Passamos anos nos concentrando na segurança de identidade no contexto das pessoas — quem tem acesso, o que elas podem fazer e como controlar isso. Esse modelo fazia sentido quando a maior parte da atividade no ambiente era conduzida por usuários humanos. Mas isso já não é mais o caso.
As identidades de máquinas — aplicativos, serviços, APIs e cargas de trabalho automatizadas — agora desempenham um papel central na forma como os sistemas modernos operam. Elas se autenticam, se comunicam e executam tarefas, muitas vezes sem supervisão direta. E, em muitos ambientes, já superam em número as identidades humanas por uma ampla margem.
Neste episódio do STRIVE, converso com Dan Conrad, Tecnólogo Sênior e também CTO de Campo na Commvault. Analisamos mais de perto o que essa mudança significa — não apenas do ponto de vista da segurança, mas também do ponto de vista da governança. E exploramos por que tantas organizações ainda tratam isso como uma preocupação secundária. Assista ao episódio completo.
Principais conclusões: para onde o risco está se deslocando
- As identidades das máquinas estão crescendo mais rapidamente do que as identidades humanas, muitas vezes em ordens de magnitude.
- Os modelos de governança não acompanharam essa evolução, criando lacunas no acesso e no controle.
- A visibilidade é o principal desafio. Muitas equipes não compreendem totalmente como as identidades das máquinas se comportam.
- A proliferação de privilégios vai além dos usuários, já que as identidades das máquinas costumam ter acesso permanente.
- A resiliência depende da compreensão e do gerenciamento do escopo dessas identidades de máquinas antes que elas se tornem um problema.
O modelo de identidade mudou
Por muito tempo, o gerenciamento de identidades foi relativamente simples. Era possível mapear usuários a funções, definir políticas de acesso e criar controles com base em comportamentos previsíveis. Mesmo com toda a complexidade, o modelo ainda estava ancorado na atividade humana. As identidades das máquinas romperam esse modelo. Elas são criadas dinamicamente, muitas vezes como parte de processos de desenvolvimento ou implantação. Interagem entre sistemas de maneiras que nem sempre são visíveis, bem documentadas ou auditadas. E, ao contrário dos usuários humanos, não seguem um ciclo de vida bem definido — não são integradas e desativadas da mesma maneira estruturada.
Isso cria um tipo diferente de desafio. Não se trata mais apenas de controlar o acesso. Trata-se de entender como esse acesso está sendo utilizado, como ele evolui e como se conecta em todo o ambiente.
Prévia: Não dá para fazer phishing com uma identidade não humana
Nesta parte da discussão do STRIVE, Dan descreve como os invasores não estão atacando identidades não humanas diretamente por meio de phishing — eles são agentes mal-intencionados que utilizam contas humanas comprometidas por meio de engenharia social como um trampolim para escalar privilégios e se passar por identidades de máquinas com amplos poderes. Uma vez dentro do sistema, técnicas como “pass-the-hash” e contas de serviço com privilégios excessivos permitem que os invasores se movimentem lateralmente e verticalmente, mesmo após a redefinição das senhas.
A lacuna na governança
A verdadeira questão não é a existência das identidades de máquinas, e sim como elas são gerenciadas. Na maioria das organizações, existe um processo claro para gerenciar o acesso de pessoas:
- As solicitações foram aprovadas.
- As permissões são analisadas.
- As alterações são rastreadas.
Existe um nível de disciplina que resulta de anos de foco na identidade do usuário. No entanto, as identidades das máquinas muitas vezes ficam fora dessa estrutura. Elas são criadas rapidamente para dar suporte a aplicativos ou à automação. Recebem as permissões necessárias para funcionar, às vezes mais do que o necessário. E, com o tempo, essas permissões persistem. Esses acessos com permissões excessivas raramente são auditados, revisados e, mais importante ainda, raramente são reduzidos.
É aí que surge a lacuna. Torna-se difícil responder a perguntas básicas sobre acesso. Não porque a informação não exista, mas porque ela não foi organizada nem gerenciada de forma a torná-la utilizável.
