Empresa do setor de saúde impede milhares de ataques cibernéticos

Obrigado aos dois por participarem Se não se importarem, gostaria que reservassem um minuto para se apresentar, falar sobre  suas funções e explicar o que a organização de vocês faz.

Sim, eu sou Quynn Kars. Sou arquiteto de segurança de redes. Trabalhamos em uma organização da área de saúde. E eu sou Evan Martinez. Trabalho em estreita colaboração com Quynn como engenheiro de segurança de redes. Sou responsável pela implantação de produtos como este.

Como começou a relação de vocês com a Akamai e quais produtos estão adotando atualmente na organização?

Somos principalmente clientes do Akamai Guardicore Segmentation. Estávamos procurando uma solução de microssegmentação ou de firewall para tráfego leste-oeste. Na época, ainda não tínhamos uma ideia muito clara do que queríamos. Estávamos em um evento de fornecedores com um de nossos parceiros mais próximos e, por sorte, acabei conhecendo alguém da equipe de vendas da Akamai. Tivemos uma boa conversa sobre o que eu acreditava serem as necessidades da nossa organização, as tendências que eu observava no setor e o que poderia nos beneficiar. Assim, o Akamai Guardicore Segmentation rapidamente entrou no nosso radar. Depois de algumas demonstrações e provas de conceito, conseguimos avançar na direção certa e nos tornar clientes.

Olhando para a organização e para a adoção do Guardicore, como vocês avaliam a transformação proporcionada pela solução em termos de implantação e das melhorias que ela trouxe?

Quando estávamos trabalhando nesse projeto, analisamos as configurações tradicionais de firewall, que já eram utilizadas nos ambientes havia muitos anos. Queríamos adotar uma abordagem diferente, que exigisse menos mão de obra, mas alcançasse os mesmos objetivos. E o Guardicore ofereceu tudo isso. Ele nos proporcionou uma solução baseada em agentes. Foi uma solução que conseguimos implementar desde o primeiro dia, obtendo um alto nível de visibilidade e controle sobre o tráfego, sem precisar fazer grandes mudanças na infraestrutura do nosso ambiente. 

O que vocês têm observado em relação à aplicação de políticas e às recomendações de políticas assistidas por IA? Como isso tem contribuído para melhorias na organização?

O GPE representou uma enorme melhoria nos nossos processos, especialmente para a equipe de segurança de redes, no que diz respeito à rapidez com que conseguimos colocar as aplicações em modo de aplicação das políticas. Isso beneficia não apenas os responsáveis pelas aplicações, que conseguem implementar o isolamento completo e funcional de suas aplicações mais rapidamente, mas também nós, da equipe de engenharia, pois reduz significativamente o trabalho necessário para realizar essa implantação. E também diminuiu bastante a quantidade de horas de trabalho necessárias para criar um conjunto abrangente de regras de firewall que atenda a todas as necessidades das aplicações do nosso ambiente. Sem dúvida, esse foi o maior benefício para nós.

Qual é a impressão de vocês até agora sobre a implantação do Guardicore Segmentation e o relacionamento com a Akamai?

Tem sido muito boa. O Guardicore basicamente atendeu a todos os requisitos que estávamos procurando. Queríamos visibilidade, facilidade de controle e granularidade, e tudo isso foi atendido desde o primeiro dia. A implantação tem sido fácil. Também tem sido muito fácil desenvolver confiança no produto. Até agora, ele atendeu a todas as nossas necessidades.

Na opinião de vocês, como o mecanismo de políticas de IA se compara às soluções de segmentação existentes antes da adoção do programa beta de geração de políticas? Como era o processo de implantação antes e como ficou depois?

Do meu ponto de vista, e também por trabalhar tão próximo de Quynn, lembro de várias sessões de trabalho que duravam horas, nas quais eu precisava analisar os logs de tráfego dos serviços essenciais para entender seu funcionamento. E, sabe, isso exigia muitas horas de trabalho. Mas não era só isso. O tráfego precisava existir, certo? Então, além dessas longas sessões de trabalho, precisávamos realizar várias outras ao longo da semana, esperando que mais dados de tráfego fossem registrados. Certo? E o mecanismo GPE não analisa apenas os dados em tempo real, como fazíamos anteriormente. Ele também analisa os logs coletados nos últimos 30 dias. Assim, consegue identificar atividades que talvez eu não tivesse observado desde a última vez que zerei os contadores de ocorrências daquela política de alerta. Ou seja, ele oferece uma visão muito mais ampla do que eu conseguiria obter sem dedicar cada vez mais horas do meu próprio trabalho.

