Melhores práticas de Privileged Access Management

Privileged Access Management (PAM)

As melhores práticas para Privileged Access Management (PAM) foram desenvolvidas ao longo do tempo para aprimorar a segurança. Tradicionalmente, as organizações mantinham dezenas ou até centenas de contas privilegiadas para permitir que os administradores realizassem tarefas essenciais. Essas credenciais privilegiadas representam um sério risco à segurança, pois podem ser mal utilizadas por seus proprietários ou tomadas por atacantes.

Para reduzir o risco, as ferramentas de Privileged Access Management inicialmente se concentraram em bloquear essas contas usando técnicas como cofres de credenciais, o que resultou em lutas de gerenciamento complexas e intermináveis. A moderna Privileged Access Management adota uma abordagem completamente diferente: substituir privilégios permanentes por privilégios concedidos no momento certo, que fornecem acesso suficiente apenas para realizar uma tarefa específica, pelo tempo necessário. Essa estratégia reduz drasticamente os riscos de segurança e a sobrecarga de gerenciamento ao mesmo tempo.

Melhores práticas para Traditional Privileged Account Management

Organizações que seguem a abordagem tradicional para Privileged Access Management (PAM) precisam implementar diversas melhores práticas para tentar proteger suas inúmeras contas privilegiadas, incluindo as seguintes:

• Mantenha um inventário de todas as contas privilegiadas. O inventário deve identificar o proprietário de cada conta privilegiada, suas informações de contato e suas localizações principais no escritório, bem como todos os direitos de acesso que a conta possui. Certifique-se de incluir todos os seguintes tipos de contas:
  • Todos os membros de grupos poderosos do Active Directory como Domain Admins e Enterprise Admins
  • Todas as contas root para servidores "*nix"
  • Todos os administradores de sistema para seus sistemas de mainframe, bancos de dados e aplicações principais
  • Todos os administradores de sistema para seus dispositivos de rede como firewalls, roteadores e switches telefônicos
  • Todas as contas de serviço que têm acesso elevado a dados, recursos e infraestrutura
  • Contas privilegiadas além do seu firewall, incluindo aquelas associadas a redes sociais, aplicações SaaS, parceiros, contratados e clientes
  • Contas privilegiadas baseadas na nuvem, como as usadas para gerenciar o Microsoft Entra (anteriormente Azure Active Directory)
• Revise regularmente os direitos de Privileged Access Management. Mantenha seu inventário de contas privilegiadas atualizado, revisando-o pelo menos uma vez por mês. Remova prontamente quaisquer contas privilegiadas desnecessárias e quaisquer permissões desnecessárias para as contas que permanecem, e documente todas as alterações em detalhes.
• Não permita que administradores compartilhem contas. Esta melhor prática de gerenciamento de contas privilegiadas mantém os administradores responsáveis por suas ações, atribuindo uma conta privilegiada separada para cada indivíduo. Use as contas de administrador padrão, root e similares apenas quando absolutamente necessário; é melhor renomeá-las ou desativá-las.
• Minimize o número de contas privilegiadas. Idealmente, cada administrador deve ter apenas uma conta privilegiada para todos os sistemas.
• Crie uma política de senha e aplique-a rigorosamente.Siga as melhores práticas de senha, incluindo as seguintes:
  • Altere a senha em cada dispositivo para que você não esteja usando uma senha padrão ou temporária.
  • Evite usar senhas codificadas diretamente em aplicações e dispositivos.
  • Exija que as senhas de contas privilegiadas sejam alteradas regularmente para reduzir o risco de ex-funcionários comprometerem seus sistemas.
• Exija autenticação multifator (MFA) para contas privilegiadas. As opções incluem tokens físicos, tokens virtuais, autenticação/aprovação via push, beacons de comunicação por campo de proximidade Bluetooth, informações de GPS/localização e impressões digitais. Uma senha sozinha não é suficiente.
• Limite as permissões para cada conta privilegiada. Poucas contas privilegiadas devem ter acesso total a tudo. Em vez disso, para minimizar o risco, você deve impor ambos os seguintes princípios chave:
  • Separação de funções: Nenhum funcionário pode realizar todas as ações privilegiadas para um determinado sistema ou aplicativo. Isso garante que nenhuma pessoa tenha todo o poder.
  • Privilégio mínimo: Cada usuário recebe apenas os privilégios estritamente necessários para realizar seu trabalho. Isso limita o dano que qualquer usuário pode causar, seja de forma deliberada ou acidental, bem como o poder que um invasor ganharia ao comprometer a conta.

Estratégias úteis para limitar permissões incluem delegar permissões no Active Directory e configurar controle de acesso baseado em funções (RBAC) para cada sistema que você utiliza.

