Neste artigo vamos tratar dos desafios que gestores de segurança enfrentam no gerenciamento da autenticação para equipes cada vez mais distribuídas e remotas, quais as consequências negativas da autorização ineficaz e como a mudança em direção à nuvem afeta as estratégias de autenticação.
Quais são algumas das consequências reais da autorização ineficaz e como podem ser evitadas?
A autorização ineficaz pode ter múltiplas consequências negativas, algumas delas incluem:
Violacões de dados: Quando indivíduos não autorizados têm acesso a dados sensíveis, eles podem ser roubados ou usados de várias maneiras contra uma organização individual.
Fraude: A autorização ineficaz pode facilitar para os atacantes cometer fraudes, como fraude de cartão de crédito ou roubo de identidade.
Segurança do sistema: Quando a autorização não é implementada corretamente, pode criar vulnerabilidades do sistema que podem ser exploradas por atacantes para comprometer ou extrair informações.
Violações de conformidade: A autorização ineficaz pode levar a violações de conformidade, como aquelas relacionadas às leis de privacidade de dados. Isso pode resultar em multas, penalidades e outras sanções.
Perda de produtividade: Quando os funcionários não têm a autorização de que precisam para fazer seus trabalhos, pode levar à perda de produtividade. Isso também pode levar à frustração e insatisfação entre os funcionários, que é um ponto frequentemente negligenciado.
Existem várias maneiras de evitar a autorização ineficaz, incluindo:
Implementação de políticas e procedimentos de controle de acesso fortes
As políticas de controle de acesso devem definir quem tem acesso a quais recursos e em que condições. Os procedimentos de controle de acesso devem garantir que essas políticas sejam implementadas e aplicadas.
Usando menos privilégios
O princípio do menor privilégio afirma que os usuários devem receber apenas as permissões de que precisam para executar suas funções de trabalho. Isso ajuda a reduzir o risco de acesso não autorizado a dados ou sistemas sensíveis. Isso pode conflitar com a cultura da empresa em certa medida quando as empresas têm uma mentalidade de acesso aberto, o que pode ter consequências não intencionais para a cultura e produtividade da empresa.
Revisando regularmente as autorizações
As autorizações devem ser revisadas regularmente para garantir que ainda sejam apropriadas. Isso é especialmente importante quando há mudanças de pessoal ou funções de trabalho.
Usando autenticação segura
Recursos como o Passwordless ou autenticação multifator exigem que os usuários forneçam duas ou mais identificações para acessar um sistema ou recurso. Isso ajuda a impedir o acesso não autorizado, mesmo que a senha de um usuário seja comprometida.
Educando os usuários sobre riscos de segurança
Os usuários devem ser educados sobre os riscos de segurança associados à autorização ineficaz e como se proteger. Isso inclui treiná-los sobre como criar senhas fortes, evitar ataques de phishing e relatar atividades suspeitas.
Implementar automação de teste no desenvolvimento
Empresas que desenvolvem seu próprio software devem investir em testes automatizados de seu sistema de autorização para evitar erros de desenvolvimento que possam quebrar o controle de acesso. Vale ressaltar que, em 2021, a OWASP atribuiu o controle de acesso quebrado à posição número 1 em seu relatório (https://owasp.org/Top10/).
Mantenha um registro de auditoria de longo prazo
Muitas vezes, se ocorrer uma violação, é crucial ter um registro de auditoria que dure mais do que alguns meses (recomendamos pelo menos 12 meses). Isso ocorre porque pode levar muito tempo após uma violação até que ela se torne visível.
Quais são os desafios mais significativos que os executivos de segurança enfrentam hoje ao gerenciar a autenticação em forças de trabalho cada vez mais distribuídas e remotas?
Os desafios mais significativos que vejo os CISOs enfrentando hoje são:
O número crescente de dispositivos e aplicativos que precisam ser seguros
Com cada vez mais funcionários trabalhando remotamente, eles estão usando uma variedade maior de dispositivos e aplicativos para acessar recursos corporativos. Isso torna difícil controlar todos os dispositivos e aplicativos que precisam ser seguros e garantir que todos eles estejam usando métodos de autenticação fortes.
Dispositivos de autenticação
Quando as empresas desejam começar a usar conceitos de autenticação segura, como o Passwordless (FIDO2) ou até mesmo smartcards, isso se torna um fardo adicional para fornecer os dispositivos de autenticação aos funcionários. Muitas vezes, o uso de um processo TOFU (confiança no primeiro uso) leva a um risco adicional. No entanto, isso pode não ser relevante para todas as empresas.
A crescente sofisticação dos ciberataques
Os ciberataques estão se tornando cada vez mais sofisticados, e os atacantes estão constantemente procurando novas maneiras de contornar os métodos de autenticação tradicionais. Isso torna mais difícil para os executivos manterem suas empresas seguras.
