A identidade tem sido considerada por muito tempo um pilar da cibersegurança, mas sua capacidade de se sustentar sozinha está diminuindo. À medida que os atores de ameaças utilizam cada vez mais IA e técnicas sofisticadas de phishing, a abordagem tradicional de simplesmente verificar a identidade do funcionário está se mostrando insuficiente. O aumento de SaaS, políticas de BYOD e modelos de trabalho híbrido significam que uma credencial válida não equivale mais automaticamente a uma conexão segura. ## O Ponto Cego Pós-Autenticação Embora a autenticação multifator (MFA) tenha sido projetada para preencher essa lacuna, os kits de phishing modernos agora permitem que os atacantes interceptem e façam proxy da autenticação em tempo real, roubando tokens de sessão mesmo após a conclusão bem-sucedida da MFA. A vítima completa sem saber todas as verificações de segurança, enquanto o atacante obtém acesso com um cookie de sessão válido. **NIST Special Publication 800-207**, a base para a arquitetura Zero Trust, previu esse desafio. Ela enfatiza a necessidade de ir além da confiança implícita após a autenticação inicial e incorporar a postura de segurança do dispositivo nas decisões de acesso. Na prática, muitas organizações ainda tratam a autenticação como um evento único. A identidade é verificada, a MFA é aprovada e uma sessão começa, com a confiança mantida até que o token expire. Criticamente, um token de sessão no navegador de um atacante parece idêntico a um no navegador do usuário, tornando os logs de autenticação tradicionais incapazes de diferenciá-los. ## Onde o Zero Trust Falha Muitas implementações de Zero Trust priorizam a identidade, focando em fortalecer a autenticação, impor MFA, reduzir a dependência de senhas e implementar políticas de login baseadas em risco. A verificação do dispositivo, no entanto, é frequentemente aplicada de forma inconsistente, parando no login ou limitada a fluxos de trabalho baseados em navegador dentro de frameworks de acesso condicional. Protocolos legados, ferramentas de acesso remoto e integrações de API frequentemente herdam confiança implicitamente após a identidade ser estabelecida. Isso cria um modelo de segurança fragmentado. Dispositivos pessoais e de terceiros podem ser controlados de forma frouxa ou totalmente não gerenciados. A confiança da sessão persiste mesmo que a postura do dispositivo se degrade no meio da sessão. Sinais de identidade e sinais de endpoint residem em ferramentas separadas com integração limitada. A identidade é rigorosamente examinada no login, mas o acesso raramente é reavaliado de forma significativa. ## O Dispositivo: A Peça Que Falta Uma senha roubada usada de um laptop controlado por um atacante não deve ser tratada da mesma forma que a mesma senha usada de um endpoint corporativo compatível e criptografado. No entanto, é exatamente isso que acontece quando o acesso é governado unicamente pela identidade. A postura do dispositivo fornece informações críticas que a identidade sozinha não pode. O dispositivo está criptografado? A proteção de endpoint está ativa e atualizada? O sistema operacional está corrigido? A configuração se desviou da política? Este é hardware aprovado? Crucialmente, essas respostas devem permanecer atualizadas durante toda a sessão. Atualizações podem ser atrasadas, a proteção de endpoint pode ser desativada e software não autorizado pode ser instalado. As condições no login não são necessariamente as mesmas das condições posteriores na sessão. A verificação contínua do dispositivo reduz o valor de credenciais roubadas e tokens interceptados, vinculando o acesso não apenas à identidade, mas também a um endpoint confiável e saudável. ## Quatro Princípios para um Modelo Mais Forte Uma abordagem mais robusta combina identidade com verificação contínua do dispositivo. Isso se traduz nas seguintes práticas: 1. **Verificar continuamente o usuário e o dispositivo:** O acesso deve ser condicional à saúde do dispositivo, não apenas à identidade. Ajustes em tempo real nos níveis de confiança devem ocorrer se a proteção de endpoint for desativada ou a criptografia for desligada no meio da sessão. Isso mitiga efetivamente os riscos associados a credenciais roubadas, replay de tokens, fadiga de MFA e endpoints controlados por atacantes. 2. **Vincular o acesso a hardware aprovado:** Implementar controles baseados em dispositivo para registrar hardware confiável e diferenciar entre endpoints corporativos, pessoais e de terceiros. Credenciais válidas usadas de um dispositivo não reconhecido não devem conceder acesso simplesmente porque a MFA foi bem-sucedida. 3. **Aplicar aplicação proporcional:** Evitar controles rígidos que levam a contornos. Uma estratégia de postura madura pode aplicar restrições condicionais, privilégios reduzidos ou períodos de carência com tempo limitado em vez de blocos rígidos. Esse equilíbrio é crucial para equipes híbridas e remotas. 4. **Habilitar remediação de autoatendimento:** Se a confiança estiver ligada à saúde do dispositivo, os usuários precisam de uma maneira de restaurar essa confiança. Correções guiadas para criptografia, atualizações de SO ou proteção de endpoint capacitam os funcionários a resolver problemas de postura sem exigir intervenção de TI ou perda de acesso desnecessária. Soluções como **Specops Device Trust** operacionalizam esse modelo, estendendo as decisões de confiança além da identidade e mantendo a aplicação à medida que as condições mudam. Ele autentica continuamente os usuários e verifica seus dispositivos em plataformas Windows, macOS, Linux e móveis, não apenas no login.  A identidade continua importante, mas não pode mais suportar todo o peso das decisões de acesso sozinha.