Um fornecedor de serviços em nuvem prestava serviços gerenciados a uma instituição financeira, o que exigia que seus engenheiros de suporte tivessem acesso administrativo ao ambiente de nuvem da instituição para resposta a incidentes e manutenção. O acesso foi provisionado como acesso permanente: os engenheiros de suporte tinham credenciais administrativas persistentes, válidas continuamente, que lhes permitiam responder a problemas a qualquer momento sem atraso de provisionamento. A equipe de segurança da instituição financeira havia analisado o arranjo e registrado que os engenheiros de suporte precisavam de disponibilidade 24/7. Quando um examinador regulatório de serviços financeiros analisou o arranjo durante uma fiscalização de conformidade, fez uma pergunta simples: quantas horas por mês os engenheiros de suporte de fato usam seu acesso administrativo? A instituição perguntou ao fornecedor. A resposta foi cerca de quatro horas por mês, a soma das janelas mensais de manutenção e da resposta ocasional a incidentes. O examinador observou que as credenciais administrativas permanentes existiam e eram válidas durante cerca de setecentas e dezesseis horas por mês em que não estavam em uso. Eram exploráveis durante todas essas setecentas e dezesseis horas. A justificativa de negócio para o acesso administrativo 24/7 era a disponibilidade para resposta a incidentes. A exposição real das credenciais era de setecentas e dezesseis horas por mês de acesso persistente, de alto privilégio e não utilizado.
Qual é, de fato, o problema do acesso JIT versus o acesso permanente?
O acesso sob demanda é um modelo de acesso privilegiado no qual credenciais elevadas são provisionadas quando necessárias para uma tarefa específica e revogadas automaticamente quando a tarefa é concluída ou um período definido expira. O acesso permanente é um modelo no qual as credenciais privilegiadas persistem indefinidamente: a credencial é válida continuamente, quer o privilégio esteja em uso, quer não. Ambos os modelos oferecem a mesma capacidade funcional quando o privilégio está em uso. Diferem inteiramente no perfil de risco durante os períodos em que o privilégio não está em uso.
O acesso privilegiado permanente cria o que os profissionais de segurança chamam de "superfície de ataque em repouso": credenciais válidas e de alto privilégio que existem e são exploráveis em todas as horas em que não estão sendo usadas, o que, na maioria dos casos, corresponde à esmagadora maioria do tempo. Um engenheiro de suporte que usa seu acesso administrativo quatro horas por mês tem credenciais administrativas permanentes exploráveis durante setecentas e dezesseis horas por mês. As credenciais podem ser comprometidas por phishing, preenchimento de credenciais ou ataque à cadeia de suprimentos em qualquer uma dessas setecentas e dezesseis horas, dando ao atacante um acesso administrativo que ele pode exercer imediatamente, sem nenhuma ação adicional.
O acesso sob demanda elimina a superfície de ataque em repouso por concepção arquitetônica: não há credencial persistente a comprometer, porque a credencial não existe até ser solicitada. Um atacante que compromete um sistema de acesso JIT obtém acesso ao mecanismo de provisionamento, e não a uma credencial administrativa válida. A complexidade de ataque contra sistemas de acesso JIT é significativamente maior do que a do comprometimento de credenciais permanentes: o atacante precisa comprometer o fluxo de provisionamento, e não apenas o repositório de credenciais. A janela de exposição do acesso JIT é a duração da sessão ativa. A janela de exposição do acesso permanente é indefinida.
- Credenciais permanentes comprometíveis fora das janelas de uso: credenciais administrativas válidas exploráveis durante todas as horas em que não estão em uso
- Valor do roubo de credenciais: credenciais administrativas permanentes têm valor de exploração imediato; credenciais JIT exigem comprometer o fluxo de provisionamento
- Movimentação lateral a partir de credenciais permanentes: o acesso administrativo permanente em um sistema pode ser usado para estabelecer persistência e avançar para outros sistemas
- Credenciais permanentes órfãs: acesso administrativo permanente que persiste após o fim da necessidade operacional, como documentado no artigo sobre a proliferação de acessos administrativos
- Evolução das expectativas regulatórias: reguladores esperam cada vez mais acesso privilegiado JIT ou com limite de tempo, em vez de acesso administrativo permanente
Por que isso importa
O acesso JIT versus o acesso permanente importa para a TPRM porque os arranjos de suporte de fornecedores e de serviços gerenciados frequentemente envolvem acesso privilegiado permanente aos ambientes do cliente, um acesso provisionado em nome da disponibilidade que representa exposição contínua de credenciais durante toda a relação com o fornecedor. A conveniência do acesso permanente para o fornecedor é real: seus engenheiros podem responder imediatamente, sem etapas de provisionamento. O custo em risco é igualmente real: credenciais administrativas válidas para o ambiente do cliente no sistema de gestão de credenciais do fornecedor, continuamente, durante toda a relação.
