Security: Elaborar soluções de proteção do acesso privilegiado

Índice

Neste artigo irei abordar a arquitetura de segurança focada no acesso privilegiado. O conteúdo é mais extenso e detalhado, trazendo links para aprofundamento em determinados tópicos e também referências para artigos passo a passo já publicados no Jornada 365.

Protegendo o acesso privilegiado

As organizações devem tornar a proteção de acesso privilegiado a prioridade de segurança máxima devido ao impacto significativo dos negócios potenciais (e alta probabilidade) dos invasores que comprometem esse nível de acesso.

O acesso privilegiado inclui administradores de TI com controle de grandes partes do patrimônio empresarial e outros usuários com acesso a ativos comercialmente críticos.

Proteger o acesso privilegiado efetivamente sela completamente caminhos não autorizados e deixa alguns caminhos de acesso autorizados selecionados protegidos e monitorados de perto. Este diagrama é discutido com mais detalhes no artigo, Privileged Access Strategy.

A criação dessa estratégia requer uma abordagem holística combinando várias tecnologias para proteger e monitorar esses caminhos de escalonamento autorizados usando princípios de Confiança Zero, saiba mais clicando aqui, incluindo validação explícita, privilégio mínimo e assumir violação. Essa estratégia requer várias iniciativas complementares que estabelecem uma abordagem tecnológica holística, processos claros e execução operacional rigorosa para criar e sustentar garantias ao longo do tempo.

O diagrama a seguir resume a estratégia de acesso privilegiado recomendada para criar uma zona virtual isolada na qual essas contas confidenciais podem operar com baixo risco.

Você pode ver nesse outro artigo como configurar um Acesso privilegiado PIM (Previleged Identity Management)

Implementando o PAM (Privileged Access Management)

O PAM (privileged access management) é uma solução de segurança de identidade que ajuda a proteger as organizações contra ameaças cibernéticas, monitorando, detectando e impedindo o acesso privilegiado não autorizado a recursos críticos. O PAM funciona por meio de uma combinação de pessoas, processos e tecnologia e oferece visibilidade sobre quem está usando contas privilegiadas e o que está fazendo enquanto está conectado. Limitar o número de usuários que têm acesso a funções administrativas aumenta a segurança do sistema, enquanto camadas adicionais de proteção reduzem as violações de dados por agentes de ameaças.

Você pode ver nesse outro artigo como configurar o PAM (Privileged Access Management)

O modelo de acesso empresarial

A estratégia de acesso privilegiado faz parte de uma estratégia geral de controle de acesso empresarial. Esse modelo de acesso empresarial mostra como o acesso privilegiado se enquadra em um modelo de acesso empresarial geral.

Normalmente, os aplicativos e os dados armazenam grande parte de uma organização:

Processos de negócios em aplicativos e cargas de trabalho
Propriedade intelectual em dados e aplicativos

A organização de TI corporativa gerencia e dá suporte às cargas de trabalho e à infraestrutura em que estão hospedadas, seja no local, no Azure ou em um provedor de nuvem de terceiros, criando um plano de gerenciamento . Fornecer controle de acesso consistente a esses sistemas em toda a empresa requer um plano de controle com base em sistemas de identidade corporativa centralizados, geralmente complementados pelo controle de acesso à rede para sistemas mais antigos, como dispositivos de tecnologia operacional.

Cada um desses planos tem o controle dos dados e das cargas de trabalho em virtude de suas funções, criando uma via atraente para invasores caso eles possam ter controle de qualquer um dos planos.

Para que esses sistemas criem valor de negócios, eles devem estar acessíveis a usuários internos, parceiros e clientes que usam suas estações de trabalho ou dispositivos (muitas vezes usando soluções de acesso remoto), criando caminhos de acesso do usuário . Eles também devem estar disponíveis programaticamente com frequência por meio de APIs (interfaces de programação de aplicativos) para facilitar a automação do processo, criando caminhos de acesso ao aplicativo .

Por fim, esses sistemas devem ser gerenciados e mantidos pela equipe de TI, desenvolvedores ou outras organizações, criando caminhos de acesso privilegiados . Devido ao alto nível de controle que eles fornecem sobre ativos de negócios críticos na organização, essas vias devem ser altamente protegidas contra o comprometimento.

Gerenciamento de direitos

O Gerenciamento de Direitos é um recurso de governança de identidade que permite que as organizações gerenciem o ciclo de vida de identidade e o acesso em escala, automatizando fluxos de trabalho de solicitação de acesso, atribuições de acesso, revisões e expiração.

Você pode ver nesse outro artigo como configirar um Pacote de Gerenciamento de Direitos.

Os funcionários em organizações precisam acessar vários grupos, aplicativos e sites do SharePoint Online para executar seu trabalho. O gerenciamento desse acesso é desafiador, conforme os requisitos mudam. Novos aplicativos são adicionados ou os usuários precisam de mais direitos de acesso. Esse cenário fica mais complicado quando você colabora com organizações externas. Talvez você não saiba quem na outra organização precisa de acesso aos recursos da sua organização, e eles não saberão quais aplicativos, grupos ou sites sua organização está usando.

