Faça esta pergunta ao seu fornecedor de PAM

Aqui está um teste que você pode fazer em cerca de cinco minutos. Abra no seu diretório uma conta privilegiada que foi usada em uma sessão ontem. A conta ainda existe? Ela ainda mantém as mesmas associações a grupos privilegiados que tinha ontem? Eu apostaria que a resposta para as duas perguntas é sim.

Isso não é uma crítica à sua ferramenta de PAM. É exatamente o que a rotação tradicional de credenciais foi criada para fazer e, mais importante, o que ela nunca foi projetada para fazer.

Entendo por que a rotação se tornou a resposta padrão no nosso setor. É simples de explicar para um conselho, simples de auditar e, por anos, se encaixou perfeitamente nas exigências de conformidade. Mas até o NIST já superou isso. NIST SP 800-63B agora recomenda explicitamente evitar trocas periódicas e arbitrárias de senha, defendendo a rotação apenas quando há evidência de comprometimento. “Rotacionamos todas as credenciais privilegiadas após o uso” parece responsável, mas não é o quadro completo. Quando uma sessão termina e a senha é rotacionada, a conta e o seu acesso permanente continuam lá.

O que aconteceria se um invasor encontrasse essa conta? A senha é a menor parte do problema. Na maioria das contas que vi ao longo dos anos, o invasor nem precisa dela, porque a conta ainda se autentica por meio de certificados ou tokens que nunca foram rotacionados e continua com todas as associações a grupos privilegiados que sempre teve. Existem muitos caminhos para uma conta privilegiada que nada têm a ver com a senha.

Nada disso aparece na auditoria. Quando uma sessão termina e a senha é rotacionada, a conta por trás dela permanece exatamente onde estava, com as mesmas associações a grupos e o mesmo acesso permanente. O Relatório de Segurança de Dados e Identidades 2026 da Netwrix constatou que 76% das organizações não conseguem revogar imediatamente o acesso permanente quando ele deixa de ser necessário, e que 64% têm, neste momento, ao menos algum acesso superprovisionado a dados críticos. A rotação não causou esses números, mas também não os resolveu.

A conta só é segura no sentido mais restrito: ninguém pode reutilizar a senha de ontem. Ela é completamente insegura em tudo o que realmente importa para um invasor que não se importa com a senha de ontem. Ele só precisa que a conta ainda exista e ainda tenha privilégios.

Por que o Zero Standing Privilege fecha a lacuna

O Zero Standing Privilege elimina a lacuna que a rotação deixa aberta e é muito menos complicado do que as pessoas imaginam. Quando uma sessão termina, a conta perde todas as associações a grupos que tinha ou deixa de existir por completo. Na Netwrix, nossas contas efêmeras adotam a segunda opção: são criadas na hora para uma tarefa específica e excluídas assim que ela termina. Não sobra nada para ser encontrado, porque literalmente não resta nada no Active Directory.

Essa abordagem não atrapalha a forma como os administradores realmente trabalham. É o que mais aprecio nela, e o que levei um tempo para aprender a confiar depois de abandonar o vaulting tradicional. Você tem acesso total enquanto está na sessão, e nada fica para trás quando você faz logoff.

O problema das identidades não humanas torna tudo isso ainda mais urgente. Contas de serviço e agentes automatizados quase nunca são revisados com regularidade. Ficam ali, privilegiados e esquecidos, até que um scanner automatizado ou um adversário vá procurá-los.

Rotação vs. Zero Standing Privilege: duas filosofias diferentes

Faça esta pergunta ao seu fornecedor de PAM, ou pergunte a si mesmo se conhece bem o bastante a sua configuração atual: depois que uma sessão termina, a conta ainda existe com suas associações a grupos intactas?

Se a resposta for sim, você tem rotação de senhas, mas não tem Zero Standing Privilege. Não são duas versões da mesma ideia. São duas filosofias diferentes sobre o que significa “seguro”.

A rotação pergunta como garantir que uma credencial não possa ser reutilizada. O Zero Standing Privilege pergunta por que a conta deveria existir quando ninguém a está usando. Em essência, a rotação trata o acesso permanente como um risco a ser gerenciado, enquanto o Zero Standing Privilege o trata como um padrão a ser eliminado.

A maioria dos programas de PAM nunca faz essa segunda pergunta, porque a rotação já lhes deu algo para colocar no relatório de auditoria. Mas um relatório de auditoria e uma superfície de ataque vazia não são a mesma coisa. Um relatório de auditoria prova que você fez algo. Uma superfície de ataque vazia prova que não resta nada para ser encontrado.