Uma avaliação de risco de identidade em um fornecedor de serviços gerenciados de nuvem constatou que o arquiteto sênior de suporte da empresa, uma das seis pessoas com essa função, tinha acesso aos ambientes de produção de quarenta e sete organizações clientes. O acesso era adequado à função: os arquitetos seniores de suporte tratavam escalonamentos complexos que podiam afetar qualquer cliente, e o acesso pré-provisionado evitava atrasos durante incidentes críticos. Os controles de acesso em cada ambiente de cliente eram bem projetados. O que a avaliação de risco quantificou pela primeira vez foi a consequência agregada do comprometimento de uma única credencial: se as credenciais dessa pessoa fossem obtidas por phishing, por credential stuffing ou comprometidas por um ataque à cadeia de suprimentos em suas ferramentas de desenvolvimento, o invasor teria acesso administrativo de produção a quarenta e sete organizações clientes simultaneamente. O raio de impacto de uma única credencial era de quarenta e sete ambientes de produção corporativos. A avaliação também constatou que não havia controles compensatórios calibrados a esse raio de impacto específico: os limites de monitoramento, a frequência de revisão de sessões e a detecção de acessos anômalos estavam configurados de forma uniforme para toda a equipe de suporte, sem considerar que as credenciais dos arquitetos seniores de suporte representavam uma concentração de risco que as credenciais do suporte júnior não representavam.
O que é, de fato, o raio de impacto do comprometimento de identidade?
O raio de impacto é o conjunto de sistemas, dados e capacidades que se tornam acessíveis a um invasor ao comprometer uma credencial de identidade específica. É a resposta à pergunta: se esta credencial fosse roubada agora, quanto um invasor conseguiria fazer com ela? O raio de impacto é determinado pelo acesso que a credencial detém (os sistemas em que pode se autenticar, os dados que pode ler ou modificar, as ações que pode executar) e é ampliado pelo acesso permanente, pelos mecanismos de persistência e pela capacidade de usar o acesso inicial para estabelecer novos pontos de apoio.
A governança do raio de impacto é a aplicação dos princípios do privilégio mínimo à dimensão das consequências no desenho dos acessos: não apenas perguntar se o acesso é autorizado, mas perguntar qual seria a consequência de um comprometimento e se essa consequência é proporcional ao valor operacional do acesso. Uma credencial que precisa ter acesso a quarenta e sete ambientes porque esse acesso é necessário para alguma emergência em qualquer um deles foi projetada para a pior necessidade operacional possível. Ela foi projetada com um raio de impacto de quarenta e sete ambientes. Uma credencial limitada aos ambientes que estão em suporte ativo no momento tem um raio de impacto proporcional à necessidade operacional atual, e não à necessidade máxima teórica.
A conexão com o acesso just-in-time é a solução arquitetural para a gestão do raio de impacto. O acesso JIT elimina o raio de impacto permanente ao conceder acesso apenas quando necessário: a credencial existe no momento do acesso e é revogada ao fim da sessão. O raio de impacto, em qualquer momento, é o acesso provisionado naquele momento, e não o acesso teoricamente possível. Nos ambientes em que o acesso JIT é operacionalmente viável, ele converte o raio de impacto de um risco permanente em um risco transitório. Nos ambientes em que o acesso permanente é operacionalmente necessário, a governança do raio de impacto exige compreender a exposição permanente e aplicar controles compensatórios proporcionais a ela.
- Concentração de acesso a vários clientes: credenciais únicas que dão acesso simultâneo a muitos ambientes de clientes
- Acesso permanente ao maior escopo possível: acesso provisionado para a pior necessidade operacional, e não para a necessidade atual
- Sem avaliação do raio de impacto: revisões de acesso individuais que confirmam a autorização sem quantificar a consequência de um comprometimento
- Controles compensatórios uniformes: monitoramento e detecção calibrados de forma uniforme, e não ao raio de impacto individual
- Sem JIT para credenciais com grande raio de impacto: acesso permanente onde JIT reduziria a exposição
Por que isso importa
O raio de impacto é importante para TPRM porque as relações com fornecedores que atendem vários clientes criam a possibilidade de ataques à cadeia de suprimentos com uma única credencial, em que comprometer uma identidade do fornecedor dá acesso simultâneo a vários ambientes de clientes. É esse padrão de ataque que torna as violações em provedores de serviços gerenciados categoricamente diferentes das violações em uma única organização: o raio de impacto de uma única credencial pode abranger toda uma carteira de clientes.
