Zero Standing Privileges (ZSP)
Com o crescimento dos ataques cibernéticos, as credenciais de acesso se tornaram um vetor de ataque considerável. Em 74% dos casos de violações de dados, as empresas admitem o acesso não autorizado a uma conta privilegiada como causa principal da violação.
Além disso, o The Verizon Data Breach Investigations Report (DBIR) descobriu que de todos os ciberataques, 29% do total de violações envolveram o uso de credenciais roubadas, perdendo apenas para o phishing.
Uma vez que uma credencial é comprometida, um atacante malicioso consegue se mover lateralmente, infectando outros dispositivos e aumentando os riscos de vazamentos de dados, ou até da infecção por ransomwares. O motivo por trás disso (e porque as credenciais de administrador continuam sendo um alvo fácil para os invasores) é o alto nível de acesso que essas credenciais fornecem.
Geralmente, as soluções PAM ou Endpoint Privilege Management (EPM) não foram desenhadas com o propósito de lidar com os riscos associados ao privilégio permanente.
O privilégio permanente é quando as contas de administrador com acesso privilegiado estão sempre ativas (always-on). Em média, em uma grande empresa é possível encontrar um número de 480 usuários com acesso de administrador em suas estações de trabalho.
Assim, o conceito de Zero Standing Privileges (ZSP) tem como objetivo eliminar os privilégios permanentes dentro das organizações e mitigar os riscos de segurança cibernética.
O que é Zero Standing Privileges (ZSP)?
O privilégio administrativo fornece os meios pelos quais os invasores precisam para concretizar uma ação criminosa, seja exfiltração de dados, destruição de dados ou outros crimes.
Quando uma organização tem identidades com privilégios permanentes (always-on), esta deve priorizar esforços para controlar o acessos a tais identidades, monitorar o seu uso e protegê-las do uso indevido.
Mas, na maior parte do dia, essas identidades altamente privilegiadas permanecem ociosas, sem uso, mas ainda assim representam riscos.
As abordagens tradicionais de PAM têm se concentrado em gerenciar e controlar o acesso a senhas de contas privilegiadas ou elevar temporariamente os privilégios para gerenciar quando os usuários podem agir com privilégios administrativos.
Por exemplo, um funcionário administrador de servidor pode verificar a senha do dia para acessar sua conta pessoal privilegiada todas as manhãs. Ou ele pode simplesmente usar uma solução como sudo para ter seus privilégios elevados sob demanda.
No entanto, o foco de cada uma dessas abordagens é garantir que o funcionário use seus privilégios de maneira autorizada, considerando que se trata de um bom funcionário e não um invasor que busca por meios de comprometer a organização.
Em ambas as abordagens, os privilégios concedidos à sua conta pessoal privilegiada ou na configuração sudo são permanentes e correm o risco de serem abusadas por um criminoso motivado.
Just Enough Privilege (JEP) e Just in Time (JIT)
E se pudermos eliminar esses privilégios permanentes e substituí-los por um processo orientado por políticas para obter acesso privilegiado apenas quando for necessário e com escopo apenas para o trabalho em questão?
A resposta para isso é usar os conceitos de Just Enough Privilege (JEP) e Just in Time (JIT). Em um fluxo de trabalho just-in-time, não há privilégios permanentes para os funcionários – não há configuração de sudo para gerenciar, nem conta pessoal privilegiada para monitorar.
Em vez disso, os privilégios potenciais dos funcionários são detalhados em uma política centralizada. Quando as funções de algum funcionário exigem que ele obtenha acesso privilegiado, ele inicia uma atividade que descreve o que se deseja fazer e quais recursos ele precisa para fazê-lo.
Nos bastidores, uma identidade da atividade é criada ou ativada e apenas privilégios suficientes são concedidos para realizar somente a tarefa desejada.
A atividade é então realizada interativamente pelo funcionário (por exemplo, protocolo de área de trabalho remota para um servidor – RDP) ou pelo sistema em seu nome (por exemplo, reinicializar um servidor).
Ao concluir a atividade, os privilégios são revogados da identidade da atividade e ela é destruída ou desativada.
Ao adotar esse fluxo de trabalho, a superfície de ataque de privilégio é reduzida à janela durante a qual o funcionário está usando ativamente o privilégio, o que reduz os riscos de que um invasor roube senhas de credenciais.
Ao contrário do PAM tradicional, em que o foco está na proteção dos meios (por exemplo, contas ou configurações privilegiadas) que conferem privilégios, o foco do fluxo de trabalho JEP e JIT está no usuário.
Tudo que o funcionário precisa saber é que ele precisa reiniciar um servidor específico, e o sistema cuidará de fornecer, proteger e destruir esse privilégio quando ele terminar.
O objetivo do Zero Standing Privileges (ZSP) pode ser alcançado por meio do acesso de privilégio just-in-time, melhorando a sustentabilidade operacional para seu programa de acesso de privilégio e reduzindo drasticamente a superfície de ataque de privilégio.
Benefícios do Zero Standing Privileges (ZSP)
O privilégio permanente é definido como o fato das contas terem acesso com privilégios persistentes para todo o tempo em algum conjunto de sistemas. O Zero Standing Privileges (ZSP) é exatamente o oposto.
É a forma mais pura de acesso de administrador just-in-time, garantindo que o princípio do menor privilégio seja aplicado ao conceder, a usuários autorizados, o acesso privilegiado de que precisam por um período mínimo de tempo e apenas os direitos mínimos de que necessitam.
Essa eliminação do privilégio permanente por meio do privilégio permanente zero é realmente um ponto vantajoso para compreensão do acesso privilegiado atual e mitigação de possíveis riscos de segurança cibernética.
Considerações Finais
É encorajador ver que o mercado começou a reconhecer o privilégio permanente como um risco-chave que precisa ser tratado e que o armazenamento de segredos e a rotação de senhas de administrador locais em servidores críticos não são suficientes.
Os invasores estão mirando nas estações de trabalho como o caminho mais fácil e usando o acesso de administrador disponível nessas estações para se espalhar pelas redes corporativas.
É preciso considerar uma postura de Privilégio Permanente Zero em nossos ambientes. As credenciais roubadas continuarão sendo o alvo mais fácil de invasores e continuarão a contribuir com 80% das violações de dados.