Noshut

Empresa de Engenharia de Software com Equipas Distribuídas em Três Continentes

ENGENHARIA DE SOFTWARE · MULTINACIONAL

Plataforma SASE de acesso seguro global

Substituição de um modelo de firewall por escritório e por cloud por uma plataforma SASE, com Secure Internet Access para a saída e Secure Private Access para o interior, sob um único conjunto de políticas e uma identidade federada.

O desafio

Políticas de acesso distintas por localização e ambiente

Empresa de engenharia de software com pessoas a trabalhar de vários escritórios, de casa e de outros continentes, e com aplicações distribuídas entre cloud pública e sistemas próprios.

O acesso remoto dependia de uma firewall num único escritório e assentava numa VPN que colocava o utilizador na rede. Cada localização e cada ambiente cloud aplicava a sua própria política, pelo que um conjunto de regras podia estar escrito três ou quatro vezes e o registo de auditoria tinha de ser reunido a partir de outras tantas fontes. A resposta à pergunta "quem pode alcançar a aplicação financeira" dependia do local onde a política era consultada.

A abordagem

SIA para a internet, SPA para o interior e um IdP comum

O Secure Internet Access (SIA) dá a cada dispositivo gerido um caminho de saída inspecionado a partir do Security PoP mais próximo, com inspeção SSL/TLS e verificação de postura do endpoint. O Secure Private Access (SPA) trata tudo o que é interno, terminando num hub NGFW virtual na cloud pública do próprio cliente.

O modelo de acesso privado exige um hub operado pelo cliente. O tenant não termina o acesso privado; estende a rede aos PoPs sobre IPsec e BGP. Todos os quatro PoPs ligam ao hub por uma única ligação de serviço. Um utilizador que aceda a um sistema interno é encaminhado por um overlay cifrado e autorizado ou recusado pela política antes de chegar ao sistema. Os sistemas internos não ficam publicados na internet.

Um fornecedor de identidade (IdP) federado autentica todos os caminhos por SAML. A pertença a um grupo é administrada uma vez e aplica-se ao agente no posto de trabalho, ao portal ZTNA no browser, aos túneis IPsec de acesso remoto e à própria administração do hub, com MFA imposto centralmente.

Principais atividades

A intervenção cobriu o desenho, a implementação e o handover documentado da plataforma completa.

Tenant SASE: localizações de segurança, analítica e gestão de endpoints, perfis de endpoint e Secure Internet Access com inspeção SSL/TLS para a população gerida
Hub NGFW virtual na cloud do cliente: desenho de VPC e de interfaces, tradução de egress, endurecimento, backup e recuperação de desastre testada
Secure Private Access dos quatro PoPs ao hub, sobre uma única ligação de serviço com IPsec e BGP
Túneis IPsec route-based para três escritórios, com trânsito escritório-a-escritório através do hub
VPC peering ao projeto de workloads numa segunda região cloud, e modelo de controlo de acessos para as suas aplicações
Portal ZTNA sem agente e gateway IPsec dial-up para prestadores externos e parceiros
Documentação de handover: relatório as-built e runbook de recuperação de desastre

O resultado

Uma plataforma comum para acesso global

O acesso remoto deixou de depender de um escritório. A firewall que servia de porta de entrada da empresa deixou de estar no caminho de quem trabalha noutra cidade ou noutro continente. Os escritórios passaram a ser localizações comuns na rede, ligadas por IPsec como as restantes.

O acesso a sistemas internos passou a ser específico em vez de genérico. Onde antes uma VPN de acesso remoto colocava a pessoa na rede, o modelo ZTNA concede a grupos identificados o acesso a aplicações identificadas em protocolos identificados — a equipa financeira à aplicação financeira por RDP, a equipa de instalações à aplicação de controlo de acessos por HTTPS, cada equipa de engenharia à sua própria rede de laboratório. Ninguém alcança mais nada, e um dispositivo que falhe a verificação de postura não recebe túnel.

A empresa passou a ter uma identidade fixa na internet. Cada Security PoP apresenta um endereço público dedicado, em vez de uma pool partilhada, e todos são geolocalizados no mesmo país. Como vários clientes e parceiros admitem os engenheiros por endereço de origem e por país, passou a existir um único conjunto de entradas em allowlist, negociado uma vez e independente da localização das pessoas.

Tecnologias