A necessidade e capacidade de enfrentar o desafio com um plano claro
No cenário tecnológico atual, as organizações que gerenciam infraestruturas críticas enfrentam um paradoxo complexo: como aproveitar a agilidade dos ambientes nativos da nuvem e, ao mesmo tempo, manter o controle e a segurança absolutos típicos de uma infraestrutura tradicional isolada ou “air-gap”. Simultaneamente, a intensificação das pressões regulatórias como o GDPR, NIS2 e DORA reforça a necessidade de autonomia digital. Este documento propõe um modelo de governança “logicamente isolado” projetado para enfrentar esse desafio, estendendo os princípios estabelecidos pela AWS e pela IBM para cenários de Knowledge Vault em toda a pilha de aplicativos e seus fluxos de trabalho associados, permitindo que as organizações capturem benefícios nativos da nuvem e, ao mesmo tempo, garantam uma governança completa, autônoma e confiável de seus dados e infraestrutura.
Este modelo de autonomia baseia-se em três requisitos fundamentais que servem de base para o quadro proposto:
- Residência de dados: garantindo controle complete sobre onde as informações são armazenadas, quem pode acessá-las e a estrutura authorized aplicável.
- Autonomia Tecnológica: mitigar o aprisionamento de fornecedores adotando padrões abertos e infraestrutura independente.
- Autonomia Operacional: manter a capacidade de gerenciar serviços digitais de forma independente, livre de interferências de terceiros.
O desafio central continua a ser a tensão entre a agilidade da nuvem e a necessidade de tal autonomia, uma vez que o air hole tradicional – que requer a desconexão física dos sistemas – é muitas vezes incompatível com a natureza dinâmica das modernas aplicações contentorizadas. Consequentemente, a abordagem muda para uma arquitetura logicamente isolada baseada em um modelo de governança full-stack, que substitui barreiras físicas por um perímetro criptográfico robusto e definido por software program. No centro desta inovação está o eBPF, ou Berkeley Packet Filter estendido, uma tecnologia baseada em Linux que permite segurança e observabilidade de alto desempenho e baixo impacto no nível do kernel, transformando efetivamente a infraestrutura em um ambiente que permanece invisível e inacessível a entidades não autorizadas.
Livros de referência
Um exemplo concreto da eficácia desta abordagem é a OpenAI, que adotou a plataforma de rede Isovalent – desenvolvida pela Cilium – como padrão para sua pilha Kubernetes. Essa escolha forneceu à OpenAI uma base unificada para gerenciar filtragem CNI, IPAM e L4/L7, garantindo consistência operacional em ambientes de nuvem e bare-metal.
Vale destacar que a Isovalent foi adquirida pela Cisco em 2024.
Cilium aproveita o eBPF de maneira estruturada e orgânica, traduzindo os recursos brutos do kernel em uma plataforma orquestrada capaz de gerenciar fluxos de dados complexos, criptografia transparente e segmentação de rede com alta eficiência e escalabilidade.
Para uma organização em rápido crescimento, esta uniformidade é essential. Ele oferece suporte à segurança e à conformidade, eliminando a necessidade de tratar cada ambiente como um desafio de rede isolado, simplificando significativamente a solução de problemas para as equipes da plataforma.
O eBPF atua como um catalisador elementary, fornecendo visibilidade profunda e em tempo actual do tráfego de rede e do comportamento dos aplicativos, ao mesmo tempo que permite a aplicação granular e dinâmica de políticas de segurança diretamente no nível do kernel.
Este modelo de governança “Logicamente Air-Gapped” atinge todo o seu potencial operacional através da implementação do “Dwell Defend”. Como um módulo de segurança de tempo de execução, o Dwell Defend eleva a proteção do plano de configuração para o de execução dinâmica. Embora a segmentação e a criptografia definam o perímetro, o Dwell Defend utiliza eBPF dentro do kernel para monitorar, detectar e mitigar ameaças em tempo actual enquanto elas tentam contornar os controles de perímetro. Esta abordagem evolui efectivamente a infra-estrutura de um ambiente meramente “protegido” para um ambiente de “autodefesa”.
Pilha de referência isovalente
Em cenários naked metallic, a solução atinge seu pico, ampliando os recursos do eBPF para fornecer um ambiente logicamente isolado que representa o equivalente digital mais próximo de um airgap físico. Ao eliminar a dependência de hipervisores de terceiros, a empresa alcança “governança” complete por meio de um plano de controle privado e funções de administração de superusuário em toda a pilha de aplicativos. Essa abordagem permite uma redução drástica na superfície de ataque, garantindo que mesmo cargas de trabalho não conteinerizadas se beneficiem de segmentação granular, redes host seguras e proteção ponta a ponta gerenciada com complete autonomia.
Arquitetura de referência
A autonomia digital é, portanto, exercida através da transferência do controle de rede e de segurança para o kernel do sistema operacional. Esta ferramenta permite uma observabilidade profunda sem modificar o código-fonte, um aspecto essencial para demonstrar a conformidade regulatória. A Isovalent, por meio do Cilium Enterprise, amplia esses recursos com criptografia transparente, como WireGuard ou IPsec e Egress Gateways, que forçam o tráfego em direção a pontos de verificação internos, evitando a exfiltração não autorizada e garantindo que informações confidenciais nunca saiam da jurisdição definida.
A Cisco integra o poder de execução do Isovalent com a governança do Cisco Safe Workload para oferecer um modelo de segurança unificado que abrange ambientes conteinerizados, virtualizados e naked metallic. Graças à integração entre o Cilium e sistemas como o SPIRE, a infraestrutura atribui identidades criptográficas exclusivas às cargas de trabalho, eliminando a dependência do IAM proprietário do provedor de nuvem. A integração entre o Hubble e as plataformas analíticas permite o mapeamento de fluxo em tempo actual, permitindo que os operadores identifiquem gargalos ou tentativas de conexão não autorizadas em segundos, reduzindo drasticamente os tempos de resolução.
Para garantir o rigor técnico, este modelo de governação baseia-se em padrões industriais estabelecidos. O modelo está alinhado com padrões globais como NIST SP 800-210, a estrutura de confiança Gaia-X e os requisitos EUCS da ENISA, integrando ambientes de execução confiáveis conforme recomendado pelo Confidential Computing Consortium.
Concluindo, a autonomia digital não representa um estado estático, mas um processo contínuo de controle, confiança e resiliência. Ao adotar uma mentalidade de “presunção de violação” e aproveitar o poder combinado do eBPF e das ferramentas de governança da Cisco, as empresas podem abraçar a inovação com confiança, mantendo ao mesmo tempo a autonomia rigorosa necessária para proteger a infraestrutura crítica de forma transparente e escalável.