Capítulo 7 — Fundamentos de identidade e acesso
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX019.
flowchart TD
N0["7.1 Contas e grupos"]
N1["7.2 Contas de administrador local"]
N2["7.3 Evidência nos logs de identidade"]
N3["7.4 Revisão de privilégios"]
N4["7.5 Privilégio mínimo"]
N5["7.6 Contas de serviço"]
N6["7.7 Juntando a evidência"]
N7["Pessoas desligadas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX019"]
Desenho lógico
flowchart LR
N0["7.1 Contas e grupos"]
N1["7.2 Contas de administrador local"]
N2["7.3 Evidência nos logs de identidade"]
N3["7.4 Revisão de privilégios"]
N4["7.5 Privilégio mínimo"]
N5["7.6 Contas de serviço"]
N6["7.7 Juntando a evidência"]
N7["Pessoas desligadas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX019"]
[7.1 Contas e grupos]
|
v
[7.2 Contas de administrador local]
|
v
[7.3 Evidência nos logs de identidade]
|
v
[7.4 Revisão de privilégios]
|
v
[7.5 Privilégio mínimo]
|
v
[7.6 Contas de serviço]
|
v
[7.7 Juntando a evidência]
|
v
[Pessoas desligadas]
|
v
[Exemplo resolvido] --> [Exercício EX019]
Objetivos de aprendizagem
Você vai (1) explicar contas, grupos e privilégios; (2) revisar o uso de administradores locais e de domínio; (3) encontrar configurações de identidade arriscadas; (4) ler a evidência de identidade num incidente.
7.1 Contas e grupos
Os usuários têm contas; as contas pertencem a grupos que concedem permissões. As contas de domínio são gerenciadas de forma central; as contas locais existem apenas numa máquina. Numa investigação, essa distinção decide onde procurar. Os logons de uma conta de domínio são registrados nos controladores de domínio e também na máquina; os logons de uma conta local são registrados apenas na própria máquina. A conta admin usada no CLERK-03 era local, então a evidência de seu uso estava naquele desktop e em nenhum outro lugar, o que tornou urgente preservar os logs do desktop antes que alguém reinstalasse sua imagem.
7.2 Contas de administrador local
Muitas organizações já definiram, por conveniência, a mesma senha local de "admin" em todos os desktops. Se a senha de uma máquina for adivinhada ou roubada, todas as máquinas ficam expostas. Senhas locais únicas e gerenciadas evitam isso. Em Alder Falls, a mesma senha local foi definida em 140 desktops em 2019, então o logon no CLERK-03 levanta de imediato uma pergunta sobre cada um deles. Senhas únicas por máquina, trocadas por uma ferramenta de gerenciamento, fazem com que uma senha descoberta num desktop não abra mais nada, e uma investigação pode se concentrar em menos máquinas, com mais confiança.
7.3 Evidência nos logs de identidade
Os controladores de domínio registram os logons de domínio; os logons locais aparecem apenas no log da própria máquina, a menos que sejam encaminhados. É por isso que o logon local de admin no CLERK-03 só ficou visível depois do exame do PC. Encaminhar os logs de segurança locais para o coletor central teria tornado o logon no CLERK-03 visível sem tocar no desktop e teria protegido o registro caso alguém tivesse apagado o log local. Jonah acrescenta isso à sua lista de prontidão: a evidência de identidade de contas locais não deve depender da máquina que pode estar comprometida.
7.4 Revisão de privilégios
Quem está nos grupos de administradores? Jonah encontra nove contas no grupo de administradores do domínio, três delas de funcionários que já saíram. Três administradores de domínio que pertencem a pessoas desligadas são, ao mesmo tempo, um risco e uma pista. Cada conta ativa é uma porta de entrada que ninguém vigia, e qualquer uso recente delas precisa ser explicado. Jonah lista as nove contas com o responsável, o último logon e o motivo pelo qual cada uma precisa desses direitos, e entrega a lista a Renata, em vez de desativar qualquer coisa por conta própria durante um caso em aberto.