O gerenciamento de direitos pode ajudar você a gerenciar com mais eficiência o acesso a grupos, aplicativos e sites do SharePoint Online para usuários internos e também para usuários fora de sua organização que precisam acessar esses recursos.

Por que usar o gerenciamento de direitos?

Ao gerenciar o acesso de funcionários a recursos, as organizações empresariais geralmente enfrentam desafios como:

Os usuários podem não saber qual acesso eles devem ter e, mesmo se souberem, poderão ter dificuldade para localizar os indivíduos certos para aprovar esse acesso
Depois que os usuários localizarem e receberem acesso a um recurso, eles poderão manter o acesso por mais tempo que o necessário para os fins empresariais

Esses problemas são ainda maiores para usuários que precisam de acesso de outra organização, como usuários externos que são de organizações da cadeia de fornecedores ou de outros parceiros empresariais. Por exemplo:

Ninguém consegue conhecer todos os usuários específicos nos diretórios de outras organizações para poder convidá-los
Mesmo que pudessem convidar esses usuários, ninguém nessa organização poderia se lembrar de gerenciar todo o acesso dos usuários de maneira consistente

Revisões de acesso

As revisão de acesso do Microsoft Entra ID, parte do Microsoft Entra, permitem que as organizações gerenciem com eficiência as associações a grupos, o acesso a aplicativos empresariais e a atribuições de função. O acesso do usuário pode ser examinado regularmente para garantir que somente as pessoas corretas tenham acesso contínuo.

Você pode ver nesse outro artigo como configirar uma Revisão de acesso.

Por que as revisões de acesso são importantes?

O Microsoft Entra ID habilita você a colaborar com usuários de dentro da sua organização e com usuários externos. Os usuários podem ingressar em grupos, convidar pessoas, conectar-se aos aplicativos de nuvem e trabalhar remotamente com seus dispositivos pessoais ou de trabalho. A conveniência de usar o autoatendimento levou a uma necessidade de melhores recursos de gerenciamento de acesso.

Conforme novos funcionários ingressam, como garantir que eles tenham o acesso de que precisam para serem produtivos?
Quando as pessoas mudam de equipes ou saem da empresa, como garantir que seu antigo acesso seja removido?
Direitos de acesso excessivos podem levar a comprometimentos.
Eles também podem levar a descobertas em auditorias, pois indicam uma falta de controle sobre o acesso.
Você tem que se envolver proativamente com os proprietários do recurso para garantir que eles revisam regularmente quem tem acesso a seus recursos.

Podemos adicionar uma camada extra de proteção utilizando o Identity Protection. Embora não seja um controle direto de ‘acesso privilegiado’, ele atua como um mecanismo adicional de defesa, aplicando políticas baseadas em risco.

Você pode ver nesse outro artigo como configurar o Identity Protection.

Protegende as estações de trabalho com acesso privilegiado

Todos os usuários e operadores se beneficiam do uso de uma estação de trabalho segura. Um invasor que compromete um PC ou dispositivo pode representar ou roubar credenciais/tokens para todas as contas que utilizam esses recursos, comprometendo muitas ou todas as outras garantias de segurança. Se as contas de administrador ou confidenciais forem comprometidas, os invasores poderão escalar os privilégios e aumentar o acesso que têm na sua organização. Muitas vezes, aumentando drasticamente os privilégios do administrador de domínio, global ou corporativo.

Para expandir o entendimento sobre gestão de privilégios em endpoint, recomendo o excelente artigo de Júlio César Gonçalves Vasconcelos, ‘Intune – Usando o Endpoint Privilege Management para gerenciar privilégios administrativos’, que aborda de forma prática como implementar políticas de elevação de privilégio no Intune.

Em todos os níveis, as políticas do Intune impõem uma boa higiene de manutenção de segurança para as atualizações de segurança. À medida que o nível de segurança do dispositivo aumenta, a superfície invasora é reduzida, preservando o máximo possível a produtividade do usuário. Dispositivos de nível corporativo e especializado permitem aplicativos de produtividade e navegação geral na Web, mas isso não acontece com as estações de trabalho com acesso privilegiado. Usuários corporativos podem instalar os próprios aplicativos, mas usuários especializados não podem (e não são administradores locais de suas estações de trabalho).

Como parte da arquitetura de proteção concentrada nas estações de trabalho, o Intune oferece uma política chamda Account Protection, que unifica configurações críticas como Windows Hello for Business e Credential Guard. Essas políticas auxiliam na proteção de credenciais, impedindo que segredos e hash sejam acessados ou comprometidos, o que reforça o isolamento e a segurança dos endpoints.

Essa abordagem complementa as práticas de acesso privilegiado, adicionando mais uma camada extra de proteção de credenciais dentro do modelo de Zero Trust. Para um aprofundamento nessa configuração de credenciais, recomendo o artigo escreito pelo Sergio Sant’ana Júnior Account Protection no Microsoft Intune: Configuração e Segurança de Credenciais.

