Controlo de acesso

O controle de acesso é a parte da segurança que as pessoas experimentam primeiro e com mais frequência. Vêem-no quando iniciam sessão nos seus computadores e telemóveis, quando partilham um ficheiro ou tentam aceder a uma aplicação e quando utilizam uma chave de cartão de identificação para entrar num edifício ou sala. Embora o controle de acesso não seja tudo em segurança, ele é extremamente importante e requer atenção adequada para que tanto a experiência do usuário quanto as garantias de segurança estejam corretas.

Assista ao vídeo a seguir para saber como desenvolver uma estratégia de controle de acesso que atenda às suas necessidades específicas.

Do perímetro de segurança à confiança zero

A abordagem tradicional de controle de acesso para TI tem sido baseada em restringir o acesso a uma rede corporativa e, em seguida, complementá-la com mais controles, conforme apropriado. Este modelo restringe todos os recursos a uma conexão de rede corporativa e tornou-se muito restritivo para atender às necessidades de uma empresa dinâmica.

As organizações devem adotar uma abordagem de confiança zero para o controle de acesso à medida que adotam o trabalho remoto e usam a tecnologia de nuvem para transformar digitalmente seu modelo de negócios, modelo de envolvimento do cliente, engajamento dos funcionários e modelo de capacitação.

Os princípios de confiança zero ajudam a estabelecer e melhorar continuamente as garantias de segurança, mantendo a flexibilidade para acompanhar este novo mundo. A maioria das jornadas de confiança zero começa com o controle de acesso e se concentra na identidade como um controle preferencial e primário, enquanto continuam a adotar a tecnologia de segurança de rede como um elemento-chave. A tecnologia de rede e a tática de perímetro de segurança ainda estão presentes em um modelo moderno de controle de acesso, mas não são a abordagem dominante e preferida em uma estratégia completa de controle de acesso.

Controlo de acesso moderno

As organizações devem desenvolver uma estratégia de controle de acesso que:

• É abrangente e consistente.
• Aplica rigorosamente os princípios de segurança em toda a pilha de tecnologia.
• É flexível o suficiente para atender às necessidades da organização.

Este diagrama ilustra todos os diferentes elementos que uma organização deve considerar para uma estratégia de controle de acesso para várias cargas de trabalho, várias nuvens, vários níveis de sensibilidade de negócios e acesso por pessoas e dispositivos.

Uma boa estratégia de controle de acesso vai além de uma única tática ou tecnologia. Requer uma abordagem pragmática que adote a tecnologia e as táticas certas para cada cenário.

O controle de acesso moderno deve atender às necessidades de produtividade da organização, e também ser:

• Seguro: valide explicitamente a confiança dos utilizadores e dispositivos durante os pedidos de acesso, utilizando todos os dados e telemetria disponíveis. Essa configuração torna mais difícil para os invasores se passarem por usuários legítimos sem serem detetados. Além disso, a estratégia de controle de acesso deve se concentrar na eliminação do escalonamento não autorizado de privilégios, por exemplo, concedendo um privilégio que pode ser usado para obter privilégios mais altos. Para obter mais informações sobre como proteger o acesso privilegiado, consulte Protegendo o acesso privilegiado.
• Consistente: garanta que as garantias de segurança sejam aplicadas de forma consistente e contínua em todo o ambiente. Esse padrão melhora a experiência do usuário e remove oportunidades para os invasores entrarem sorrateiramente através de fraquezas em uma implementação de controle de acesso desarticulada ou altamente complexa. Você deve ter uma única estratégia de controle de acesso que use o menor número de mecanismos de política para evitar inconsistências de configuração e desvios de configuração.
• Abrangente: A aplicação da política de acesso deve ser feita o mais próximo possível dos recursos e vias de acesso. Essa configuração melhora a cobertura de segurança e ajuda a segurança a se encaixar perfeitamente em cenários e expectativas dos usuários. Aproveite os controles de segurança para dados, aplicativos, identidade, redes e bancos de dados para aproximar a aplicação de políticas dos ativos de negócios de valor.
• Centrada na identidade: priorize o uso de identidade e controles relacionados, quando disponíveis. Os controles de identidade fornecem contexto avançado para solicitações de acesso e contexto de aplicativo que não está disponível a partir do tráfego de rede bruto. Os controles de rede ainda são importantes e, às vezes, a única opção disponível (como em ambientes de tecnologia operacional), mas a identidade deve ser sempre a primeira escolha, se disponível. Uma caixa de diálogo de falha durante o acesso ao aplicativo a partir da camada de identidade será mais precisa e informativa do que um bloco de tráfego de rede, tornando mais provável que o usuário possa corrigir o problema sem uma chamada de suporte técnico dispendiosa.

Modelo de acesso empresarial

O modelo de acesso empresarial é um modelo de acesso abrangente baseado em confiança zero. Este modelo aborda todos os tipos de acesso por usuários internos e externos, serviços, aplicativos e contas privilegiadas com acesso administrativo aos sistemas.

O modelo de acesso corporativo é descrito em detalhes no modelo de acesso corporativo

Conhecido, confiável, permitido

Uma perspetiva útil sobre a transformação zero trust do controle de acesso é que ele muda de um processo estático de duas etapas de autenticação e autorização para um processo dinâmico de três etapas chamado conhecido, confiável, permitido:

1. Conhecido: autenticação que garante que você é quem diz ser. Este processo é análogo ao processo físico de verificação de um documento de identificação com foto emitido pelo governo.
2. Confiável: Validação de que o usuário ou dispositivo é confiável o suficiente para acessar o recurso. Este processo é análogo à segurança num aeroporto que rastreia todos os passageiros quanto a riscos de segurança antes de permitir que entrem no aeroporto.
3. Permitido: concessão de direitos e privilégios específicos para o aplicativo, serviço ou dados. Este processo é análogo a uma companhia aérea que gere para onde os passageiros vão, em que cabine se sentam (primeira classe, classe executiva ou autocarro) e se têm de pagar pela bagagem.