A dimensão das consequências regulatórias e contratuais amplifica o risco. Um fornecedor em que o comprometimento de uma única credencial produz violações simultâneas em quarenta e sete clientes enfrenta quarenta e sete obrigações simultâneas de notificação de violação, quarenta e sete respostas a incidentes de clientes e quarenta e sete investigações regulatórias. A capacidade de resposta a incidentes, a capacidade jurídica e as relações comerciais do fornecedor ficam sob pressão simultânea em toda a sua base de clientes. A governança do raio de impacto é, portanto, uma questão de resiliência do fornecedor tanto quanto uma questão de segurança de identidade.
Onde a maioria das equipes erra
A falha mais recorrente é avaliar decisões de acesso individuais sem agregá-las em métricas de raio de impacto. Cada concessão de acesso é revisada e aprovada individualmente. A consequência agregada de todas as concessões para uma única identidade, os quarenta e sete ambientes que o arquiteto sênior de suporte pode acessar, nunca é calculada nem reportada como métrica de governança. O raio de impacto não é visível nas revisões de permissões individuais. Ele exige agregação.
- Avaliar permissões individuais sem agregar o raio de impacto
- Sem métrica de raio de impacto: escopo máximo de acesso de identidades individuais não calculado
- Controles compensatórios uniformes, não calibrados ao raio de impacto individual
- Acesso JIT não considerado para credenciais com grande raio de impacto
- Concentração de acesso a vários clientes não identificada como concentração de risco
Como é uma boa prática
Programas maduros de governança do raio de impacto calculam o raio de impacto de cada credencial com acesso significativo, identificam concentrações que excedem limites definidos, aplicam controles compensatórios reforçados proporcionais ao raio de impacto e exigem acesso JIT ou redução de escopo para as identidades com maior raio de impacto.
- Métrica de raio de impacto para todas as identidades privilegiadas: escopo máximo de acesso calculado para cada credencial com privilégios elevados
- Limites de raio de impacto: limites definidos para quantos ambientes de clientes uma única credencial pode acessar simultaneamente
- Controles reforçados para identidades com grande raio de impacto: monitoramento, autenticação e governança de sessões calibrados ao raio de impacto
- Acesso JIT para credenciais com grande raio de impacto: raio de impacto permanente convertido em transitório quando viável
- Limites de escopo de acesso a vários clientes: política que limita o número de ambientes de clientes que uma única credencial pode acessar
Ferramentas
Análise de identidades: Veza, SailPoint IdentityAI
Plataformas de análise de identidades calculam o escopo efetivo de acesso de cada credencial, mostrando o que cada identidade consegue alcançar em todos os sistemas conectados. Na avaliação do raio de impacto, essas plataformas fornecem a agregação necessária para converter registros de permissões individuais em métricas abrangentes de escopo de acesso. Para profissionais de TPRM, perguntar se o fornecedor usa análise de identidades para calcular o raio de impacto efetivo das identidades com privilégios elevados é uma pergunta específica sobre a governança do raio de impacto.
PAM com JIT: CyberArk, BeyondTrust
O acesso JIT por meio de plataformas de PAM converte o raio de impacto permanente em exposição transitória: o acesso é provisionado quando necessário e revogado ao fim da sessão, eliminando o acesso permanente a vários ambientes que cria grandes raios de impacto. Para profissionais de TPRM, perguntar se as credenciais de suporte e de administração com grande raio de impacto usam acesso JIT é a pergunta mais direta sobre redução do raio de impacto.