Na sua perspectiva e considerando sua função, quais tarefas o mecanismo de políticas de IA retirou da carga de trabalho da sua equipe? Ele eliminou a etapa de descoberta, certo?

Quando começamos esse projeto, os responsáveis pelas aplicações nem sempre tinham uma compreensão muito clara do que suas aplicações faziam, com quais sistemas se comunicavam e assim por diante. Com o mecanismo de políticas, conseguimos chegar a essas conversas com um mapeamento do comportamento das aplicações e das regras que esperamos implementar. Assim, podemos apresentar essas informações aos responsáveis pelas aplicações e dizer: "Olha, com base no tráfego dos últimos 30 dias, é isso que esperamos encontrar em termos do que precisa ser bloqueado e do que deve ser permitido.” E eles só precisam validar essas informações. Isso torna todo o processo muito mais simples, fácil e fluido  para nós, do início ao fim. E tem sido realmente excelente.

Qual é a importância de poder simular as políticas antes de colocá-las efetivamente em modo de aplicação, seja para evitar falsos positivos ou prevenir interrupções de serviço? Como isso impactou a organização? A simulação por meio das regras de alerta de cada conjunto de políticas tem sido extremamente útil para conquistar a confiança do nosso comitê de aprovação de mudanças, certo?

Sempre que preciso ativar o modo de aplicação das políticas, seja em um sistema de nível 1, 2 ou 3, ou qualquer outro, a mudança precisa passar pelo comitê, e eu preciso obter as aprovações necessárias. Conquistar a confiança e a tranquilidade dos responsáveis pelas aprovações ficou dez vezes mais fácil com essa possibilidade, em comparação com a abordagem tradicional de firewall, na qual poderíamos estar tentando implementar uma nova regra de bloqueio. Isso tem sido excelente para quem ocupa cargos de gestão, mas também para os próprios responsáveis pelas aplicações. Consigo demonstrar a eles que não vou causar uma interrupção de serviço durante um dia de folga ou provocar uma ligação no meio da noite porque o Guardicore bloqueou um tráfego que deveria ter sido permitido. Portanto, isso fez uma diferença enorme para a confiança dentro da organização.

Considerando a crescente adoção da IA em todo o ecossistema de ferramentas e a necessidade de proteger a própria IA, qual é a importância de contar com uma IA explicável, que apresente evidências do que está sendo observado para justificar a aplicação de determinada política? Isso não apenas proporciona mais confiança em toda a organização, mas também mantém a supervisão humana no processo. Afinal, podemos gerar todas essas recomendações de políticas e apresentar as evidências, mas a decisão de aplicá-las continua nas mãos de uma pessoa, em vez de ocorrer automaticamente. Qual é a importância disso para você?

É interessante, não é? Porque isso é realmente muito importante. Não queremos acumular dívida técnica. Com essas políticas geradas por IA, queremos que os resultados produzidos pelos sistemas sejam claros e realmente agreguem valor à organização. Por isso, é importante que as regras geradas e as informações fornecidas pela IA aos engenheiros e às nossas equipes venham acompanhadas de explicações. E tenho certeza de que isso ganhará cada vez mais força nos próximos anos, à medida que a IA se tornar mais presente no setor.

Evan, você poderia compartilhar algum exemplo de uma recomendação que tenha ajudado a melhorar a postura de segurança da organização? Tem algum caso que possa contar?

Sim, com certeza. Um exemplo relacionado ao GPE seria uma recomendação de comunicação entre a aplicação 1 e a aplicação 2 pelas portas 80, 443 ou qualquer outra. Em seguida, surge uma segunda recomendação para exatamente a mesma comunicação, mas envolvendo apenas um endereço IP específico. Para mim, isso já é um sinal de alerta de que deixamos de instalar um agente durante a implantação ou de atribuir corretamente um agente à aplicação durante a identificação por rótulos. Então, precisamos investigar e descobrir:  "Certo, que endpoint é esse que o Guardicore não consegue identificar por meio de um rótulo ou como um ativo gerenciado?" A partir daí, posso trabalhar com a equipe responsável pela aplicação, identificar esse endpoint e atribuir as tags corretas. Assim, garantimos não apenas a visibilidade, mas também a aplicação das políticas correspondentes. Dessa forma, evitamos que cargas de trabalho não autorizadas sejam executadas em nosso ambiente.

