílio financeiro, e o AWS moveu o banco de dados subjacente para um servidor diferente às 19:59. Quando as comunicações entre a aplicação e o banco de dados dependiam de regras de firewall, o aluno talvez visse uma mensagem para tentar novamente mais tarde. Com o Akamai Guardicore Segmentation, o aluno vê informações atualizadas, independentemente de todo o endereço IP que estiver embaralhando na nuvem, e tem uma ótima primeira impressão da universidade.

Agora, a equipe de TI está adicionando mais servidores à solução Akamai tem o processo reduzido a cinco minutos por servidor. Com o tempo que o Akamai Guardicore Segmentation economiza, a equipe está aprendendo novas tecnologias de nuvem e eliminando dívidas técnicas. Também estão procurando usar a Akamai para reduzir o raio dos ataques de ransomware.

Resumindo, o membro da equipe de TI diz: "Sabíamos que a Akamai limitaria a disseminação de ameaças entre os servidores. A surpresa foi a simplicidade da experiência. Especialmente a maneira como o Akamai Guardicore Segmentation adapta nossas regras para levar em conta os endereços IP em constante mudança por trás de nossos serviços em nuvem. Tudo contribui para uma segurança mais forte e uma experiência melhor para os alunos atuais, alunos prováveis, professores e funcionários."