Netwrix Innovation Week: inovações em segurança de identidades

Algumas pequenas alterações de configuração, como uma política de acesso condicional afrouxada ou um atributo de usuário editado, podem transformar uma conta de administrador do Entra ID comprometida em acesso de longo prazo. As alterações mantêm a MFA ativada e nada parece quebrado, por isso são fáceis de passar despercebidas. Detectá-las, junto com as configurações de risco e as contas de serviço ao redor, foi o foco das nossas equipes de produto nas atualizações mais recentes do Netwrix Threat Manager e do Netwrix PingCastle.

Em uma conversa recente com Joe Dibley, gerente sênior de produto do PingCastle, nos aprofundamos em como os invasores abusam do Entra ID, como as equipes podem ter visibilidade das contas de serviço e como os dois produtos estão respondendo.

Explore todas as conversas da Innovation Week para ouvir líderes da Netwrix e especialistas do setor falarem sobre segurança de dados e identidades.

Novas detecções do Entra ID no Netwrix Threat Manager

As detecções que estamos adicionando ao Threat Manager incluem alterações nas regras que governam o Entra ID, como tempos de vida de token mais longos, auditoria reduzida e funções personalizadas que podem criar backdoors. Essas alterações são um punhado de eventos em um volume muito grande de logs, então é prático monitorá-las. Ao todo, vamos adicionar mais de 30 ao longo dos próximos trimestres, em quatro áreas: adulteração de controles, escalonamento de privilégios e persistência, ataques a credenciais e alterações em aplicativos e identidades de carga de trabalho.

A injeção em grupos dinâmicos, uma das técnicas menos comuns do conjunto, mostra como é fácil deixar passar alterações como essa. Os grupos dinâmicos adicionam membros automaticamente com base em um atributo da conta, então um invasor com acesso de edição a uma conta pode, por exemplo, definir o departamento como financeiro, entrar no grupo financeiro e herdar tudo o que vem com ele. O grupo em si nunca muda, então nenhuma etapa de aprovação é executada. O Threat Manager já enxerga a alteração do atributo, e planejamos aprimorá-lo para reconhecer quando essa alteração corresponde a uma regra de grupo dinâmico de um grupo ou função sensível.

Um painel de contas de serviço no Threat Manager

Nos ambientes com que trabalhamos, as contas de serviço costumam ter privilégios excessivos e ficar fora da MFA por não serem usuários humanos. Muitas vezes funcionam com senhas que nunca expiram e, como se autenticam de forma programática, seus logins recebem menos atenção do que os de uma pessoa.

O novo painel de contas de serviço do Threat Manager oferece às equipes uma visão única de todas as contas de serviço do ambiente, com acesso rápido a atividade recente, ameaças e tipos de criptografia fracos. Nós as identificamos de fábrica, e as equipes podem adicionar as que deixarmos passar por convenção de nomenclatura ou unidade organizacional.

Hoje o painel cobre contas locais, mas contas de serviço existem igualmente no Entra ID. A versão mais recente já identifica identidades de agentes lá, e planejamos estender o painel ao Entra ID para que service principals, identidades de agentes e outras identidades não humanas apareçam em uma única visão.

O PingCastle 4.0 adiciona uma avaliação de riscos do Entra ID

A nova avaliação cobre 102 riscos, com o objetivo de igualar a nossa avaliação do Active Directory. A cobertura inclui configurações híbridas, como contas de sincronização de diretório com privilégios estendidos, além de configurações de consentimento do usuário, métodos de MFA, links de compartilhamento do SharePoint e configuração do Azure Key Vault.

Cada risco tem seu próprio arquivo de definição, de modo que nossa equipe de pesquisa de ameaças pode criar protótipos em JSON, e os clientes podem ver como um risco muda entre versões, editá-lo ou lançar os seus próprios.

A pesquisa de ameaças por trás dos dois produtos

Os dois produtos se baseiam na mesma fonte. Nossa equipe de pesquisa de ameaças estuda ataques reais e as técnicas usadas contra o Entra ID, e Joe e eu trabalhamos com a equipe regularmente para priorizar o que entra nas próximas versões.

Nossa newsletter de pesquisa de segurança, a Threat Lab Quarterly, é uma forma de acompanhar esse trabalho. Cada edição cobre o que a equipe está monitorando e o que isso pode significar para os defensores. A primeira edição já está no ar.

Innovation Week na Netwrix

Netwrix Innovation Week acontece de 19 a 23 de outubro e reúne especialistas técnicos e defensores para análises aprofundadas de segurança de identidade e de dados. A semana inclui entrevistas em vídeo, demonstrações, transmissões ao vivo, um painel de especialistas e um desafio capture the flag baseado em IA.