Raiz de hardware de confiança

Essencial para uma estação de trabalho protegida é uma solução de cadeia de fornecedores em que você usa uma estação de trabalho confiável chamada raiz de confiança. A tecnologia que deve ser considerada na seleção do hardware da raiz de confiança deve incluir as seguintes tecnologias de laptops modernos:

Para essa solução, a raiz de confiança é implantada usando a tecnologia Windows Autopilot com hardware que atende aos requisitos técnicos modernos. Para proteger uma estação de trabalho, o Autopilot permite usar dispositivos Windows com otimização de OEM da Microsoft. Esses dispositivos vêm em um bom estado do fabricante. Em vez de refazer a imagem de um dispositivo potencialmente inseguro, o Autopilot pode transformar um dispositivo Windows em um estado pronto para negócios, ela aplica configurações e políticas, instala aplicativos e altera a edição do Windows.

Você pode se aprofundar e aprender como configurar o Windows Autopilot, artigo escrito pelo Sergio Sant’ana Júnior.

Funções de dispositivos e perfis

Esta orientação mostra como proteger os dispositivos Windows e reduzir os riscos associados ao comprometimento do dispositivo ou do usuário. Para usufruir da tecnologia de hardware moderno e do dispositivo de raiz de confiança, a solução usa Atestado de Integridade do Dispositivo. Esse recurso garante que invasores não sejam persistidos durante a inicialização de um dispositivo. Ele faz isso usando a política e a tecnologia que ajudam a gerenciar funcionalidades de segurança e riscos.

Dentro desse processo, políticas de segurança como o BitLocker podem ser aplicadas via Intune, garantindo a criptografia do disco e a proteção de dados em repouso. Dessa forma, mesmo que um dispositivo seja perdido ou roubado, os dados corporativos permanecem protegidos.

Você pode se aprofundar e aprender como configurar o Bitlocker com mais um artigo no nosso amigo Sergio.

Dispositivo Enterprise – A primeira função gerenciada é boa para usuários domésticos, usuários de pequenas empresas, desenvolvedores gerais e empresas em que as organizações desejam elevar a barra de segurança mínima. Esse perfil permite que os usuários executem qualquer aplicativo e naveguem por quaisquer sites, mas é necessária uma solução antimalware e de detecção e resposta de ponto de extremidade (EDR), como o Microsoft Defender para Ponto de Extremidade. Para aumentar a postura de segurança, uma abordagem baseada em políticas é adotada. Isso fornece um modo seguro para trabalhar com dados do cliente e também para usar ferramentas de produtividade como email e navegação na Web. As políticas de auditoria e o Intune permitem monitorar o uso do perfil e do comportamento do usuário de uma estação de trabalho corporativa.

Dispositivo Especializado – Essa função gerenciada representa um passo significativo do uso da empresa removendo a capacidade de autogerenciar a estação de trabalho e limitando quais aplicativos podem ser executados apenas para os aplicativos instalados por um administrador autorizado (nos arquivos do programa e aplicativos pré-aprovados no local do perfil do usuário. A remoção da capacidade de instalar aplicativos pode afetar a produtividade se for implementada incorretamente. Portanto, certifique-se de ter fornecido acesso aos aplicativos da Microsoft Store ou aos aplicativos gerenciados corporativos que podem ser instalados rapidamente para atender às necessidades dos usuários.

O usuário de segurança especializado exige um ambiente mais controlado e, ao mesmo tempo, pode realizar atividades como email e navegação na Web em uma experiência de uso simplificado. Esses usuários esperam que recursos como cookies, favoritos e outros atalhos funcionem. No entanto, eles não exigem a capacidade de modificar ou depurar o sistema operacional do dispositivo, instalar drivers ou realizar tarefas semelhantes.

PAW (Estação de Trabalho de Acesso Privilegiado) – a configuração de segurança mais alta projetada para funções confidenciais que teriam um impacto significativo ou material na organização se sua conta fosse comprometida. A configuração PAW inclui controles e políticas de segurança que restringem o acesso administrativo local. Inclui ferramentas de produtividade que minimizam a superfície de invasão para apenas o que é exigido para o desempenho de tarefas confidenciais. Essa configuração dificulta o comprometimento do dispositivo PAW pelos invasores porque bloqueia o vetor mais comum de ataques de phishing: email e navegação na Web. Para garantir produtividade a esses usuários, é necessário fornecer contas e estações de trabalho separadas para aplicativos de produtividade e navegação na Web. Embora inconveniente, esse controle é necessário para proteger os usuários cuja conta poderia causar danos à maioria ou a todos os recursos da organização.

Conlusão

Encerramos mais um conteúdo, reforçando que este artigo foi elaborado sob uma perspectiva de arquitetura, apresentando soluções e padrões para a gestão de Acesso Privilegiado. O objetivo foi alinhar conceitos, componentes e fluxos de referência que apoiem decisões técnicas e de governança em ambientes corporativos.

Comente aqui se gostou desse formato de artigo, podemos trazer mais series voltada na visão da arquitetura de segurança.