Por que Zero Standing Privileges é uma Abordagem Melhor para Privileged Access

Os direitos de administrador são uma faca de dois gumes: Enquanto os profissionais de TI precisam de direitos elevados para realizar suas tarefas, esses privilégios podem ser mal utilizados pelos próprios administradores — assim como abusados por adversários que comprometeram suas contas.

O primeiro passo na defesa contra esses riscos é bastante direto: Reduzir o número de contas de administrador negando direitos de administrador local aos usuários de negócios. Embora os usuários frequentemente resistam a essa medida, eles geralmente não precisam de direitos de administrador local para realizar suas tarefas, e remover esses direitos limita o poder que os adversários ganharão ao tomar conta de suas contas. Por exemplo, eles não serão capazes de instalar keyloggers ou executar malware.

Mas isso deixa todas as outras contas altamente privilegiadas no ambiente de TI, que representam um risco ainda maior. Essas contas concedem direitos que seus proprietários realmente precisam para desempenhar suas funções atribuídas, como ajustar configurações de infraestrutura, criar contas para novos funcionários ou redefinir senhas de usuários. Portanto, as organizações não podem simplesmente revogar esses direitos elevados da mesma maneira que removem direitos de administrador local; elas também precisam de um mecanismo para fornecer privilégios elevados quando necessário.

Uma abordagem eficaz para resolver esse desafio é o zero standing privileges (ZSP). O ZSP substitui contas privilegiadas arriscadas por acesso temporário, just-in-time. Este artigo explica como o ZSP funciona e como ele supera os desafios inerentes às abordagens tradicionais de Privileged Access Management (PAM).

Por que as soluções tradicionais de Privileged Access Management deixam uma grande área de superfície de ataque

Soluções tradicionais de Privileged Access Management são projetadas para ajudar organizações a proteger contas com direitos de acesso elevados. Organizações tipicamente possuem dezenas ou até centenas dessas contas. Soluções tradicionais de PAM geralmente armazenam as credenciais das contas privilegiadas em um cofre de senhas. Indivíduos autorizados então retiram suas credenciais diariamente para obter acesso administrativo aos sistemas que gerenciam, como um banco de dados específico ou sistema como Active Directory.

No entanto, tentar controlar rigorosamente o acesso privilegiado usando técnicas tradicionais de Privileged Access Management (PAM) como um cofre de senhas deixa um grande risco de segurança. Quando contas poderosas existem o tempo todo, esses privilégios permanentes estão sempre vulneráveis a serem mal utilizados por seus proprietários ou tomados por atacantes.

Além disso, mesmo que existam controles de acesso robustos, estes tendem a acumular muito mais direitos do que são realmente necessários. Como resultado, estão maduros para o uso indevido por seus proprietários e a tomada por adversários. De fato, as credenciais de administração são um alvo principal de atores maliciosos porque eles permitem que ganhem acesso privilegiado a dados sensíveis, sistemas e outros recursos críticos de TI.

O que são Zero Standing Privileges?

Privilégios zero permanentes é uma abordagem moderna ao Privileged Access Management que supera as limitações das ferramentas tradicionais. O objetivo é reduzir o número de contas com privilégios elevados para o mais próximo de zero possível. Em vez disso, o acesso privilegiado é concedido apenas quando necessário, dimensionado precisamente para a tarefa em questão e removido automaticamente logo em seguida. Como resultado, uma estratégia de ZSP permite reduzir significativamente a superfície de ataque e diminuir o risco de data breaches e interrupções nos negócios. E ao controlar rigorosamente o acesso privilegiado, as ferramentas de ZSP são um componente valioso em um modelo de cibersegurança Zero Trust.

O papel de um caixa em um negócio de varejo fornece uma analogia útil. Na maior parte do tempo, a caixa registradora permanece trancada. Ela se abre apenas quando uma transação exige que o caixa acesse-a. Uma vez que a transação é concluída, a gaveta tranca novamente automaticamente. Assim como no ZSP, não há um botão sempre disponível que o caixa possa pressionar para abri-la quando desejar.

ZSP Example

Para ver como o ZSP funciona, vamos acompanhar o que acontece quando um administrador chamado Alex precisa obter acesso privilegiado a um recurso de TI sensível para realizar uma tarefa atribuída:

1. Alex envia um pedido detalhando a tarefa e quais privilégios são necessários para completá-la.
2. Quando o pedido é aprovado, a solução ZSP cria uma identidade temporária com apenas os privilégios suficientes para realizar a tarefa.
3. A tarefa é realizada interativamente por Alex (por exemplo, usando RDP para um servidor) ou pelo sistema em seu nome (por exemplo, reiniciando um servidor).
4. Quando a tarefa estiver concluída, a identidade temporária é excluída automaticamente.

Elementos-chave do ZSP

Como o exemplo ilustra, o modelo ZSP é baseado em fornecer acesso limitado por um período limitado de tempo. Consequentemente, as ferramentas ZSP devem oferecer tanto acesso just-in-time (JIT) quanto privilégio apenas suficiente (menor privilégio).

• Acesso JIT — Os usuários não possuem contas privilegiadas permanentes. Em vez disso, eles recebem o direito de acesso elevado quando necessário, e apenas pelo tempo necessário para realizar a tarefa específica.
• Privilégio estritamente necessário — O princípio do menor privilégio dita que cada conta receba apenas os direitos de acesso necessários para as tarefas designadas. As soluções ZSP devem respeitar esse princípio durante a provisão JIT de privilégios e conceder ao usuário apenas os direitos de acesso de que ele precisa para as aplicações específicas, sistemas ou outros recursos de TI necessários para a tarefa em questão.

Capacidades adicionais valiosas de ZSP

As soluções avançadas de ZSP oferecem capacidades adicionais valiosas, como:

• Fluxos de trabalho de solicitação e aprovação — Na maioria dos casos, uma solicitação para uma sessão privilegiada deve ser revisada pelo pessoal apropriado, que pode aprová-la ou negá-la. Fluxos de trabalho automatizados simplificam esse processo e, portanto, podem ser vitais para a aceitação e adoção da solução.
• Monitoramento de sessão em tempo real — O monitoramento contínuo da atividade privilegiada é essencial para a detecção e mitigação em tempo real de comportamentos suspeitos, erros e outras ações potencialmente prejudiciais.
• Gravação e reprodução de sessões — Ser capaz de revisar gravações de sessões é inestimável para investigações e responsabilidade individual. E ter um registro de auditoria abrangente da atividade privilegiada pode ser necessário durante auditorias de conformidade.

Como a Netwrix pode ajudar

A solução de Privileged Access Management (PAM) da Netwrix capacita você a implementar as melhores práticas de PAM e mitigar os riscos associados ao acesso privilegiado. Esta solução PAM de ponta identificará privilégios permanentes e os substituirá por acesso pontual e na medida certa. Ela também fornece fluxos de trabalho automatizados de solicitação/aprovação e permite que você monitore, registre e reproduza sessões privilegiadas para que possa interceptar ameaças antes que elas se intensifiquem. Além disso, seu conjunto abrangente de recursos de última geração são uma parte valiosa de uma estratégia Zero Trust mais ampla.