A necessidade de equilibrar segurança e usabilidade
Os executivos de segurança precisam encontrar uma maneira de equilibrar a necessidade de autenticação forte com a necessidade de usabilidade. Se a autenticação for muito complexa ou inconveniente, os usuários podem ser tentados a evitá-la, o que pode deixar a organização vulnerável a ataques.
A falta de recursos
Muitas organizações não têm os recursos necessários para implementar e gerenciar autenticação forte em uma força de trabalho distribuída. Isso pode dificultar o acompanhamento das últimas ameaças de segurança e garantir que todos os usuários estejam usando métodos de autenticação fortes.
Como a mudança em direção à transformação em nuvem afetou as estratégias de autenticação para empresas?
A mudança em direção à transformação em nuvem levou a mais dispositivos gerenciados e não gerenciados, aplicativos internos e serviços de terceiros que precisam ser seguros. A necessidade de autenticação melhor/mais forte, mais flexibilidade e mais automação é claramente um dos maiores desafios. Para enfrentar isso, as empresas estão adotando novas estratégias de autenticação, como [MFA] , passwordless, autenticação baseada em risco, autenticação biométrica, zerotrust e estratégias de SSO.
Isso se tornou uma grande discussão interessante assim que as organizações passaram a usar sistemas em nuvem para controlar suas identidades e credenciais. Isso, do ponto de vista de risco, requer algumas considerações especiais.
- O que acontece se o sistema de identidade estiver inacessível? Isso pode ter várias razões, como um conflito com o provedor de serviços ou problemas operacionais com ele. As empresas devem criar planos de contingência para esse risco.
- O que acontece se o sistema de identidade for comprometido? Você obtém as informações para fazer a análise forense depois do trabalho. Um exemplo recente disso é o roubo da chave de assinatura da Microsoft recentemente (https://www.schneier.com/blog/archives/2023/08/microsoft-signing-key-stolen-by-chinese.html).
Como as organizações estão navegando na tensão entre o suporte a protocolos legados e a adoção de novas tecnologias de autenticação?
As organizações estão navegando na tensão entre o suporte a protocolos legados e a adoção de novas tecnologias de autenticação, descontinuando gradualmente os protocolos legados ao longo do tempo, usando simultaneamente tanto protocolos legados quanto novas tecnologias de autenticação ou usando um único sistema de autenticação para suportar todos os usuários e aplicativos. A abordagem ideal para uma organização dependerá de suas necessidades e circunstâncias específicas.
No entanto, algumas das considerações-chave a serem feitas são:
- O custo: O suporte a protocolos legados pode se tornar um fardo operacional. Como vários sistemas precisam estar operacionais.
- Os riscos: O suporte a protocolos legados pode se tornar um problema para trabalhar em direção à autenticação segura (especialmente sem senha) se os usuários ainda dependerem de um login de fator único para determinados serviços. Pode ser mais eficiente isolar esses ambientes do restante da arquitetura. No entanto, isso pode depender do número de usuários que precisam acessar um serviço legado.
Ao considerar cuidadosamente esses fatores, as organizações precisam tomar decisões informadas sobre como navegar na tensão entre o suporte a protocolos legados e a adoção de novas tecnologias de autenticação e o impacto em seus usuários.
Quais são as melhores práticas para gerenciar as credenciais dos dispositivos de forma eficaz à medida que as organizações desenvolvem estratégias de identidade de máquina?
Algumas das melhores práticas para gerenciar efetivamente as credenciais dos dispositivos incluem:
Uso de gerenciamento de identidade (de dispositivo): Isso pode ajudar as organizações a automatizar o gerenciamento das credenciais, incluindo a provisão, rotação e desprovisionamento de credenciais. Isso reduz o risco de erro humano e melhora a segurança das credenciais de máquina.
Usar armazenamento seguro: As credenciais de dispositivos devem ser armazenadas com segurança para protegê-las contra acesso não autorizado. Isso pode ser feito usando uma variedade de métodos de criptografia, como criptografia simétrica ou assimétrica ou usando soluções especializadas de armazenamento de segredos como HSMs ou produtos baseados em software.
Rotacionar as credenciais de dispositivos regularmente: As credenciais de máquina devem ser rotacionadas regularmente para reduzir o risco de comprometimento. A frequência da rotação dependerá da sensibilidade dos dados que está acessando.
Usar autenticação segura: A autenticação segura pode ajudar a proteger estas credenciais para evitar acesso não autorizado ao armazenamento de segredos ou ao sistema de identidade.
Monitorar a atividade para comportamento suspeito: As organizações devem monitorar a atividade dos dispositivos para comportamento suspeito, como tentativas repetidas de falhas no login ou acesso a recursos não autorizados. Isso pode ajudar a detectar acesso não autorizado e tomar medidas corretivas.
O conjunto destas melhores práticas formam uma ótima base ao trabalhar com identidades de máquina, diminuindo a superfície de ataque e exposição aos ataques.