How segmented is my network?

Este artigo propõe e valida estatisticamente uma nova métrica chamada "segmentedness" para quantificar o grau de segmentação de uma rede, demonstrando que uma amostra mínima de 97 pares de nós é suficiente para estimar essa medida com precisão e intervalos de confiança confiáveis, independentemente do tamanho total da rede.

O essencial

Imagine que a sua rede de computadores é como uma cidade gigante.

Nessa cidade, existem milhões de casas (os computadores) e ruas que as conectam. O objetivo de segurança é garantir que, se um ladrão entrar em uma casa, ele não consiga correr livremente por toda a cidade para roubar tudo. Para isso, a cidade é dividida em bairros, e colocamos portões e guardas nas entradas desses bairros. Isso é o que chamamos de "segmentação de rede".

O problema é que, até agora, os "prefeitos" (os profissionais de segurança) não tinham uma régua para medir o quão bem protegida estava a cidade. Eles diziam: "Acho que estamos bem protegidos" ou "Olhe o mapa, parece seguro". Mas isso é apenas um palpite.

Este artigo, escrito por Rohit Dube, apresenta uma nova régua matemática chamada "Segmentedness" (que vamos chamar de Índice de Segregação).

Aqui está a explicação simples de como funciona:

1. O Conceito: Quantos Portões Estão Fechados?

O autor diz que não precisamos saber onde exatamente estão os portões ou como eles são construídos. O que importa é uma pergunta simples:

"Se eu escolher dois prédios aleatórios dessa cidade, qual a chance de eles não conseguirem se comunicar diretamente?"

• Cidade Plana (Péssima Segurança): Se todos os prédios têm uma porta aberta para todos os outros, a cidade é "plana". O ladrão pode ir de qualquer lugar para qualquer lugar. O Índice de Segregação é 0.
• Cidade Fortificada (Ótima Segurança): Se os prédios estão isolados e só se comunicam com o vizinho imediato, a cidade é "segmentada". O ladrão fica preso no primeiro prédio. O Índice de Segregação é 1 (ou 100%).

2. A Mágica: Você não precisa contar tudo!

O maior problema de medir isso em uma cidade grande (uma rede com 100.000 computadores) é que existem trilhões de pares de prédios possíveis. Testar todos seria impossível.

A grande descoberta deste artigo é que você não precisa testar tudo.
É como fazer uma pesquisa de opinião para uma eleição. Você não precisa perguntar a 10 milhões de eleitores qual é a intenção de voto; você pergunta para 97 pessoas escolhidas aleatoriamente e consegue saber o resultado com muita precisão.

O artigo prova matematicamente que, para saber o nível de segurança da sua rede com 95% de certeza, você só precisa testar 97 pares de computadores aleatórios.

• Se 97% desses pares não conseguem se comunicar, sua rede é muito segura.
• Se 97% conseguem se comunicar, sua rede é perigosamente aberta.

3. Por que isso é revolucionário?

Antes, medir segurança era como tentar adivinhar o peso de um elefante olhando apenas para a orelha dele. Agora, temos uma balança simples.

• Para Fusões de Empresas: Imagine que duas empresas se fundem. Antes, elas eram dois bairros separados. Agora, eles juntam as ruas. O novo Índice de Segregação vai cair (ficar menor), avisando os guardas: "Ei, os portões estão abertos demais, precisamos fechar alguns!".
• Para Auditoria: Em vez de um auditor dizer "parece seguro", ele pode dizer: "O índice de segregação subiu de 0,3 para 0,5 este ano. Estamos melhorando".
• Para o "Zero Trust": É o conceito de "nunca confiar, sempre verificar". Esse índice mostra exatamente o quão bem essa filosofia está funcionando na prática.

4. As Limitações (O "Mas...")

O autor é honesto sobre as limitações:

• É uma foto, não um filme: A medida diz se os portões estão fechados, mas não se alguém está tentando forçá-los agora.
• Não vê a arquitetura: Ela não diz se a cidade tem um buraco no muro (uma falha específica), apenas diz que, em média, a cidade está bem murada.
• Amostragem: Se você escolher as 97 pessoas erradas (por exemplo, só testar prédios do mesmo bairro), a medida pode estar errada. Por isso, a escolha deve ser totalmente aleatória.

Resumo em uma frase

Este artigo nos dá uma ferramenta simples e rápida para medir o quão "fechada" e segura está a nossa rede de computadores, transformando um conceito complexo de segurança em um número fácil de entender, que pode ser medido testando apenas 97 conexões, independentemente de quão grande seja a rede.

É como ter um termômetro para a saúde da sua rede: antes, você só podia "sentir" se estava doente; agora, você pode ver a temperatura exata.

Resumo técnico

Aqui está um resumo técnico detalhado do artigo "How segmented is my network?" de Rohit Dube, apresentado em português:

Título: How segmented is my network? (Quão segmentada está a minha rede?)

Autor: Rohit Dube (Pesquisador Independente, Califórnia, EUA)

---

1. O Problema

A segmentação de rede é uma prática de segurança fundamental para limitar o movimento lateral de atacantes e reduzir o impacto de violações. No entanto, a indústria carece de uma métrica quantitativa, confiável e repetível para medir o grau real de segmentação de uma rede.

• Limitações Atuais: As avaliações atuais são predominantemente qualitativas (diagramas de arquitetura, revisões de políticas, julgamento de especialistas) ou baseadas em modelos de ameaça específicos (como o LMSk ou índices de risco de ataque).
• A Lacuna: Não existe um "escalar" (um único número) interpretável que responda objetivamente à pergunta: "Quão segmentada é a minha rede?". Isso impede que as organizações comparem a segurança entre diferentes unidades de negócio, validem melhorias em arquiteturas ou justifiquem investimentos em segmentação com dados concretos.

