c4.9 Aplicar acesso zero trust
Use o contexto como fator de autenticação adicional para o acesso sem VPN a aplicações internas: origem de rede, postura do dispositivo (anti-malware em execução/atualizado, SO aprovado) e outros sinais decidem quando permitir o acesso ou exigir verificação adicional. O AWS Verified Access implementa isso.
Guia de implementação
Acesso ciente do contexto, sem VPN
O zero trust reduz o atrito e ao mesmo tempo melhora a segurança avaliando o contexto em cada requisição em vez de confiar em uma localização de rede. Sinais como a origem de rede, a postura do dispositivo (o anti-malware está em execução e atualizado?, o SO está aprovado?) e a configuração da estação de trabalho decidem se permitem o acesso ou exigem verificação adicional como MFA.
AWS Verified Access
O AWS Verified Access fornece acesso seguro e sem VPN a aplicações internas ao: 1. Autenticar com o seu provedor de identidade (por exemplo Okta ou Microsoft Entra ID). 2. Coletar a postura do dispositivo de provedores de confiança como CrowdStrike e Jamf. 3. Combinar os sinais de identidade e de dispositivo com o recurso solicitado em políticas que decidem quando permitir o acesso.
O Verified Access usa o Cedar, uma linguagem de políticas open source otimizada para a avaliação rápida de condições zero trust.
Como se encaixa
Como validar
- Você avalia o contexto (identidade, postura do dispositivo, rede) no acesso a aplicações internas em vez de confiar em uma localização de rede?
- Você exige verificação adicional (como MFA) quando os sinais são anômalos?
- Você usa um serviço de acesso zero trust (como o AWS Verified Access) integrado ao seu IdP e provedores de confiança de dispositivos?
Ameaças atendidas
- Confiar em uma localização de rede (por exemplo "na VPN") permite que um dispositivo comprometido ou uma sessão roubada alcance as aplicações internas; sem verificações de contexto por requisição, não há sinal que dispare a verificação adicional.
Serviços AWS
AWS Verified Access 
AWS IAM Identity Center Preços
Veja os preços do AWS Verified Access.