Visibilidade antes do controle
Quando as organizações começam a lidar com esse problema, o instinto costuma ser o de reforçar os controles.
- Limitar permissões
- Restringir o acesso
- Aplicar novas políticas
Mas o controle sem visibilidade não resolve muita coisa. Se você não compreender como as identidades estão sendo utilizadas, o contexto empresarial em que se inserem — em termos de onde elas se conectam, com o que interagem e como se movimentam entre os sistemas —, então qualquer tentativa de restringi-las se tornará reativa e poderá resultar em uma desaceleração das operações comerciais. É por isso que a visibilidade precisa vir em primeiro lugar.
Quando você consegue ver como as identidades das máquinas se comportam, padrões começam a surgir. Você pode começar a entender onde o acesso é excessivo, onde existem dependências e onde o risco está concentrado. A partir daí, a governança pode se tornar mais precisa e mais eficaz.
Um tipo diferente de problema relacionado a privilégios
A proliferação de privilégios não é novidade. A maioria das organizações vem passando anos tentando gerenciar o acesso excessivo por parte dos usuários humanos.
As identidades das máquinas trazem um problema semelhante, mas com uma dinâmica diferente. O acesso delas geralmente está integrado aos sistemas. É persistente, automatizado e raramente questionado depois de implementado. Isso torna mais difícil detectá-lo e mais fácil ignorá-lo. E quando algo dá errado, essas identidades podem se tornar uma porta de entrada para que agentes mal-intencionados as explorem
Por onde começar
Para a maioria das organizações, o desafio não é a conscientização, e sim saber por onde começar. O primeiro passo não é uma grande transformação. É criar clareza. Entender quantas identidades de máquinas existem. Onde elas estão sendo criadas. Quais permissões elas têm. Como são utilizadas. E, o mais importante, confirmar se um usuário humano está mapeado a um conjunto de identidades não humanas para fins de auditabilidade e prestação de contas.
Essas perguntas parecem simples, mas muitas vezes são difíceis de responder. E é exatamente por isso que são importantes. Pois, assim que você conseguir respondê-las, não estará mais agindo no escuro.
Assista ao episódio completo
Nesta edição do STRIVE, aprofundamos a forma como as identidades das máquinas estão mudando a maneira como as organizações devem encarar o acesso, a governança e a resiliência. É uma conversa prática sobre o que está acontecendo agora – e o que precisa mudar daqui para frente. Assista agora.
Recursos
Se você tiver interesse em saber mais sobre esse assunto, dê uma olhada neste e-book sobre identidades não humanas.
Perguntas frequentes
P: O que é uma identidade de máquina?
R: Uma identidade de máquina é uma identidade não humana utilizada por aplicativos, serviços ou sistemas para se autenticar e interagir com outros recursos.
P: Por que as identidades de máquinas estão se tornando um risco cada vez maior?
R: Porque seu número está aumentando, muitas vezes elas têm acesso contínuo e nem sempre são controladas com o mesmo rigor que os usuários humanos.
P: Em que elas diferem das identidades de usuário?
R: Elas operam continuamente, estão integradas a fluxos de trabalho automatizados e, muitas vezes, carecem de uma gestão estruturada do ciclo de vida.
P: Qual é o maior desafio que as organizações enfrentam ao gerenciar identidades não humanas?
R: Visibilidade. Muitas equipes não têm uma noção clara de quantas identidades de máquinas são criadas, utilizadas ou interconectadas.
P: Como isso afeta a resiliência?
R: Se forem comprometidas, as identidades das máquinas podem permitir que um agente mal-intencionado se desloque rapidamente entre os sistemas, tornando mais difícil conter os incidentes e se recuperar deles.
P: Por onde as organizações devem começar?
R: Identificando as identidades das máquinas, compreendendo suas permissões e estabelecendo práticas de governança que correspondam à sua escala e complexidade. E, acima de tudo, confirmando que um usuário humano esteja associado a um conjunto de identidades não humanas para fins de auditabilidade e prestação de contas
Vidya Shankaran é diretora de tecnologia de campo da Commvault.