2. Metodologia e Definição Formal

O autor propõe modelar a rede como um grafo não direcionado $G = (V, E)$, onde $V$ são os nós (sistemas finais) e $E$ são as arestas (comunicações permitidas pela política de segurança).

• Definição de "Segmentedness" (Segmentação):
  O artigo define a Segmentedness ($S$) como o complemento da densidade de arestas (Flatness, $F$).

  • Flatness ($F$): A fração de pares de nós possíveis que têm comunicação permitida.
    $$F(G) = \frac{|E|}{\binom{n}{2}}$$
  • Segmentedness ($S$): A fração de pares de nós possíveis que têm comunicação negada pela política.
    $$S(G) = 1 - F(G)$$
  • Interpretação: $S$ representa a probabilidade de que dois nós escolhidos aleatoriamente não possam se comunicar diretamente.
  • Propriedades: A métrica é normalizada (0 a 1), invariante de escala (funciona para redes de qualquer tamanho) e estruturalmente neutra (depende apenas do número de conexões permitidas, não de como elas estão arranjadas).

• Método de Estimativa Empírica:
  Como enumerar todos os pares de nós em grandes redes corporativas é inviável, o autor propõe uma estimativa baseada em amostragem aleatória:

  1. Selecionar aleatoriamente $M$ pares de nós distintos.
  2. Realizar um teste de conectividade (suíte de testes: ICMP, TCP, UDP) para cada par.
  3. Calcular a estimativa de flatness ($\hat{F}$) como a proporção de pares conectados.
  4. A estimativa de segmentação é $\hat{S} = 1 - \hat{F}$.

• Garantias Estatísticas:
  O método utiliza intervalos de confiança de Wald. O autor demonstra que o tamanho da amostra necessário não depende do tamanho total da rede ($n$), mas apenas da precisão desejada e do nível de confiança.

  • Para um intervalo de confiança de 95% com uma margem de erro de $\pm 0.1$, é necessário um mínimo de $M = 97$ pares amostrados, independentemente se a rede tem 1.000 ou 100.000 nós.

• Caso de Borda (Zero Conectividade):
  Para redes altamente segmentadas onde a amostra pode não encontrar nenhuma conexão ($k=0$), o método de Wald falha (gerando intervalo de confiança de largura zero). O autor propõe uma abordagem Bayesiana (distribuição Beta-Binomial) com um prior conservador para fornecer um limite superior de incerteza realista.

3. Principais Contribuições

1. Primeira Métrica Escalar Estatisticamente Fundamentada: Introdução da "Segmentedness" como uma métrica quantitativa para isolamento de rede, independente de modelos de ameaça específicos.
2. Estimador Normalizado e Independente de Tamanho: Demonstração de que a precisão da medição não escala com o tamanho da rede, tornando a medição viável para redes massivas.
3. Guia de Implementação Prática: Definição de um procedimento operacional claro (amostragem, testes de conectividade, cálculo estatístico) que não requer infraestrutura especializada ou aprendizado de máquina.
4. Validação Rigorosa: O estimador foi testado em:
   • Redes sintéticas (Modelo Erdős-Rényi).
   • Redes com estrutura de comunidades (Stochastic Block Models).
   • Dados reais de redes empresariais (Cisco Secure Workload).

4. Resultados

• Precisão: As simulações de Monte Carlo mostraram que o estimador é não tendencioso (unbiased) e que os intervalos de confiança de 95% têm uma cobertura empírica próxima do nominal (0.95) em diversos modelos de rede.
• Eficiência de Amostragem: Confirmou-se que apenas 97 pares de nós são suficientes para obter uma estimativa robusta com margem de erro de 10%, mesmo em redes com milhões de conexões possíveis.
• Aplicabilidade Real: Ao aplicar o método aos dados da Cisco, o estimador conseguiu capturar com precisão a densidade de arestas de redes reais, validando sua utilidade em ambientes corporativos complexos.
• Correlação com Outras Métricas: A análise comparativa (Apêndice A) mostrou baixa correlação entre a "Segmentedness" (baseada em densidade) e outras métricas de grafos como o Valor de Fiedler (conectividade algébrica) ou Modularidade, indicando que a métrica proposta captura uma dimensão distinta e fundamental da segurança (permissividade global).

5. Significado e Aplicações

O trabalho transforma a segmentação de rede de um conceito qualitativo para uma disciplina baseada em dados. As aplicações práticas incluem:

• Rastreamento de Tendências: Monitorar a evolução da segmentação ao longo do tempo (ex: trimestralmente) para detectar "drift" de políticas ou degradação da segurança.
• Avaliação de Zero Trust: Fornecer uma prova quantitativa do progresso na implementação de arquiteturas Zero Trust (aumento do valor de $S$).
• Integração de Fusões e Aquisições: Medir o impacto de segurança ao integrar redes de diferentes empresas, garantindo que a consolidação não crie uma rede excessivamente "plana".
• Benchmarking: Permitir que organizações comparem seus níveis de isolamento com padrões setoriais (ex: setor financeiro vs. educação).

Conclusão

O artigo oferece uma ferramenta prática e estatisticamente sólida para que profissionais de segurança possam responder objetivamente à pergunta sobre o nível de segmentação de suas redes. Ao reduzir a complexidade a um único escalar com intervalos de confiança definidos, permite que as organizações tomem decisões de segurança baseadas em dados, validem investimentos e gerenciem riscos de movimento lateral de forma mensurável.