Vocês observaram algum benefício mensurável proporcionado pelas ferramentas? Por exemplo, melhorias na solução de problemas enfrentados pelos usuários finais, economia de tempo ou qualquer outro resultado percebido
durante a implantação, especialmente do ponto de vista operacional?

Sim, com certeza. Do ponto de vista operacional, meu trabalho vai um pouco além das atividades de segurança de redes que estamos discutindo aqui. Na verdade, frequentemente sou chamado para participar de sessões de solução de problemas ou investigar interrupções de serviço, mesmo quando não estão relacionadas às aplicações ou aos sistemas que gerencio, simplesmente porque tenho visibilidade do que acontece no nível dos processos. Por exemplo, consigo identificar quando um servidor de aplicações tem um relay SMTP configurado para apontar para um registro DNS que existe, mas não há nenhum servidor disponível naquele destino, certo? Enquanto isso, os outros dez servidores do cluster estão configurados para apontar para outro destino, que responde normalmente e corresponde à configuração correta. Por isso, muitas vezes sou chamado para participar dessas sessões de solução de problemas, investigar o que está acontecendo no nível dos processos e fornecer informações adicionais para que os responsáveis pelas aplicações possam considerá-las.

Com base na sua experiência, qual é a importância de explicar aos seus colegas o que a Akamai tem feito de diferente com a IA?

Acho que é importante, certo? Porque muitas organizações estão incorporando IA aos seus sistemas, mas é discutível se isso realmente agrega valor à experiência dos usuários finais ou dos engenheiros. E acredito que a abordagem adotada pela Akamai nesse sentido é uma das melhores. O que ela está fazendo realmente agrega valor. O mecanismo GPE não é simplesmente uma ferramenta que gera resultados sem utilidade. Por mais simples que pareça, as recomendações geradas pelo mecanismo são realmente úteis. Elas agregam valor à nossa organização e proporcionam uma economia real de tempo. E é isso que eu gostaria de ver mais fornecedores fazendo.

Qual recurso da plataforma vocês consideram que trouxe mais valor para a organização?

Sim, eu diria, sem dúvida, que o mecanismo GPE foi o que mais agregou valor. Além de atender às nossas necessidades de segmentação com o Guardicore, o verdadeiro diferencial, depois que adquirimos a solução e nos tornamos clientes, foi o lançamento do recurso GPE. Quynn e eu estamos sempre envolvidos em vários projetos ao mesmo tempo. Também participamos de reuniões de solução de problemas relacionados a novas iniciativas. Por isso, economizar um pouco mais do tempo dos nossos usuários avançados durante a fase de implantação tem sido um grande benefício. Isso nos permite liberar tempo para nos concentrarmos em outras atividades que talvez não possam ser realizadas com tanta eficiência.

Quando vocês estavam avaliando diferentes soluções de segmentação, de que forma o Guardicore se destacou entre os fornecedores e conseguiu reduzir o tempo necessário para implementar o isolamento das aplicações?

Isso também ampliou os benefícios em termos de tempo estimado de implantação em toda a organização? Como vocês avaliam o impacto da Akamai nesse aspecto? 

Acho que a melhor maneira de explicar isso é que, durante muito tempo, o setor teve uma forma bem estabelecida de realizar a segmentação do tráfego leste-oeste. Basicamente, você instalava um firewall tradicional na rede, no ponto desejado, e configurava as regras de firewall ali. Ou então criava algumas listas de controle de acesso em um switch. Ter uma solução baseada em agentes, em que basta definir uma política, instalar o agente na máquina e começar a trabalhar, tornou a implantação muito mais rápida. Originalmente, planejávamos seguir uma abordagem tradicional, o que teria levado meses. Precisaríamos passar por interrupções de serviço, janelas de manutenção e várias outras etapas antes mesmo de chegar ao ponto em que conseguiríamos visualizar o tráfego para tomar decisões. Com o Guardicore, em vez disso, conseguimos instalar os agentes em todas as nossas máquinas em uma semana, seguindo o processo de implantação. É claro que tivemos que passar por diferentes fases, como acontece em qualquer projeto, mas conseguimos obter visibilidade em muito menos tempo. A partir daí, pudemos começar a implementar políticas e tomar decisões. Passamos a conseguir fazer algo concreto com os dados, que já estavam prontamente disponíveis. Acho que isso tem sido muito útil e acredito que provavelmente seja a direção que o setor seguirá.

