Depois de identificar contas privilegiadas e ativos confidenciais, a próxima etapa é implementar privilégios mínimos.

Isso envolve a remoção de acesso desnecessário sempre que possível. Em particular, isso envolve as contas sombra, contas de serviço extra e privilégios estendidos que identificamos na primeira seção.

De longe, a maneira mais fácil de fazer isso é agrupar arquivos confidenciais com base em quem deve ter acesso a eles.

Dessa forma, você pode implementar controles de acesso baseados em função para cada um desses grupos.

Por exemplo, os gerentes de RH teriam acesso ao endereço dos funcionários e às informações salariais, mas não às informações confidenciais do cliente no CRM. Para os gerentes de vendas, o oposto seria verdadeiro.

Para arquivos básicos, isso deve ser bastante simples; É um caso de colocar arquivos em pastas e controlar o acesso a essas pastas.

Se esses dados forem armazenados em aplicativos de nuvem ou SaaS, será mais difícil.

Alguns deles terão proteções PAM integradas, outros não – então você terá que pensar cuidadosamente sobre quais ferramentas está usando e se elas podem oferecer a proteção de que você precisa.

Também pode ser útil, nesta fase, considerar uma plataforma CIEM para controlar o acesso aos dados armazenados em ambientes de nuvem particularmente complexos.

Seja qual for a tática que você esteja usando, o objetivo deve ser reduzir os privilégios ao mínimo absoluto.

Dessa forma, há menos pontos de entrada para os hackers atingirem.

Remover privilégios desnecessários é um ótimo primeiro passo – mas não é a única ferramenta em seu arsenal.

Afinal, sempre haverá contas que precisam de acesso a informações confidenciais, e essas identidades ainda podem ser infiltradas.

Mas há uma série de outras medidas que você pode implementar que podem melhorar a defesa dessas contas privilegiadas que ainda precisam existir.

Aqui estão alguns dos mais importantes:

• Rotação de credenciais: uma política para garantir que as senhas sejam alteradas regularmente, geralmente combinada com restrições na força da senha. Uma vez solicitado, os usuários finais devem alterar sua senha antes de fazer login. Isso garante que as senhas vazadas ou roubadas se tornem redundantes após um determinado período. As políticas de rotação podem ser definidas por meio de soluções PAM e estão disponíveis por meio de uma variedade de outras ferramentas de segurança.
• Autenticação multifator: Isso geralmente envolve a autenticação de um usuário por meio de seu smartphone ao fazer login, o que cria uma camada extra de defesa. Isso pode ocorrer por meio de um aplicativo autenticador, uma senha de uso único ou uma leitura de impressão digital. A funcionalidade MFA agora é comum nos principais produtos SaaS. Eles também podem ser implementados em nível corporativo usando produtos PAM ou por meio de uma variedade de ferramentas de segurança da Microsoft.
• Cofre de senhas: Um cofre ou gerenciador de senhas é outra ferramenta cada vez mais popular. Aqui, as senhas são criptografadas e armazenadas em um aplicativo ou plug-in seguro, muitas vezes sem que os próprios usuários finais possam vê-las. Isso garante que as senhas possam ser complexas, exclusivas e alteradas regularmente sem afetar a experiência do usuário. Também evita que as senhas sejam salvas em formato de texto simples por meio de aplicativos de notas inseguros ou outras mídias.
• Chaves e tokens digitais: semelhante ao cofre de senhas, visa remover totalmente as senhas baseadas em texto. Em vez disso, o acesso pode ser concedido por meio de tokens, chaves ou IDs digitais, que podem ser provisionados com segurança por meio de produtos PAM e gerenciados centralmente pela equipe de TI. Geralmente, essas chaves são cadeias de caracteres criptografadas baseadas em texto que são desconhecidas para o usuário final e não podem ser reproduzidas com eficácia em formato de texto simples.
• Chaves físicas: Itens (por exemplo, pendrive, cartão-chave, chaveiros, microchips, etc.) que podem autenticar indivíduos. Assim como as chaves tradicionais, a autenticação baseia-se na suposição de que apenas o indivíduo selecionado possui esse item. Você pode decidir, por exemplo, que qualquer pessoa com uma conta de administrador root precisa se autenticar por meio de uma senha, uma digitalização de impressão digital e uma chave digital – essencialmente uma camada estendida de autenticação multifator.
• Acesso just-in-time: Outro recurso que pode ser habilitado pelas plataformas PAM ou PEDM mais atualizadas. Trata-se essencialmente de uma série de políticas dinâmicas que concedem ou revogam o acesso a ativos confidenciais com base no contexto. Isso evita a necessidade de qualquer indivíduo ter acesso ‘sempre ativo’, também conhecido como privilégios permanentes. Na prática, isso significa que o acesso pode ser recusado se certos ‘sinais de risco’ (por exemplo, novo dispositivo, novo local, vulnerabilidades não corrigidas) forem detectados. Quando o acesso é concedido, geralmente é feito por razões específicas e por períodos limitados no tempo.

Os produtos mais atualizados permitirão que você crie e implemente políticas PAM para decidir quais tipos de autenticação devem ser usados em quais cenários.

Um bom lugar para começar é implementar a MFA em todas as contas privilegiadas e usar um cofre de senhas como padrão para todas as credenciais digitais.

Em seguida, você pode considerar a implementação de chaves digitais, tokens e políticas just-in-time para permitir o acesso a ativos e dados mais confidenciais.

Seja qual for a abordagem escolhida, a melhor política de PAM é, de longe, criar uma defesa em camadas.

Nenhuma política única interromperá 100% dos ataques, por isso é importante usar uma combinação de diferentes técnicas.

Até agora, identificamos ativos confidenciais, eliminamos privilégios desnecessários e implementamos uma série de políticas para manter seu ambiente de TI seguro.

Você pode presumir que o trabalho está concluído neste momento – mas é importante não ficar tranquilo.

As políticas que você criar precisarão ser revisadas continuamente para garantir que você obtenha o equilíbrio certo entre segurança e usabilidade.

Todas as políticas de segurança têm algum impacto na experiência do usuário. E quando esse impacto se torna muito grave, os funcionários geralmente começam a encontrar soluções alternativas complicadas para evitá-los – o que não é bom para a segurança.

É importante, portanto, descobrir qual é o impacto de suas políticas para que você possa decidir onde elas são mais necessárias.

Então, como você faz isso? A primeira etapa é a mais óbvia: converse com sua equipe.

Isso lhe dará uma ideia de como eles percebem as políticas e onde estão os maiores problemas.

Se as medidas de segurança em ativos de risco relativamente baixo estão criando muitos atritos desnecessários, isso pode ser um sinal de que não são necessárias.

Também é importante monitorar qual comportamento de risco está sendo detectado em seu ambiente de TI.

Isso pode ser algo simples, como um login de um novo local, ou algo mais complexo, como uma vulnerabilidade não corrigida ou suspeita de malware.

Isso lhe dará uma ideia dos maiores riscos e, por associação, quais políticas você pode implementar para mitigá-los.

Geralmente, essas informações estão disponíveis na maioria dos produtos PASM padrão por meio da funcionalidade de ‘monitoramento de sessão’.