A ampliação dos ataques à cadeia de suprimentos é a dimensão de risco específica que faz da questão do acesso JIT versus o acesso permanente uma questão de TPRM, e não apenas de segurança interna. Quando um fornecedor é comprometido (por uma violação de seus próprios sistemas, um ataque de phishing contra sua equipe ou um comprometimento de suas ferramentas na cadeia de suprimentos), o acesso do atacante aos ambientes dos clientes é determinado pelas credenciais que o fornecedor detém. Um fornecedor com acesso administrativo permanente a dezenas de ambientes de clientes é um alvo de ataque à cadeia de suprimentos de valor significativamente maior do que um fornecedor que usa acesso JIT, porque o comprometimento dá acesso imediato a todos os ambientes para os quais há credenciais permanentes.
Para profissionais de TPRM, a questão do acesso JIT versus o acesso permanente é cada vez mais uma expectativa regulatória, especialmente nos serviços financeiros. Os examinadores de instituições supervisionadas segundo o FFIEC estão perguntando se o acesso privilegiado de fornecedores é implementado por meio de mecanismos JIT, e os arranjos de acesso permanente são cada vez mais vistos como lacunas de governança que exigem justificativa específica, e não como a abordagem padrão.
Onde a maioria das equipes erra
A falha mais recorrente é aceitar exigências de disponibilidade como justificativa para o acesso permanente sem avaliar se o acesso JIT pode atender às mesmas exigências de disponibilidade. Na maioria dos cenários de serviços gerenciados e de suporte de fornecedores, os sistemas de acesso JIT conseguem provisionar acesso administrativo em dois a cinco minutos, bem dentro dos requisitos de tempo de resposta de todos os cenários de incidente, exceto os mais críticos. A justificativa de negócio para o acesso permanente merece o mesmo escrutínio que a de qualquer outra exceção de segurança.
- Aceitar a disponibilidade como justificativa automática para o acesso permanente
- Não avaliar alternativas JIT: tempo de provisionamento JIT versus requisitos de resposta a incidentes
- Não quantificar a exposição do acesso permanente: horas de exposição de credenciais por mês como métrica de risco
- Nenhum limite de tempo para o acesso permanente: credenciais permanentes provisionadas sem duração ou expiração definida
- Acesso permanente em serviços gerenciados tratado como padrão: norma do setor, e não questão de governança
Como é uma boa prática
Programas maduros de acesso JIT fornecem acesso privilegiado por meio de fluxos de provisionamento automatizados que exigem mínima intervenção humana, permitindo provisionar acesso em minutos para necessidades legítimas e, ao mesmo tempo, eliminar a exposição de credenciais permanentes. Plataformas de PAM com recursos JIT conseguem fornecer acesso emergencial em menos de sessenta segundos por meio de fluxos de acesso emergencial (break-glass).
- Acesso JIT como padrão para todo acesso privilegiado de fornecedores: acesso permanente somente com justificativa de exceção documentada
- Fluxos de provisionamento automatizados: solicitações de acesso aprovadas e provisionadas em menos de cinco minutos para necessidades operacionais padrão
- Procedimentos de acesso emergencial (break-glass): acesso imediato disponível por meio de um fluxo acelerado para emergências reais
- Limites de tempo de sessão: sessões JIT provisionadas com duração máxima e revogadas automaticamente ao expirar
- Monitoramento do uso do acesso: sessões de acesso JIT registradas com duração e ações executadas
Ferramentas
PAM com JIT: CyberArk, BeyondTrust, Delinea
O Dynamic Privileged Access da CyberArk oferece acesso administrativo JIT por meio de fluxos de aprovação automatizados: o acesso é solicitado, aprovado por política, provisionado e revogado automaticamente ao fim da sessão ou do prazo. O Privileged Remote Access da BeyondTrust oferece acesso remoto seguro a fornecedores com provisionamento de sessões JIT, gravação de sessões e rotação automática de credenciais. Para profissionais de TPRM, perguntar se o acesso do fornecedor ao ambiente do cliente usa uma plataforma de PAM com provisionamento JIT é a pergunta mais direta sobre o modelo de acesso.
Acesso remoto de confiança zero: Cloudflare Access, Zscaler Private Access
As plataformas de acesso de confiança zero oferecem acesso remoto a fornecedores por meio de túneis específicos por aplicação e com identidade verificada, em vez de amplo acesso à rede, de forma funcionalmente semelhante ao acesso JIT, já que o acesso é concedido por sessão por meio de um mecanismo de políticas, e não por credenciais persistentes de VPN. Para profissionais de TPRM, perguntar se o acesso remoto do fornecedor usa controles de acesso de confiança zero ou credenciais persistentes de VPN é uma pergunta específica para diferenciar o modelo de acesso.