Como vocês avaliam a contribuição do Akamai Guardicore para implementar o modelo Zero Trust na organização? A solução ampliou a visão de vocês, do ponto de vista operacional, sobre o que é possível fazer com o Guardicore além da proteção do tráfego leste-oeste? Vocês identificaram outros casos de uso ou benefícios da ferramenta além daqueles que buscavam inicialmente?

Sim, com certeza. Quando nos tornamos clientes e começamos a entender os recursos do produto, já tínhamos um plano de projeto para a implantação. Mas, como você mencionou, esse plano foi mudando com o tempo, à medida que ganhamos experiência com o produto e começamos a compreender melhor tudo o que podíamos fazer com ele. Sem entrar em muitos detalhes, algumas aplicações que inicialmente decidimos apenas isolar passaram por uma segunda fase de implantação. Nessa etapa, começamos a analisar sistemas realmente sensíveis, talvez buscando uma solução alternativa para sistemas que já não recebem atualizações de segurança, por exemplo. Também passamos a aplicar regras muito mais rigorosas, baseadas em processos. Com isso, o perímetro de isolamento fica muito menor. Em vez de isolar uma aplicação inteira em determinado ambiente, por exemplo, podemos restringir o isolamento a um único cluster de servidores que não queremos que se comunique com as estações de trabalho, com o servidor de e-mail ou com qualquer outro sistema.

Aproximadamente quantas aplicações vocês estão protegendo atualmente, considerando o estágio atual da implantação?

Estamos com pouco mais de 100 aplicações. E esse número continua crescendo à medida que a organização se expande. A solução definitivamente tornou esse processo muito mais fácil.

Em relação à resposta a incidentes, como vocês avaliam o tempo necessário para compreender e investigar o que aconteceu? A solução ajudou a reduzir o tempo médio de resolução (MTTR) ou a acelerar as investigações na organização?

Sim, com certeza. Nossos analistas do Centro de Operações de Segurança e nossas equipes de resposta a incidentes, das quais Evan e eu também fazemos parte, agora conseguem identificar muito mais rapidamente o que está acontecendo. Com essa visibilidade no nível dos processos, podemos, por exemplo, receber um alerta de XDR relacionado a determinado processo. Mas, em vez de apenas analisar os logs do XDR e tentar juntar todas as informações, também conseguimos verificar com quais sistemas aquela máquina se comunicou nos últimos sete dias. O que exatamente ela estava fazendo? Aquele processo gerou algum tráfego de rede? Isso nos proporcionou um nível adicional de visibilidade que uma ferramenta de XDR talvez não ofereça, ou pelo menos não com a mesma qualidade que o Guardicore.

Do ponto de vista da configuração e da implantação de uma solução de microssegmentação com isolamento de aplicações, com que frequência vocês encontram erros de configuração ou até possíveis atividades maliciosas que poderiam passar despercebidos sem o Akamai Guardicore Segmentation?

Eu diria que encontramos problemas em praticamente todas as aplicações ou a cada duas aplicações analisadas. Nem tudo representa necessariamente um problema de segurança, mas certamente encontramos erros de configuração. Já me deparei com ambos os tipos de problema com bastante frequência. Às vezes, é algo tão simples quanto solicitações enviadas pela porta 80 em vez da 443, ou tarefas de FTP em vez de SFTP sendo executadas em sistemas críticos. Com o GPE, ou até mesmo com os próprios logs, conseguimos identificar essas situações com muita facilidade, inclusive no nível dos processos. A solução também facilita bastante a exportação desses logs de rede e o compartilhamento das informações com os responsáveis pelas aplicações.Assim, podemos atribuir uma tarefa de correção e dizer: "Queremos que esse problema seja corrigido dentro de aproximadamente um mês." Se isso não for possível, pedimos que conversem conosco para avaliarmos o que pode ser feito. Mas a visibilidade, por si só, já nos proporcionou informações extremamente valiosas para identificar e corrigir esses problemas. Acho que podemos encerrar por aqui.

Muito obrigado aos dois pelo tempo de vocês. Agradecemos pela parceria e pela confiança em nossos serviços. E agradecemos também a todos que nos acompanharam de casa.