7.5 Privilégio mínimo
Os usuários recebem o que precisam; os administradores usam contas separadas para o trabalho administrativo. Contas administrativas separadas também deixam a evidência mais clara. Se os funcionários navegam na web e leem e-mails com contas comuns e usam uma conta distinta só para administração, um logon de administrador num horário incomum se destaca. Quando uma única conta faz tudo, nada no uso dela é incomum, e um intruso que a usa se mistura ao resto. O privilégio mínimo limita tanto o dano quanto a ambiguidade. Jonah observa que vários membros da equipe de TI de Alder Falls ainda usam uma única conta para tudo e propõe contas administrativas separadas como um ganho rápido.
7.6 Contas de serviço
As contas usadas por aplicações muitas vezes têm direitos amplos e senhas antigas; precisam de responsáveis e de revisões. Em Alder Falls, Jonah pergunta ao responsável por cada aplicação quais contas o sistema usa, quais direitos elas têm e quando a senha foi trocada pela última vez. As contas sem responsável conhecido são listadas para revisão, em vez de desativadas de imediato, porque uma dependência desconhecida poderia parar um serviço da prefeitura. Os logons de contas de serviço deveriam seguir um padrão previsível, o que torna fácil identificar um logon incomum nos logs.
7.7 Juntando a evidência
O logon de admin no CLERK-03 às 08:02:40 foi do tipo logon de rede, com origem 10.20.4.12 — outro desktop. Isso amplia a investigação. O endereço de origem transforma a história de uma máquina na história de duas. Jonah consulta o log do DHCP para confirmar qual desktop tinha o 10.20.4.12 naquele momento e registra que esse é também o endereço por trás da rajada de logons malsucedidos no servidor de arquivos. Renata acrescenta esse desktop à lista de coleta, já que o que quer que tenha acontecido ali começou antes de tudo o que se viu no CLERK-03. Ele registra o endereço, a concessão e o horário juntos, como na correlação anterior do endereço do CLERK-03.
Pessoas desligadas
As contas de pessoas que saíram precisam ser desativadas sem demora. Jonah compara a lista de desligamentos do RH com as contas ativas e encontra cinco ainda habilitadas; uma delas fez login no mês passado, o que por si só se torna uma pista para Renata.
Exemplo resolvido
Renata verifica se a mesma senha local de admin é usada em outros lugares. Os registros de configuração da prefeitura mostram que ela foi definida de forma idêntica em 140 desktops em 2019. Ela prioriza a troca de todas as senhas locais de admin usando uma solução gerenciada e a busca, nos logs dos outros desktops, de logons de admin no mesmo período.
Caso sintético. A configuração é inventada.
Erros e limites
Os logs de identidade mostram o uso da conta, não quem estava ao teclado; contas compartilhadas tornam a atribuição ainda mais difícil.
Exercícios
- EX019 — Senha de admin compartilhada. Por que uma única senha local de admin em muitos desktops é perigosa? Rubrica: 3 = um comprometimento expõe todos; 2 = parcial; 1 = é conveniente; 0 = nada.
- EX020 — Visibilidade do log local. Por que o logon local de admin só era visível no CLERK-03? Rubrica: 3 = logons locais são registrados localmente, a menos que encaminhados; 2 = parcial; 1 = estava oculto; 0 = nada.
- EX021 — Ampliação do escopo. O que a origem do logon revelou? Rubrica: 3 = veio de outro desktop, 10.20.4.12; amplia o escopo; 2 = parcial; 1 = vago; 0 = nada.
Síntese
O desenho da identidade determina até onde um intruso pode se mover e que evidência esse movimento deixa.
Continue estudando — capítulo 07 de 30
← Capítulo 06 (rascunho) · Índice de capítulos do curso · Capítulo 08 (rascunho) →