Desafios de governança
O desafio de governança no raio de impacto é o problema do cálculo. O raio de impacto em um ambiente complexo, com vários sistemas, exige compreender não apenas as permissões diretas de uma credencial, mas também o acesso indireto que essas permissões possibilitam, por meio de cadeias de associação a grupos, capacidade de assumir funções, acesso a repositórios de credenciais e relações de replicação. Isso exige o tipo de análise do grafo de permissões descrito no artigo sobre movimentação lateral: o raio de impacto é, na prática, o conjunto de destinos alcançáveis pelo grafo de permissões a partir de uma credencial inicial.
- Calcular o raio de impacto de todas as identidades de fornecedores com privilégios elevados: escopo máximo de acesso, incluindo o acesso a vários clientes
- Definir limites de raio de impacto: número máximo de ambientes de clientes que uma única credencial deve poder acessar
- Aplicar JIT às credenciais acima dos limites de raio de impacto
- Calibrar o monitoramento e a detecção ao raio de impacto: maior intensidade para maior raio de impacto
- Incluir o raio de impacto na pontuação de risco de identidade: o escopo de acesso como fator de amplificação do risco
Se você faz parte de uma equipe pequena
Faça aos seus fornecedores de serviços gerenciados uma pergunta que calcula a métrica de raio de impacto mais importante: qual é o número máximo de ambientes de clientes que uma única credencial de engenheiro de suporte pode acessar simultaneamente, e o fornecedor considerou o acesso JIT ou limites de escopo para credenciais acima de um limite definido? A resposta quantifica o impacto máximo, na cadeia de suprimentos, do roubo de uma única credencial e revela se o raio de impacto foi avaliado como uma dimensão de governança.
- Pergunte qual é o número máximo de ambientes de clientes acessíveis a partir de uma única credencial
- Pergunte se o acesso JIT é usado para credenciais com acesso a ambientes de vários clientes
- Pergunte se o monitoramento é calibrado ao raio de impacto de cada credencial
- Pergunte sobre os limites de raio de impacto: o escopo máximo de acesso definido para uma única credencial
O que exigir
Pergunte diretamente:
“Qual é o número máximo de ambientes de clientes que uma única credencial de engenheiro de suporte na sua organização pode acessar simultaneamente, e a sua organização avaliou limites de raio de impacto para identidades de grande escopo?”
“Para credenciais que dão acesso a vários ambientes de clientes, vocês usam o provisionamento de acesso just-in-time para limitar a exposição permanente, ou essas credenciais dão acesso persistente a todos os ambientes, independentemente da necessidade operacional atual?”
O que esperar como evidência
- Escopo máximo de acesso a ambientes de clientes por credencial
- Política de limites de raio de impacto, se definida
- Acesso JIT para credenciais com grande raio de impacto
- Monitoramento reforçado calibrado ao raio de impacto da credencial
Um fornecedor que confirma um acesso adequado baseado em funções deve ser questionado especificamente sobre o raio de impacto máximo de sua credencial de maior escopo, isto é, quantos ambientes de clientes podem ser alcançados a partir de uma única credencial comprometida. A adequação da função descreve a autorização. O raio de impacto descreve a consequência. Ambos exigem avaliação antes que o comprometimento aconteça.
Como comprovar
- Registros de avaliação do raio de impacto de credenciais de fornecedores com privilégios elevados
- Documentação do escopo de acesso a vários clientes
- JIT ou limitação de escopo para credenciais com grande raio de impacto
- Registros de calibração do monitoramento reforçado
Principal conclusão
O comprometimento de uma credencial não é uma questão de se. É uma questão de quando e de quanto. O raio de impacto é o quanto. Quarenta e sete ambientes de clientes acessíveis a partir de uma credencial são um raio de impacto de quarenta e sete ambientes. O privilégio mínimo que restringe cada concessão de acesso é necessário, mas não suficiente: o escopo agregado de todas as concessões de acesso de uma única credencial determina o raio de impacto que o invasor herda no momento do comprometimento. Calcule o raio de impacto. Defina limites. Aplique JIT às credenciais acima do limite. Calibre o monitoramento ao raio de impacto. A decisão de governança sobre quanto dano um único comprometimento pode causar é tomada agora, antes do comprometimento, nas decisões de provisionamento de acesso que determinam o raio de impacto. Depois do comprometimento, o raio de impacto passa a ser decisão do invasor.