• Utilize as melhores práticas de elevação de privilégios. Quando os usuários precisam de direitos de acesso adicionais, eles devem seguir um processo documentado de solicitação e aprovação, seja no papel ou usando um ticket em um sistema de Privileged Access Management. Após a aprovação, eleve os privilégios do usuário apenas pelo período de tempo necessário para realizar a tarefa especificada. Da mesma forma, um administrador de TI deve usar sua conta privilegiada somente quando precisar de suas permissões elevadas para uma tarefa específica; caso contrário, deve usar sua conta regular.
• Registre toda a atividade privilegiada. Para reduzir o risco de violações de dados custosas e tempo de inatividade, esteja atento às ações que os usuários privilegiados estão realizando, utilizando uma variedade de técnicas de registro e monitoramento. Ative o registro para firewalls, ferramentas de controle de acesso à rede e outros sistemas que limitam o acesso aos sistemas — particularmente sistemas críticos como o seu sistema de detecção de intrusão (IDS) e solução de identity and access management (IAM). Você também deve ativar o registro do sistema para eventos de logon/logoff e outras ações que os usuários privilegiados realizam.
• Implemente o monitoramento de atividades privilegiadas e alertas. Você também precisa de monitoramento em tempo real da atividade do usuário privilegiado e a capacidade de alertar os membros da equipe apropriados sobre ações críticas. Criar esses alertas requer que as informações nos registros sejam claras e compreensíveis; isso não está nativamente disponível para muitas plataformas de computação, mas você pode obter essas informações de softwares de auditoria de TI de terceiros.
• Analise o risco de cada usuário privilegiado.Avalie regularmente o risco que cada usuário privilegiado representa e concentre-se em investigar e proteger as contas mais arriscadas primeiro.
• Eduque os usuários. Todos — não apenas os administradores, mas todos os usuários — devem saber como gerenciar e usar corretamente as credenciais privilegiadas. Forneça à sua equipe as informações necessárias para ter sucesso e certifique-se de atualizá-los sobre políticas e procedimentos relevantes sempre que houver uma mudança em suas responsabilidades.
• Documente suas políticas e práticas de gerenciamento de contas. Por último, mas certamente não menos importante, certifique-se de que suas regras e processos estejam explicitamente registrados e assinados pela equipe de gestão para que tudo fique claro e possa ser aplicado. Isso é especialmente importante quando a conformidade está em questão.

Privileged Access Management Moderno

Seguir rigorosamente todas essas melhores práticas para dezenas ou centenas de contas privilegiadas é um grande desafio. Além disso, mesmo que você consiga alcançar esse objetivo, ainda resta uma grande área de superfície de ataque, já que toda conta privilegiada que existe corre o risco de ser dominada por um invasor ou ser mal utilizada pelo seu proprietário.

Entre na gestão de acesso privilegiado de terceira geração. Esta abordagem moderna envolve as seguintes práticas:

• Aplique o princípio de zero privilégio permanente (ZSP).Sempre que possível, substitua privilégios permanentes por privilégios concedidos no momento certo para fornecer acesso suficiente para realizar a tarefa em questão e remover os privilégios imediatamente após. O ZSP minimiza o risco de credenciais privilegiadas serem mal utilizadas por insiders ou comprometidas por atacantes.
• Implemente aprovações para solicitações de sessões privilegiadas. Para as tarefas mais críticas, deve haver um fluxo de trabalho de aprovação no qual a solicitação de sessão privilegiada deve ser aprovada ou negada pelo pessoal apropriado. Com a solução de Privileged Access Management (PAM) correta, você pode facilmente estabelecer um fluxo de trabalho que é eficaz e conveniente.
• Mantenha um registro de auditoria e gravações para todas as sessões privilegiadas.As organizações precisam rastrear todas as ações que os administradores estão realizando. Algumas soluções modernas de Privileged Access Management (PAM) fornecem tanto o monitoramento em tempo real da atividade do usuário privilegiado quanto capacidades de gravação e reprodução de sessões.

Próximo Passo: Reduza Sua Superfície de Ataque com a solução Netwrix Privileged Access Management

A solução de Privileged Access Management da Netwrix ajuda você a proteger seus dados sensíveis e sistemas críticos e a cumprir com regulamentações do setor e governamentais. Ela permite que você substitua facilmente o privilégio permanente arriscado por um privilégio pontual que fornece acesso suficiente apenas para a tarefa em questão — sem prejudicar a produtividade do administrador. Você pode estabelecer rapidamente fluxos de trabalho de solicitação/aprovação que tornam a conquista do Zero Standing Privilege fácil e conveniente. Além disso, a solução PAM da Netwrix mantém um registro detalhado de toda a atividade de contas privilegiadas, alerta você imediatamente sobre comportamentos suspeitos para que possa responder rapidamente e possibilita a reprodução fácil de sessões privilegiadas gravadas para facilitar investigações e reforçar a responsabilidade. 

De forma mais ampla, a solução de Privileged Access Management (PAM) da Netwrix é fácil de implementar e usar, com uma interface amigável e painéis personalizáveis. E é escalável para atender às necessidades da sua organização hoje e no futuro, pavimentando o caminho para uma segurança rigorosa.