Principais tecnologias de controlo de acesso

As principais capacidades técnicas que permitem o controle de acesso moderno são:

• Mecanismo de política: o componente em que as organizações configuram a política de segurança técnica para atender aos objetivos de produtividade e segurança da organização.
• Pontos de imposição de política: pontos que impõem, através dos recursos da organização, as decisões de política centrais pelo mecanismo de política. Os recursos incluem dados, aplicativos, identidade, rede e bancos de dados.

Este diagrama descreve como o Microsoft Entra ID fornece um mecanismo de política e um ponto de imposição de política, para que os protocolos de segurança possam implementar uma abordagem conhecida, confiável e permitida .

O mecanismo de política do Microsoft Entra pode ser estendido a outros pontos de imposição de política, incluindo:

• Aplicações modernas: Aplicações que utilizam protocolos de autenticação modernos.
• Aplicativos herdados: Via proxy de aplicativo Microsoft Entra.
• VPN e soluções de acesso remoto: como Cisco AnyConnect, Palo Alto Networks, F5, Fortinet, Citrix e Zscaler.
• Documentos, correio eletrónico e outros ficheiros: através da Proteção de Informações do Microsoft Purview.
• Aplicativos SaaS: Para obter mais informações, consulte Tutoriais para integrar aplicativos SaaS com o Microsoft Entra ID.

Decisões de acesso baseadas em dados

Para cumprir o princípio de confiança zero da validação explícita, é fundamental tomar uma decisão informada. O mecanismo de política de confiança zero deve ter acesso a diversos dados sobre os usuários e dispositivos, a fim de tomar decisões de segurança sólidas. Esta diversidade ajuda a identificar estes aspetos com maior confiança:

• Se o usuário real está no controle da conta.
• Se o dispositivo foi comprometido por um invasor.
• Se o usuário tem as funções e permissões apropriadas.

A Microsoft criou um sistema de inteligência de ameaças que integra o contexto de segurança de muitas e diversas fontes de sinal. Para obter mais informações, consulte Resumo da inteligência de ameaças da Microsoft.

Segmentação: Separe para proteger

As organizações geralmente optam por criar limites para dividir o ambiente interno em segmentos separados, como parte de sua abordagem de controle de acesso. Esta configuração destina-se a conter o dano de um ataque bem-sucedido ao segmento atacado. A segmentação é tradicionalmente feita com firewalls ou outra tecnologia de filtragem de rede, embora o conceito também possa ser aplicado à identidade e outras tecnologias.

Para obter informações sobre como aplicar segmentação a ambientes do Azure, consulte Componentes e modelo de referência do Azure

Isolamento: Evite o firewall e esqueça

O isolamento é uma forma extrema de segmentação que às vezes é necessária para proteger ativos de importância crítica. O isolamento é usado com mais frequência para ativos que são críticos para os negócios e difíceis de adequar às políticas e padrões atuais. As classes de ativos que podem exigir isolamento incluem sistemas de tecnologia operacional (OT) como:

• Controlo de supervisão e aquisição de dados (SCADA)
• Sistema de controlo industrial (ICS)

O isolamento deve ser concebido como um sistema completo de pessoas/processos/tecnologia e ser integrado com os processos de negócio para ser bem-sucedido e sustentável. Essa abordagem normalmente falha com o tempo se for implementada como uma abordagem puramente tecnológica, sem processos e treinamento para validar e sustentar as defesas. É fácil cair em um firewall e esquecer a armadilha, definindo o problema como estático e técnico.

Na maioria dos casos, os processos são necessários para implementar o isolamento, processos que várias equipes como segurança, TI, tecnologia operacional (OT) e, às vezes, operações de negócios devem seguir. O isolamento bem-sucedido geralmente consiste em:

• Pessoas: Treine todos os funcionários, fornecedores e partes interessadas sobre a estratégia de isolamento e sua parte nela. Inclua por que é importante, por exemplo, ameaças, riscos e potencial impacto nos negócios, o que se espera que eles façam e como fazê-lo.
• Processo: Estabeleça políticas e padrões claros e documente processos para as partes interessadas técnicas e de negócios para todos os cenários, como acesso de fornecedores, processo de gerenciamento de alterações, procedimentos de resposta a ameaças, incluindo gerenciamento de exceções. Monitore para garantir que a configuração não se desvie e que outros processos sejam seguidos corretamente e rigorosamente.
• Tecnologia: Implementar controles técnicos para bloquear comunicações não autorizadas, detetar anomalias e ameaças potenciais e fortalecer dispositivos de ponte e trânsito que interagem com o ambiente isolado, por exemplo, consoles de operador para sistemas de tecnologia operacional (OT).

Para obter mais informações, consulte Proteção de ativos: isolamento de rede.

Próximos passos

Quaisquer que sejam seus requisitos para controle de acesso, sua estratégia deve ser fundamentada nos fundamentos adequados. As orientações fornecidas nestes artigos e no Cloud Adoption Framework podem ajudar as organizações a encontrar e implementar a abordagem correta.

A próxima disciplina é modernizar as operações de segurança.