As grandes consultorias de TI concordam em prognósticos de que, entre dois ou três anos, mais da metade das ferramentas de gestão de privilégio (PAM) passarão a se moldar segundo a lógica “just-in-time”. Elas virão em substituição às estratégias de gerenciamento de contas de privilégio de longo termo. Um salto ainda mais rápido (indo de 10% atual para cerca de 50%) irá acontecer na adoção de soluções de gerenciamento de segredos de privilégio just-in-time por parte de organizações que já iniciaram uma jornada DevOps para a integração de equipes e aplicações de negócio.
Esta emergência do provisionamento just-in-time está, evidentemente, em consonância com o ideal de “zero privilégio”. Este é o princípio norteador das práticas PAM, surgidas para limitar ao mínimo possível a concessão de direitos de acesso na rede, reduzindo assim a complexidade da gestão e a superfície de risco.
Através das melhores práticas de gestão de privilégio, os gestores conseguem isolar os pontos críticos da operação e limitar sua exposição a um número extremamente restrito de usuários. Isto além de oferecer acesso ágil aos administradores, tornando mais efetiva a governança de acesso e identidade em ambientes maiores. Estamos falando de estruturas, muitas vezes, com milhões de contas e credenciais precisando ser administradas e com o máximo nível de automação possível.
A partir da lógica de mínimo privilégio (sendo o “privilégio zero” a referência moderna), torna-se viável ao gestor implementar disciplinas claras de provisionamento e desaprovisionamento. O objetivo dessas disciplinas é atender aos quatro pilares de uma governança de identidade madura, segundo os padrões do Gartner. Pilares estes que são: 1-descobrir e rastrear; 2- registrar e monitorar; 3-governar de forma consciente e ágil e 4- auditar.
A conjunção desses quatro pilares dá conta de um controle de 360 graus no ciclo de vida de uma conta privilegiada com suas respectivas credenciais. Confere também maturidade para as politicas de Gestão de Identidade e gera uma consciência sistêmica dos elementos operacionais, atuando em todos os processos, ou seja: Pessoas, Serviços e Dispositivos.
Mas as políticas de PAM, em geral concebidas há mais de 10 anos, nem sempre vêm conseguindo acompanhar a velocidade da transformação digital com suas bruscas mudanças, tanto no ambiente quanto no desenho dos fluxos de dados.
Do mundo estático ao efêmero
Em sua concepção original, os modelos de PAM ainda predominantes continuam a enxergar um mundo dominado por estações físicas, rodando um sistema operacional específico, em cima de uma estrutura de servidores (física ou virtual) também delimitada e estática.
Nesse ambiente de estabilidade espaço-temporal, parte dos gestores de PAM encontrou sua linha de conforto ficando apenas no gerenciamento de cofres e de sessão, e trabalhando, em geral, com privilégios de longo termo. Um conforto que, atualmente, vem sendo abalado por estatísticas como a da Forrester. Segundo esta consultoria, 80% das violações de dados em 2019 decorreram do abuso – interno ou externo – de contas privilegiadas. E isto mesmo naquelas situações em que todos os sistemas de PAM já estão implantados.
O que muita gente ainda não assimilou é que a transformação digital (até há pouco vista como um fator pendente de decisão por parte de cada empresa) está chegando como um tsunami para todo mundo. De forma involuntária, ela vai se se impondo como a circunstância “normal”, quer a agente queira ou não.
Estabelecer o gerenciamento de privilégio Just-in-Time se torna um imperativo quando a própria execução de tarefas passa a ocorrer em uma arquitetura multi-cloud, lastreada em multisserviços (Kubernetes) e multi-datacenters. Tudo isto resultando em uma fenomenologia efêmera e exponencialmente evolutiva.
O tradicional gerenciamento centralizado de segredos e credenciais perenes não é compatível com a computação por microprocessos. Ele precisa ser substituído pela autenticação dinâmica, regida por mecanismos de segredo “in-flight”, baseados em uma lógica variável, a partir de elementos de contexto.
A arquitetura Just-in-Time se consolida praticamente como a única saída compatível com essa volátil computação multitudo, principalmente neste momento em que atuamos mais e mais remotamente.
Do ponto de vista técnico, a implementação do Just-in-time é viável a partir da articulação de requisitos já bastante adotados nas empresas. Pelo menos nas mais adiantadas, em termos de segurança embarcada e governança corporativa de acesso.
No provisionamento sob demanda, a propriedade do privilégio desaparece. Assim como a senha randômica fez desaparecer a senha proprietária de usuário comum. Seu fundamento está na capacidade de gerar chaves autodestrutivas (One-Time-Password, ou OTP) ou na criação de uma autoridade de autenticação (singing) lastreada em chaves públicas, no emprego de criptografia forte (Kerberos) e em computação cognitiva.
Em sintonia com a filosofia “zero trust”, a implementação de PAM Just-int-Time cria uma sistemática de gestão de segredos efêmeros, desenvolvidos em microsserviços, e orientados não apenas aos eventos, mas principalmente se preocupando com a “intenção” associada a cada evento.
Esta nova abordagem, que podemos chamar de “preditiva” ou mais desconfiada que o normal, representa um passo a mais na evolução da arquitetura PAM.
Exemplos dela são dados por propostas criadas recentemente por alguns formadores de tendência do mercado multi-cloud, como Hashicorp e Remediant. Quando se passa a monitorar a “intenção do acesso” e não a sua “autopsia”, aí você começa a enxergar de forma mais concreta, no mundo real, o que antes era somente uma referência: o tão perseguido conceito de “zero privilégio”.
Texto: André Facciolli, Diretor da Netbr Press Consult. (11) 3865-8555
Contato: Fabiana Nogueira [email protected]
