O Novo Contexto da Gestão da Identidade de Usuários
Em um mundo onde a Transformação Digital – por intermédio das equipes remotas, Cloud e o Bring-Your-Own-Device (BYOD) – tem um impacto cada vez maior para os negócios e para a vida das pessoas, novas ameaças cibernéticas surgem como desafios às organizações. Uma dessas ameaças é o roubo de identidades de usuários, que podem ser obtidas através de ataques phishing ou Engenharia Social, por exemplo.
Segundo o Verizon Data Breach Investigations Report 2019, 29% dos vazamentos de dados envolveram o uso de credenciais roubadas. Ao utilizar essas credenciais para acessar o ambiente da organização, o atacante malicioso pode ficar semanas ou até meses sem ser detectado. Isso porque, apesar de indevido (e até ilegal), o acesso através do usuário e senha roubados pode ser considerado legítimo, sendo que 56% dessas ações maliciosas levaram mais de um mês para serem detectadas.
Atualmente, vivemos uma revolução na abordagem de conectividade de dispositivos: pessoas trabalhando fora do ambiente corporativo, multiplicação de dispositivos conectados e a migração dos dados de estruturas on-premises para Cloud. Diante desse cenário, o Gartner estima que até 2020, haverá mais de 20 bilhões de dispositivos conectados.
Nessa nova realidade, é possível confiar na identidade de usuários ou na integridade desses dispositivos?
Considerando os modelos tradicionais, nos quais os dispositivos estão conectados dentro do ambiente das organizações, as abordagens de segurança foram baseadas nos modelos “Trust, but verify” ou “Confie, porém, verifique”. Nesses modelos, era apenas necessário proteger o perímetro de confiança do ambiente contra ameaças externas. Em alguns momentos, no entanto, tradicionais meios de proteção, como a abordagem usuário e senha, não poderão proteger a infraestrutura da organização de possíveis ameaças, que podem estar dentro do próprio perímetro do ambiente. Assim, considerando os aspectos da Transformação Digital, esse perímetro de confiança não existe mais, e como no caso da confiança, todas as ações devem ser verificadas, mesmo que algo tenha sido requisitado ou realizado por algum usuário teoricamente confiável.
Nesse contexto, o objetivo de uma solução de Gestão de Acesso Privilegiado ou PAM é realizar a gestão de acesso centralizada, a partir do controle, armazenamento, segregação e rastreamento de todas as credenciais de acesso do ambiente. A partir da utilização desse tipo de solução, é possível garantir que o acesso está sendo realizado de fato por um usuário e que este tem permissão para isso. Assim, as abordagens baseadas em Zero Trust surgiram não apenas para assegurar que o acesso é concedido para indivíduos verificados, mas também para verificar se as ações dos usuários estão em conformidade com as políticas de acesso da organização.
Isto posto, quais aspectos e funcionalidades de verificação da identidade de usuários podem ser associados ao Zero Trust?
A primeira dessas funcionalidades é o Single-Sign-On: em ambientes baseados em Zero Trust, é possível aos usuários utilizar uma credencial apenas (ou um provedor de identidade) para autenticar em qualquer aplicação instalada no ambiente. O senhasegura como solução PAM fornece acesso via Single-Sign-On a uma série de dispositivos, incluindo servidores Windows, VMWare, bancos de dados, dispositivos baseados em SSH como Unix, Linux, roteadores e switches e aplicações web. É possível também realizar autenticação no senhasegura por intermédio do usuário configurado em serviços de diretório, como Active Directory e LDAP, além do GoogleID.
Outro aspecto importante associado ao Zero Trust é a autenticação multifator ou MFA. Ao utilizá-la para autenticar ou realizar ações no senhasegura, é possível adicionar uma camada extra de proteção para o usuário. Neste caso, além do usuário e senha, é exigido um código gerado através de token de acesso para a verificação da identidade do usuário.
Como mencionado, não é suficiente apenas verificar a identidade do usuário. É necessária a análise de comportamento através de avaliação e monitoramento contínuos das ações executadas no ambiente para identificar possíveis não conformidades. Nesse contexto, a verificação de acessos anormais, hora de acesso, recursos utilizados são alguns dos aspectos que devem ser considerados para a tomada de decisão em relação ao acesso. Valendo lembrar que os modelos baseados em Zero Trust não envolvem necessária e simplesmente permitir ou bloquear o acesso. É possível definir políticas de identidades, serviços, aplicações, dados e sistemas para funcionários próprios, terceiros e fornecedores.
Na prática, as políticas de acesso podem permitir a realização de ações de “sempre verificar” e “sempre monitorar” para identidades de terceiros e fornecedores. Assim, a política “sempre verificar” pode exigir autenticação com múltiplo fator, por exemplo, enquanto uma política “sempre monitorar” pode exigir auditoria e monitoramento de todas as atividades no ambiente. Já as classificações de funcionários próprios podem ser adaptativas, baseadas no tipo de dado acessado.
O senhasegura permite a análise de sessão de usuário baseada em histórico de comportamento, além da identificação de acessos ou consultas suspeitos por uma série de critérios, como número de acessos em excesso, horário incomum, origem desconhecida ou duração atípica. É possível configurar uma lista de comandos e de comportamentos suspeitos no ambiente de acordo com o nível de risco e, sempre que identificados, alertados e consolidados em um painel gráfico. Assim, o time de Segurança da Informação consegue tomar ações imediatas, caso necessário.
O último aspecto de identidade baseada em Zero Trust é o princípio do privilégio mínimo, que está fortemente associado à gestão de papeis de usuários. O princípio do privilégio mínimo diz que os usuários devem ter apenas as permissões para acessar dados, aplicações e ativos em geral que sejam necessários para as tarefas que exercem. Desta forma, as permissões de acesso de usuários devem ser bem-definidas e cuidadosamente verificadas. O time de Segurança da Informação deve identificar usuários com acessos indevidos e ajustá-los. A partir da definição e configuração de Grupos de Acesso no senhasegura, é possível segregar papéis e configurar acessos pré-aprovados e emergenciais ou, a partir de workflows, com aprovação única ou múltipla, sem que o usuário tenha acesso à senha da credencial.
Com a expansão dos dispositivos móveis, as equipes remotas e a utilização de soluções baseadas em nuvem, as organizações passaram a encarar uma nova realidade: a eliminação do perímetro de segurança e do conceito de ameaças internas e externas. A partir da utilização indevida de privilégios de credenciais, é possível causar danos consideráveis às organizações. Levando em conta as funcionalidades de uma solução PAM, é possível conceder, gerenciar, monitorar, revogar e auditar acessos em sistemas críticos por meio de credenciais privilegiadas.