Se esta é a primeira vez que você lê sobre este assunto, recomendamos que confira os passos iniciais. Aqui você pode verificar os requisitos para implementar o controle de acesso. Anteriormente, listamos os requisitos para implementar o controle de acesso de acordo com as exigências de uma arquitetura Zero Trust baseada na ISO/IEC 27002. Agora, passaremos pelas etapas de gerenciamento e controle de acesso a sistemas e aplicações, onde esses requisitos são colocados em prática.
Gerenciamento de acesso de usuários
Prevenir o acesso não autorizado a sistemas e serviços é fundamental para o funcionamento adequado de uma arquitetura Zero Trust. A ISO/IEC 27002 estabelece um conjunto de melhores práticas que seguem o mesmo propósito e têm a formalização de processos como sua principal atividade.
Formalização dos processos de controle de acesso
Devemos destacar a importância dos registros e da formalização ao praticar a filosofia Zero Trust. Documentar processos fornece a visibilidade necessária para monitorar, analisar e melhorar a segurança dos ativos e serviços de TI, e o mesmo vale para o controle de acesso a eles.
Portanto, o gerenciamento de acesso requer um processo formal para registrar, desabilitar e remover IDs de usuários, visando estabelecer as seguintes regras:
-
uso de IDs de usuário únicos: esta é uma forma de vincular cada usuário às suas responsabilidades e ações, de modo que quaisquer permissões adicionais sejam concedidas apenas mediante aprovação e sua respectiva documentação;
-
remoção, revogação ou desabilitação imediata de IDs de usuários que saíram da organização: como explicamos no primeiro post sobre controle de acesso, é importante seguir os critérios de criticidade e sensibilidade dos ativos e recursos envolvidos e realizar análises críticas frequentemente, especialmente para usuários de sistema como “sysadmin”, “root”, “administrator” e outros;
-
remoção e identificação periódica ou desabilitação de usuários redundantes com IDs: remover IDs repetidos, evitar colisão de IDs e garantir que os IDs não sejam reemitidos para outros usuários é importante por várias razões, incluindo garantir o uso de IDs únicos. A emissão de IDs temporários é uma melhor prática nesses casos, pois credenciais de longo prazo são propícias à redundância.
-
token e IDs não podem ser sequenciais: se a implementação entregar valores sequenciais ao definir um padrão para a geração de um token de sessão, ele pode ser violado por meio de engenharia reversa.
É importante notar que as regras também se aplicam, na medida do possível, às identidades de máquina. A ideia é que qualquer permissão a ser concedida ou revogada para todos os tipos de usuários deve passar por um processo adequado e formal, que deve ser documentado.
Outro ponto a ser considerado é o provisionamento para acesso de usuários, que exploraremos a seguir.
Provisionamento de acesso de usuários
O provisionamento de usuários é a concessão/revogação de permissões para serviços e aplicações dentro do ambiente de trabalho. Na esfera Zero Trust, a formalização deste processo é obrigatória e deve se adequar aos requisitos de controle de acesso e políticas.
Isso facilita a execução de outro procedimento importante para o controle de acesso: a análise do nível de acesso concedido. Neste procedimento, a política de acesso — construída nas fases anteriores da jornada — é o parâmetro para determinar se a solicitação é consistente com os requisitos, e nenhum privilégio pode ser concedido sem verificação completa.
Além disso, todos os procedimentos mencionados no tópico anterior aplicam-se ao provisionamento, como documentação, revogação de direitos em relação a usuários que deixaram a organização, mudança de direitos para usuários que mudaram de funções e revisões críticas frequentes com a participação do proprietário do ativo.
Recomenda-se atribuir cláusulas contratuais às identidades humanas (incluindo parceiros e prestadores de serviços) que especifiquem sanções para tentativas de acesso não autorizadas.
Direitos de acesso privilegiado
Formalizar o controle e a restrição na concessão e uso de direitos de acesso privilegiado é um processo crítico, cuja execução deve estar estritamente alinhada com as políticas de controle de acesso, considerando os requisitos mínimos para a realização da tarefa.
Podemos construir uma analogia entre o acesso privilegiado e um tesouro mantido em um cofre, ao qual apenas dois elementos da organização podem acessar e retirar a quantidade exata necessária para seus propósitos: o guarda e o proprietário.
Eles trabalham juntos nas etapas em que o usuário se identifica, tem suas responsabilidades analisadas criticamente e adquire as credenciais temporárias com direitos suficientes para chegar à sala do cofre, verificando em cada etapa se os requisitos de controle de acesso foram atendidos.
Após as verificações serem realizadas, os direitos são atribuídos e o usuário recebe um ID diferente daquele usado para suas atividades habituais. O guarda então abre o cofre para o proprietário recuperar a quantidade solicitada e entregá-la ao usuário, que deve consumi-la dentro de um período especificado.
Voltando ao contexto Zero Trust, enquanto o acesso privilegiado estiver ativo, procedimentos específicos para evitar o uso não autorizado do ID concedido ao usuário devem ser executados e mantidos, preferencialmente utilizando soluções que permitam a criação granular de regras.
Também é altamente recomendável que os direitos concedidos tenham uma data de expiração definida e sejam revogados ao final da atividade, pois o acesso malicioso, como ransomware ou malware, só terá sucesso se obtiver permissão para realizar certas ações.
Controle de acesso a sistemas e aplicações
Entre as diretrizes da ISO/IEC 27002 focadas no controle de acesso a sistemas e aplicações, temos dois tipos importantes de controle para uma arquitetura Zero Trust à prova de futuro, aplicados ao uso de programas capazes de anular controles de sistemas e aplicações e ao código-fonte do programa.
As políticas de acesso devem garantir a proteção dos usuários e suas informações de autenticação, bem como descrever os requisitos mínimos necessários para conceder acesso a ativos e outros sistemas. Assim, os riscos de ameaças internas são minimizados e, ao mesmo tempo, usuários, desenvolvedores e outros stakeholders são educados sobre as melhores práticas de segurança para credenciais de acesso.
Devido à sensibilidade desses componentes, é essencial que o acesso a eles seja estritamente controlado por meio de procedimentos de identificação, autenticação e autorização, segregação de programas utilitários do software de aplicação, registro do uso desses programas, entre outras ações.