Este blog foi publicado pela primeira vez em 2021 e foi atualizado.
A segurança da identidade começa com a autenticação: provar que você é quem diz ser é a primeira etapa da aplicação da segurança organizacional, mas está longe de ser a última. Para muitas organizações, o que acontece após a autenticação é um grande ponto cego. O acesso é provisionado. As contas acumulam permissões. As pessoas mudam de função ou saem. E sem um entendimento claro e continuamente aplicado de quem deve ter acesso a quê, quando e por quê, as lacunas se agravam silenciosamente.
A pandemia quase triplicou o trabalho remoto, levando a um aumento significativo nas solicitações de acesso. Essa escala tornou as lacunas mais difíceis de ignorar. Os hackers invadiram as redes da Colonial Pipeline usando uma conta VPN que não estava mais em uso. Não se tratava de uma exploração sofisticada. Foi uma falha de governança de acesso, e exatamente do tipo que a governança e a administração de identidade (IGA) foi projetado especificamente para evitar. À medida que o trabalho híbrido se torna o padrão, obter a segurança pós-autenticação correta não é mais opcional.
O trabalho híbrido não mudou apenas o local onde as pessoas trabalham. Ele mudou o que as organizações precisam defender. Quando os funcionários acessam recursos corporativos em redes domésticas, cafeterias e espaços de trabalho compartilhados, o perímetro de segurança tradicional deixa de fazer sentido. A questão não é mais “essa pessoa está dentro da rede?”. É “esta pessoa deve ter acesso a este recurso, neste momento, a partir deste contexto?” Essa mudança introduz um conjunto de desafios para os quais a segurança baseada em perímetro nunca foi projetada.
Expansão de acesso
O trabalho remoto aumentou quase da noite para o dia durante a pandemia e, com ele, veio uma enxurrada de novas solicitações de acesso. Os funcionários precisavam de VPNs, aplicativos SaaS, recursos de nuvem e ferramentas de colaboração, muitas vezes tudo ao mesmo tempo. As equipes de segurança provisionaram o acesso rapidamente para manter os negócios em andamento. Mas o acesso que é provisionado rapidamente raramente é revisado com cuidado. O resultado é o desvio de direitos. Usuários acumular permissões de que não precisam mais, em sistemas que as equipes de segurança não conseguem mais ver completamente.
Contas órfãs e inativas
Os invasores não precisam invadir quando uma porta é deixada aberta. Contas inativas, credenciais que ainda existem muito tempo depois de um funcionário ter saído ou mudado de função, são exatamente esse tipo de porta aberta. A violação da Colonial Pipeline é um exemplo bem documentado: os invasores obtiveram acesso por meio de uma conta VPN que não estava mais em uso ativo. Não se tratava de uma exploração sofisticada. Foi uma falha de governança de acesso. E esse caso está longe de ser único.
Acesso de terceiros e de contratados
As forças de trabalho híbridas raramente operam de forma isolada. Os fornecedores, prestadores de serviços e parceiros precisam acessar regularmente os sistemas internos para realizar seu trabalho. Em geral, esse acesso é concedido conforme necessário e raramente é revisado. As organizações acabam com uma longa cauda de credenciais de terceiros que ficam fora dos ciclos normais de provisionamento e revisão, criando exatamente o tipo de confiança implícita que a confiança zero foi projetada para eliminar.
Risco de movimentação lateral
Quando um invasor tem um conjunto de credenciais válidas, a verdadeira questão é até onde ele pode ir. Em ambientes com limites de acesso fracos, a resposta geralmente é: muito longe. O movimento lateral, usando o acesso legítimo para navegar mais profundamente em uma rede, é um dos padrões mais comuns em violações corporativas. A melhor defesa não é uma melhor detecção após o fato. É garantir que mesmo uma conta comprometida não consiga acessar sistemas que não deveria ter tocado.
Lacunas de visibilidade
Não se pode governar o que não se pode ver. Em ambientes híbridos, os dados de identidade raramente estão em um único lugar. Os funcionários se autenticam em sistemas locais, aplicativos em nuvem, ferramentas SaaS e plataformas de infraestrutura, geralmente por meio de diferentes diretórios e controles de acesso. Sem uma visão unificada de quem tem acesso a quê, as equipes de segurança tomam decisões de acesso com informações incompletas, e as revisões de acesso se tornam uma suposição e não um controle confiável.
