privilege creep

segurançagovernança e riscoSuporte de TI

O acúmulo lento de direitos de acesso por uma pessoa ou uma conta conforme as funções mudam e as permissões antigas nunca são retiradas, até que o que ela pode fazer não guarde relação com o que precisa fazer.

Ninguém concede o privilege creep; ele é o que acontece quando permissões são acrescentadas a cada tarefa, projeto ou transferência e removidas em nenhuma, de modo que um funcionário de dez anos ainda alcança os sistemas de todas as equipes por que passou. O catálogo de controles do NIST nomeia a dinâmica sem a gíria: no AC-6(7) diz que a necessidade de certos privilégios atribuídos a usuários pode mudar com o tempo para refletir mudanças na missão e nas funções do negócio, nos ambientes de operação, nas tecnologias ou nas ameaças, e exige uma revisão periódica dos privilégios atribuídos para validar a necessidade desses privilégios e para reatribuir ou remover privilégios, se necessário. A documentação da Microsoft sobre revisões de acesso faz a toda organização as mesmas duas perguntas: conforme as pessoas mudam de equipe ou saem da empresa, como você garante que o acesso antigo delas é removido? E avisa que direitos de acesso excessivos podem levar a comprometimentos e também a apontamentos de auditoria, pois indicam falta de controle sobre o acesso. A cura é procedimental, não técnica: processos de entrada, movimentação e saída ligados ao registro de RH, papéis em vez de concessões individuais, exceções com prazo e revisões em que um dono tem de dizer sim de novo a cada direito ou ele é removido.

Privilege creep é o nome que os praticantes dão a uma deriva, não a uma decisão. Uma pessoa é contratada para uma função e recebe o acesso de que ela precisa; ajuda num projeto e é acrescentada aos sistemas dele; muda de equipe e ganha os grupos dessa equipe; cobre um colega de férias e herda um papel de administrador pela duração; e em nenhum momento alguém remove o que a etapa anterior concedeu, porque a remoção não tem prazo nem solicitante. Depois de alguns anos a conta alcança sistemas de todas as equipes por que passou, e o retrato que um modelo de controle de acesso pinta de quem pode fazer o quê deixou, em silêncio, de ser verdadeiro. Contas de serviço derivam do mesmo jeito, com a diferença de que ninguém é jamais transferido para longe delas.

Os padrões descrevem a condição sem usar a gíria. O catálogo de controles do NIST, no aprimoramento AC-6(7) Review of User Privileges, diz que a necessidade de certos privilégios atribuídos a usuários pode mudar com o tempo para refletir mudanças na missão e nas funções do negócio, nos ambientes de operação, nas tecnologias ou nas ameaças, que uma revisão periódica dos privilégios atribuídos é necessária para determinar se a justificativa para atribuí-los continua válida e que, se a necessidade não puder ser revalidada, as organizações tomam as ações corretivas apropriadas; o controle em si exige que as organizações revisem os privilégios atribuídos numa frequência definida para validar a necessidade desses privilégios e reatribuam ou removam privilégios, se necessário, para refletir corretamente a missão e as necessidades do negócio. O controle de gestão de contas AC-2 ataca as fontes da deriva: exige notificação quando contas não são mais necessárias, quando usuários são desligados ou transferidos e quando o uso do sistema ou o need-to-know de um indivíduo muda, e pede às organizações que alinhem os processos de gestão de contas aos processos de desligamento e transferência de pessoal, que é a disciplina de entrada, movimentação e saída em prosa regulatória.

Os fornecedores que vendem o remédio descrevem o sintoma com as mesmas palavras. A visão geral das revisões de acesso da Microsoft em seu produto de governança de identidade abre com as perguntas: conforme novos funcionários entram, como você garante que eles têm o acesso de que precisam para ser produtivos? E conforme as pessoas mudam de equipe ou saem da empresa, como você garante que o acesso antigo delas é removido? E dá as duas consequências: direitos de acesso excessivos podem levar a comprometimentos, e direitos de acesso excessivos também podem levar a apontamentos de auditoria, pois indicam falta de controle sobre o acesso. A resposta do produto é a que o controle descreve, revisões recorrentes, de semanais a anuais, em que os donos de um grupo, de uma aplicação ou de um papel são chamados a aprovar ou negar o acesso continuado de cada pessoa, com a negação removendo-o.

Por que isso importa é o raio de dano. Um atacante que compromete uma conta com creep herda anos de alcance acumulado, e a movimentação lateral que compõe a maior parte das narrativas de invasão muitas vezes não é escalada alguma, e sim o uso comum de permissões que uma pessoa deveria ter perdido há muito. O caso interno é a mesma conta usada pelo próprio dono, e o verbete de segregação de funções explica por que uma única pessoa que acumulou as duas metades de um processo controlado é uma falha de controle mesmo quando nenhum dano aconteceu. Auditores tratam, portanto, o acesso acumulado como evidência de controle ausente, que é a segunda consequência que a Microsoft nomeia.

A cura é procedimental, e as medidas técnicas só tornam o procedimento barato. Papéis em vez de concessões individuais, para que uma transferência seja uma troca de papel e as permissões do papel antigo saiam com ele; exceções concedidas com data de validade em vez de permanentes; gestão de contas ligada ao registro de pessoal, para que transferências e desligamentos disparem a remoção automaticamente; revisões em que um dono precisa reaprovar positivamente cada direito ou ele caduca; e registro das ações privilegiadas, que o AC-6(9) do catálogo exige, para que os privilégios que uma conta de fato usa possam ser comparados aos que ela detém. O menor privilégio é o princípio, RBAC e ABAC são os modelos, e o privilege creep é o que acontece com qualquer um deles sem um calendário.

Também conhecido como: access creep, permission creep, entitlement creep, privilege accumulation, authorization creep

← Todos os verbetes do glossário