Capítulo 7 — Fundamentos de identidade e acesso
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX019.
flowchart TD
N0["7.1 Três decisões"]
N1["7.2 Contas compartilhadas e remanescentes"]
N2["7.3 Multifator e caminhos de recuperação"]
N3["7.4 Privilégio mínimo como lista de verificação"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX019"]
Desenho lógico
flowchart LR
N0["7.1 Três decisões"]
N1["7.2 Contas compartilhadas e remanescentes"]
N2["7.3 Multifator e caminhos de recuperação"]
N3["7.4 Privilégio mínimo como lista de verificação"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX019"]
[7.1 Três decisões]
|
v
[7.2 Contas compartilhadas e remanescentes]
|
v
[7.3 Multifator e caminhos de recuperação]
|
v
[7.4 Privilégio mínimo como lista de verificação]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX019]
Objetivos de aprendizagem
Você vai (1) descrever autenticação, autorização e registro de atividades (accounting) como decisões separadas; (2) explicar por que contas compartilhadas e remanescentes aparecem com tanta frequência nas avaliações; (3) mapear fraquezas comuns de identidade para IDs de técnica do ATT&CK; (4) desenhar uma lista de verificação de privilégio mínimo para um portal dos funcionários.
7.1 Três decisões
A autenticação responde "quem é este?". A autorização responde "o que pode fazer?". O registro de atividades responde "o que fez?". Um sistema que autentica com rigor, mas autoriza todo mundo como administrador, resolveu apenas a primeira pergunta. Os achados devem dizer qual decisão falhou. No portal da TRT, as três podem falhar de forma independente: uma senha correta usada com um papel remanescente de terceirizado continua sendo um achado. Os papéis de VPN remanescentes do F-07 mostram deriva de autorização enquanto a autenticação ainda funciona, e a falta de trilha de registro pertence à mesma família de achados. Priya pontua cada decisão separadamente no texto, para que os responsáveis saibam qual controle corrigir.
7.2 Contas compartilhadas e remanescentes
Senhas compartilhadas para "a conta de operações" destroem a responsabilização: ninguém sabe quem a usou. Contas remanescentes de terceirizados e ex-funcionários são uma fonte clássica de acesso inesperado. O ATT&CK cataloga o uso adversário de credenciais legítimas como T1078 Valid Accounts e a criação de novas contas como T1136 Create Account. Mapear um achado para esses IDs permite que os defensores procurem os mesmos padrões em seus próprios logs. Senhas de operações compartilhadas destroem a perna do registro de atividades; o F-07 acompanha as contas de VPN de ex-terceirizados pelo mesmo motivo. O ENG-712 recomenda contas nominais e datas de revogação, e não mais um segredo compartilhado.
7.3 Multifator e caminhos de recuperação
Um segundo fator aumenta o custo de senhas roubadas. Os caminhos de recuperação — redefinição por SMS, liberação pelo service desk, códigos de backup — precisam ser protegidos no mesmo nível, ou viram a porta fraca. A geração de pedidos de MFA (ATT&CK T1621) é uma técnica adversária contra fatores por notificação push; isso é uma questão de desenho para exercícios de purple team, não uma deixa para desativar o MFA. Quando as ROE permitem, a declaração de método de Priya inclui uma revisão dos caminhos de recuperação do portal dos funcionários, incluindo a redefinição por SMS e a liberação pelo service desk. Um desenho forte de MFA com um processo fraco de redefinição é registrado como achado, e não ignorado. A revisão fica no nível de configuração e de processo e não envolve disparar pedidos push para funcionários reais.
7.4 Privilégio mínimo como lista de verificação
Para cada papel no portal dos funcionários: liste as ações de que ele precisa, remova o resto e registre quem pode conceder exceções. A lista de verificação é evidência de que a autorização foi desenhada, e não herdada. O privilégio mínimo dos papéis do portal é uma lista de verificação escrita e assinada pelo responsável pela aplicação. As exceções registram quem as concedeu e quando expiram. A lista é anexada como evidência ao lado do F-01; uma lista sem assinatura não conta como evidência de privilégio mínimo. A cada reteste, Priya relê a lista de exceções, porque uma exceção vencida que ainda concede direitos é, ela mesma, um achado.
Exemplo resolvido
Priya revisa a lista de contas de VPN da TRT. Três contas pertencem a terceirizados cujos contratos terminaram há meses. Ela registra um achado sob T1078, com a evidência E-010 (a exportação das contas com as datas do último login), e recomenda a desativação mais uma revisão trimestral. Ela não tenta usar as contas.
Caso sintético. As contas remanescentes de terceirizados são exemplos fictícios da TRT.
Erros e limites
Listar contas não é o mesmo que provar que elas podem ser usadas; essa etapa exige autorização explícita. Não guarde senhas recuperadas em chamados.
Exercícios
- EX019 — Qual decisão? Um portal permite que qualquer funcionário autenticado edite o horário público. Qual dos três (AAA) falhou e qual é a direção da correção? Rubrica: 3 = autorização; restringir a edição a um papel de publicador; 2 = só autorização; 1 = autenticação; 0 = nada.
- EX020 — Mapeamento no ATT&CK. Mapeie "contas de VPN de ex-terceirizados ainda ativas" para um ID e um nome de técnica. Rubrica: 3 = T1078 Valid Accounts; 2 = só T1078 ou só Valid Accounts; 1 = ID errado; 0 = nada.
- EX021 — Caminho de recuperação. Nomeie uma fraqueza de caminho de recuperação capaz de anular o MFA e uma mitigação. Rubrica: 3 = por exemplo, redefinição fraca pelo service desk / interceptação de SMS / códigos de backup desprotegidos + a mitigação correspondente; 2 = nomeia a fraqueza; 1 = desativar o MFA; 0 = nada.
Síntese
Separe quem, o quê e o que foi feito; aposente as contas remanescentes; mapeie os achados de identidade para o ATT&CK, para que os defensores possam caçá-los.
Continue estudando — capítulo 07 de 30
← Capítulo 06 (rascunho) · Índice de capítulos do curso · Capítulo 08 (rascunho) →