Equilíbrio entre segurança e privacidade
Obter a segurança correta em um ambiente híbrido significa permitir o acesso, não apenas restringi-lo. O objetivo da governança de identidade não é bloquear tudo, mas sim garantir que as pessoas certas tenham o acesso certo sem criar atritos para aqueles que estão fazendo exatamente o que deveriam fazer. Esse equilíbrio exige que a política, a automação e a governança trabalhem juntas, e não apenas restrições mais rígidas.
Um programa maduro de governança de identidade aborda esses desafios criando segurança diretamente na forma como o acesso é concedido, monitorado e revogado. Os principais componentes incluem:
- Governança e administração de identidade (IGA). A camada fundamental. A IGA define quem deve ter acesso a quê, automatiza o provisionamento e o desprovisionamento e cria um registro auditável de cada decisão de acesso.
- Controle de acesso baseado em função (RBAC). Atribuição de permissões com base na função do trabalho e não na negociação individual. O RBAC limita o raio de ação de qualquer conta comprometida e torna as revisões de acesso significativamente mais rápidas.
- Revisões contínuas de acesso. Certificações periódicas que verificam se os direitos atuais ainda correspondem às responsabilidades atuais do trabalho, detectando o aumento de privilégios antes que ele se torne uma responsabilidade.
- Desprovisionamento automatizado. A revogação instantânea do acesso quando os funcionários saem, mudam de função ou ficam off-line elimina o risco de contas inativas que possibilitou a violação da Colonial Pipeline.
- Detecção de anomalias e análise comportamental. Identificação de padrões de acesso incomuns que podem indicar uma credencial comprometida ou uma ameaça interna, mesmo quando o login em si parece legítimo.
- Acesso à rede de confiança zero (ZTNA). Substituir a confiança implícita baseada na localização da rede pela verificação contínua da identidade, da integridade do dispositivo e do contexto antes de conceder acesso a qualquer recurso.
A criação de um programa maduro de governança e administração de identidade (IGA) começa com a compreensão e o fechamento da lacuna pós-autenticação. A IGA oferece a segurança pós-autenticação de que as empresas atuais precisam para manter a produtividade e, ao mesmo tempo, garantir a segurança.
Isso significa fornecer às equipes de segurança as ferramentas para automatizar as decisões de acesso, revelar anomalias e controlar o plano de identidade na escala exigida pelo trabalho híbrido.
Na prática, isso se parece com isso:
- Entender o que acontece quando um pen-tester consegue obter acesso e se mover lateralmente em uma rede corporativa e como a IGA pode limitar esse tipo de movimento.
- Avaliar se a identidade centrada no usuário ainda é uma possibilidade e como ela se alinha com a IGA.
- Usar o controle de acesso baseado em funções para autenticar usuários, sistemas, aplicativos e dados de forma precisa o suficiente para proteger a empresa sem torná-la mais lenta.
O RSA ID Plus pode oferecer suporte a usuários em vários ambientes, inclusive em configurações na nuvem, híbridas e locais. Saiba mais sobre a solução ou Inicie sua avaliação gratuita do ID Plus agora.
IGA é o conjunto de políticas, processos e ferramentas que as organizações usam para gerenciar identidades digitais e controlar o acesso a sistemas e dados. Ela vai além da autenticação para controlar o que os usuários realmente têm permissão para fazer quando estão dentro de uma rede.
Confiança zero pressupõe que nenhum usuário ou dispositivo é inerentemente confiável. A IGA operacionaliza isso aplicando o acesso com privilégios mínimos, automatizando as revisões de acesso e avaliando continuamente se uma determinada identidade ainda deve ter acesso a um determinado recurso.
O trabalho híbrido aumenta drasticamente o número de solicitações de acesso, pontos de entrada remotos e combinações de direitos que uma organização precisa gerenciar. Sem a IGA, essa complexidade cria lacunas que podem ser exploradas pelos invasores, incluindo contas inativas, funções com excesso de provisionamento e acesso de terceiros não revisado.
Movimento lateral é quando um invasor usa uma conta comprometida para navegar mais profundamente em uma rede. A IGA limita isso impondo limites rígidos de acesso, de modo que, mesmo que uma conta seja comprometida, o invasor não poderá acessar sistemas ou dados fora do escopo autorizado dessa conta.
