Capítulo 13 — Identidade e acesso
Mapa da aula
Aula 13 publicada. Mapa, exemplo, EX037.
flowchart TD
N0["13.1 Autenticação e autorização"]
N1["13.2 Registros do provedor de identidade"]
N2["13.3 Sinais de uso indevido"]
N3["13.4 Resposta"]
N4["13.5 Evidências e pessoas"]
N5["13.6 Privilégio mínimo"]
N6["13.7 Retenção"]
N7["Contas de serviço"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX037"]
Desenho lógico
flowchart LR
N0["13.1 Autenticação e autorização"]
N1["13.2 Registros do provedor de identidade"]
N2["13.3 Sinais de uso indevido"]
N3["13.4 Resposta"]
N4["13.5 Evidências e pessoas"]
N5["13.6 Privilégio mínimo"]
N6["13.7 Retenção"]
N7["Contas de serviço"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX037"]
[13.1 Autenticação e autorização]
|
v
[13.2 Registros do provedor de identidade]
|
v
[13.3 Sinais de uso indevido]
|
v
[13.4 Resposta]
|
v
[13.5 Evidências e pessoas]
|
v
[13.6 Privilégio mínimo]
|
v
[13.7 Retenção]
|
v
[Contas de serviço]
|
v
[Exemplo resolvido] --> [Exercício EX037]
Objetivos de aprendizagem
Você vai (1) explicar autenticação e autorização; (2) ler os registros de um provedor de identidade; (3) detectar sinais de uso indevido de credenciais; (4) relacionar com cuidado as evidências de identidade às pessoas.
13.1 Autenticação e autorização
A autenticação verifica quem uma conta afirma ser (senha, token, biometria); a autorização decide o que ela pode fazer. Ambas geram registros. As duas produzem evidências diferentes. Um registro de entrada mostra que as credenciais de s.kaur foram aceitas às 10:02; um registro de acesso mostra o que essa sessão abriu em seguida, como a caixa de correio em que uma regra de encaminhamento foi criada. Uma investigação precisa das duas para dizer não só que um intruso entrou, mas também o que ele podia alcançar e o que alcançou com as permissões dessa conta.
13.2 Registros do provedor de identidade
O login único (single sign-on) da universidade registra cada entrada: conta, horário, IP de origem, dispositivo, resultado e se a autenticação multifator (MFA) foi aprovada. Cada campo responde a uma pergunta. O IP de origem sugere de onde veio a entrada, o campo de dispositivo indica se era uma máquina conhecida, e o resultado da MFA diz se o segundo fator foi atendido. Na entrada das 10:02, o IP estrangeiro e um dispositivo desconhecido, somados a uma notificação push aprovada, formam o padrão que Leah descreve como provável roubo de credenciais seguido de fadiga de MFA.
13.3 Sinais de uso indevido
Depois do phishing na ws-114, a conta de s.kaur mostra uma entrada às 10:02 a partir de um endereço IP num país distante, com a MFA aprovada por notificação push. Uma localização incomum, somada a uma solicitação que a usuária pode ter aprovado por hábito, sugere credenciais roubadas e fadiga de MFA. A cronologia sustenta essa leitura: as credenciais foram enviadas às 09:14:30, e a entrada estrangeira veio menos de cinquenta minutos depois. Esse intervalo é longo o bastante para que as credenciais roubadas fossem coletadas e repassadas, e curto o bastante para ligar os dois eventos. A regra de encaminhamento das 10:05, três minutos depois da entrada, completa um padrão que os respondentes veem com frequência após a tomada de contas.
13.4 Resposta
O escritório de segurança redefine a senha, revoga as sessões e revisa o que a conta acessou depois das 10:02. Revogar as sessões importa porque uma redefinição de senha, sozinha, não encerra uma sessão já aberta; o intruso poderia continuar lendo os e-mails. A revisão posterior às 10:02 encontrou a regra de encaminhamento da caixa de correio criada às 10:05, que os respondentes então removeram depois de registrar seus detalhes. Cada etapa é registrada com seu horário, para que a investigação consiga separar as ações do intruso da limpeza que veio depois, que também altera os registros.