Desafios de governança
O desafio de governança do acesso JIT versus o acesso permanente é a transição operacional de um modelo de acesso permanente que funciona de forma confiável para um modelo JIT que exige investimento em infraestrutura e mudanças nos processos operacionais. Organizações que operam com acesso permanente nas relações com fornecedores podem ter processos de engenharia, ferramentas de monitoramento e fluxos de resposta que pressupõem a disponibilidade de credenciais permanentes. A transição para o JIT exige atualizar esses fluxos e, possivelmente, investir em infraestrutura de PAM que antes não existia.
- Quantificar a exposição do acesso permanente: horas de validade da credencial versus horas de uso efetivo
- Avaliar alternativas JIT para todo acesso permanente de fornecedores: tempo de provisionamento versus exigência de disponibilidade
- Exigir acesso JIT para os acessos de fornecedores de maior risco: administração de produção, acesso a dados financeiros, gestão de infraestrutura
- Documentar as exceções de acesso permanente: justificativa para o acesso permanente quando o JIT não for viável
- Incluir a capacidade de JIT nas avaliações de segurança de fornecedores, especialmente de fornecedores de serviços gerenciados e de infraestrutura
Se você faz parte de uma equipe pequena
Calcule a razão de exposição de credenciais permanentes nas suas relações de acesso de fornecedores de maior risco: o total de horas por mês em que a credencial é válida dividido pelas horas por mês em que ela é de fato usada. Para uma credencial usada quatro horas por mês com validade permanente, a razão de exposição é de 180:1: a credencial fica explorável 180 vezes mais tempo do que fica em uso. Essa razão, calculada para cada relação de acesso permanente de fornecedor, oferece uma métrica de risco intuitiva que torna concreto o equilíbrio entre JIT e acesso permanente. Em seguida, pergunte se alternativas JIT poderiam atender à exigência de disponibilidade em cada relação com razão de exposição inaceitável.
- Calcular a razão de exposição de credenciais permanentes para cada relação de acesso de fornecedor
- Identificar as relações em que o JIT poderia atender às exigências de disponibilidade
- Exigir JIT para o acesso administrativo de produção como padrão de segurança de fornecedores
- Documentar as justificativas de exceção de acesso permanente para as relações em que o JIT for realmente inviável
O que exigir
Pergunte diretamente:
"Vocês usam provisionamento de acesso sob demanda para o seu acesso administrativo ao nosso ambiente, ou mantêm credenciais administrativas permanentes que são válidas continuamente, estejam ou não em uso ativo?"
"Em relação ao acesso administrativo permanente que vocês mantêm em nosso ambiente, quantas horas por mês essas credenciais são de fato usadas, e vocês avaliaram o acesso JIT como alternativa que eliminaria a exposição de credenciais permanentes?"
O que esperar como evidência
- Confirmação do acesso JIT ou documentação da justificativa do acesso permanente
- Métricas de uso do acesso: horas de uso versus horas de validade da credencial
- Confirmação da plataforma de PAM para o provisionamento JIT
- Documentação do procedimento de acesso emergencial (break-glass)
Um fornecedor que responde à pergunta sobre acesso permanente com "precisamos de disponibilidade 24/7 para resposta a incidentes" informou a exigência de disponibilidade. Pergunte especificamente quantas horas por mês esse acesso é de fato usado e se um processo de provisionamento JIT com tempo de aprovação de cinco minutos atenderia à exigência de resposta a incidentes. A exigência de disponibilidade é o caso de uso. O JIT é a questão de arquitetura. As duas coisas são separáveis.
Como comprovar
- Registros de avaliação de acesso JIT versus acesso permanente para as relações de acesso privilegiado de fornecedores
- Documentação da justificativa das exceções de acesso permanente
- Confirmação da plataforma de PAM ou do mecanismo JIT para o acesso privilegiado de fornecedores
- Métricas de uso do acesso versus validade da credencial
Principal conclusão
O acesso privilegiado permanente é um risco que corre continuamente. O acesso sob demanda é um risco que existe apenas quando o privilégio está em uso. A diferença entre quatro horas mensais de acesso administrativo e setecentas e dezesseis horas de validade de credenciais administrativas permanentes são setecentas e doze horas de superfície de ataque em repouso: exposição de credenciais sem nenhum valor operacional correspondente. O JIT não reduz a disponibilidade do acesso. Reduz a disponibilidade da credencial quando o acesso não está sendo usado. Na maioria dos cenários de suporte de fornecedores e de serviços gerenciados, o tempo de provisionamento do acesso JIT é operacionalmente irrelevante e a redução de risco é substancial. A exigência de disponibilidade é legítima. Ela não exige uma credencial contínua. Exige acesso quando necessário. O JIT oferece acesso quando necessário. O acesso permanente oferece uma credencial o tempo todo. Pergunte qual dos dois o fornecedor usa.