Estudo de caso — Rede zero-trust
Uma rede zero-trust privada abrangendo três datacenters de produção. Cada endpoint isolado no seu próprio segmento. Agentes de IA monitorando cada fluxo, vinte e quatro horas por dia — enquanto o time do cliente dorme.
O problema
"VPNs tradicionais entregam acesso amplo demais — uma credencial comprometida e o atacante anda livre pela rede inteira. A maioria das invasões não é barrada no perímetro; é descoberta semanas depois numa auditoria forense, muito depois do estrago feito. A questão não é se você vai ser invadido — é se a sua rede consegue conter e responder antes que você sequer perceba."
| Dimensão | VPN tradicional / rede plana | Rede zero-trust X402 |
|---|---|---|
| Contenção de invasão | Uma credencial comprometida = acesso total à rede | ~1.000 segmentos isolados — invasão fica contida em um único segmento |
| Movimento lateral | Livre após cruzar o perímetro | Estruturalmente impossível entre segmentos — por design |
| Modelo de acesso | Acesso amplo a todos os recursos da VPN | Cada endpoint autentica para cada recurso, toda vez |
| Resposta a ameaças | Time de segurança humano precisa estar acordado 24/7 | Agentes de IA isolam endpoints comprometidos em segundos, a qualquer hora |
| Criptografia em repouso | Opcional, inconsistente, frequentemente ignorada | LUKS em todos os servidores — sem exceção |
| Failover | Chaveamento manual para DR, muitas vezes não testado até precisar | Ativo-ativo: se um datacenter cair, cada túnel continua automaticamente |
Cada ponto é um endpoint. Cada cluster é um segmento isolado. Quando a IA detecta uma ameaça, veja o que acontece.
Profundidade técnica
A rede de cada cliente é dividida em um catálogo de segmentos isolados. Um atacante que compromete um endpoint fica contido estruturalmente — não enxerga absolutamente nada fora do seu segmento. O raio de impacto é desenhado antes do deploy, não descoberto na análise pós-incidente. Multi-tenant: várias organizações compartilham a infraestrutura com fronteiras criptográficas rígidas entre elas.
Todos os servidores da rede rodam com criptografia de disco completo — LUKS no Linux, criptografia nativa no Windows. Se uma máquina for fisicamente removida de um datacenter, os dados nela são ilegíveis. Criptografia em repouso não é um campo de checkbox aqui — é estrutural e verificada. Combinado com túneis criptografados em trânsito, os dados estão protegidos ponta a ponta e no dispositivo.
A rede abrange dois datacenters primários em configuração ativo-ativo: os dois lidam com carga de produção total simultaneamente. Se um ficar fora do ar — energia, rede, hardware — o outro continua com cada túnel ativo, sem intervenção manual. Um site de DR dedicado em continente separado está pronto para ativar se os dois primários forem afetados. Continuidade é automática, não um procedimento de recuperação.
Agentes de IA inspecionam cada fluxo da rede em tempo real — detectando ataques de credential spray, sinalizando tentativas de movimento lateral, capturando padrões de exfiltração. Quando o agente de egresso confirma um comprometimento, coloca o endpoint em quarentena e avisa o responsável imediatamente, antes que a invasão se propague. Egresso BYOIP significa que o tráfego de saída carrega o espaço de IPs do próprio cliente — totalmente rastreável, sem reputação compartilhada.
O que entrega
Bora falar de segurança?
A maioria das empresas descobre que a rede plana era um problema durante a auditoria pós-invasão — tarde demais. A gente projeta para o pressuposto de que endpoints vão ser comprometidos, e constrói a partir daí. Nos conta como é a sua rede hoje; a gente mostra onde estão as brechas.