13.5 Evidências e pessoas
Os registros de identidade mostram contas e dispositivos. Concluir que determinada pessoa fez a entrada exige outras evidências. Inversamente, a titular da conta é, provavelmente, a vítima aqui. A evidência mostra uma credencial usada a partir de um IP estrangeiro, o que não é coerente com s.kaur estar na ws-114 naquele momento. A leitura provável é que ela digitou a senha na página falsa e depois aprovou uma notificação push sem perceber que vinha de outra pessoa. O laudo de Leah diz isso em termos neutros e deixa ao escritório de segurança qualquer juízo sobre treinamento.
13.6 Privilégio mínimo
Contas com menos permissões limitam o dano após um comprometimento; a investigação registra que a conta de s.kaur tinha apenas o acesso padrão de estudante. Com o acesso padrão de estudante, a conta podia ler os próprios e-mails e arquivos e usar os sistemas de ensino, mas não alterar dados de outros usuários nem administrar servidores. Isso também limita o escopo da investigação: Leah verifica o que a conta podia alcançar, o que é muito menos do que no caso de um administrador da equipe. Se a conta tivesse direitos mais amplos, todo sistema ao seu alcance precisaria ser revisado.
13.7 Retenção
Os registros de entrada são mantidos por um período limitado; as investigações devem solicitá-los prontamente. Se o provedor de identidade guarda as entradas por trinta dias e o incidente é descoberto no dia vinte e cinco, restam só cinco dias para exportá-las. O escritório de Grace exporta os registros relevantes no primeiro dia de uma investigação e os guarda com um hash na pasta do caso. Perguntas posteriores podem então ser respondidas a partir da exportação, mesmo depois que o provedor tiver apagado sua própria cópia. A exportação registra a consulta usada, para que fique claro o escopo do que foi salvo.
Contas de serviço
Nem toda conta é uma pessoa. As contas de serviço executam tarefas agendadas e integrações; suas entradas seguem padrões. Leah aprende a separá-las na análise, porque uma conta de serviço que entra às 03:00 toda noite é normal, enquanto uma conta de estudante que faça isso pode não ser. Cada tipo tem sua própria linha de base.
Exemplo resolvido
Leah monta uma tabela curta: 09:14:30, dados enviados por POST da ws-114 para a página falsa; 10:02, entrada na conta s.kaur a partir de um IP estrangeiro, com push de MFA aprovado; 10:05, regra criada na caixa de correio encaminhando mensagens para fora. Ela descreve a sequência e observa que a regra na caixa de correio é uma ação subsequente comum após a tomada de contas.
Caso sintético. Os registros são inventados.
Erros e limites
A geolocalização por IP é aproximada, e as VPNs mudam a localização aparente; trate a localização como pista.
Exercícios
- EX037 — Sinais de uso indevido. O que sugere que as credenciais de s.kaur foram roubadas? Rubrica: 3 = IP estrangeiro após o POST do phishing, push de MFA aprovado; 2 = parcial; 1 = vago; 0 = nada.
- EX038 — Etapas da resposta. Liste três etapas da resposta. Rubrica: 3 = redefinir a senha, revogar as sessões, revisar os acessos; 2 = duas; 1 = uma; 0 = nada.
- EX039 — Geolocalização. Por que tratar a localização do IP apenas como pista? Rubrica: 3 = aproximada, VPNs; 2 = parcial; 1 = exata; 0 = nada.
Síntese
Os registros de identidade revelam o uso indevido de contas; ligue-os a pessoas apenas com outras evidências.
Continue estudando — capítulo 13 de 40
← Capítulo 12 (rascunho) · Índice de capítulos do curso · Capítulo 14 (rascunho) →