O assunto de privilégio mínimo (Least Privilege) não é novo, e importantes empresas sofreram e tiveram seus dados violados, como JPMorgan, HomeDepot, Sony, Target, Yahoo. Alguns destes casos, resultaram de ataques de acessos privilegiados (do inglês, systematic escalation of priveleges attack ou APT – advanced persistent threat), outros exploram brechas vulnerabilidade (ex.: ShellShock), e outros tiveram suas credenciais simplesmente roubadas, tendo sido usadas aparentemente de forma legítima mas com consequências desastrosas.
Em todos os casos podemos perceber que as falhas na segurança vão além das linhas tradicionais de controle e segurança que o mercado prega: “maior visibilidade, menor privilégio e menor confiança”. No caso da JPMorgan, havia um legado de sistemas caracterizados por um débito de ações de segurança, permissões, software e serviços aplicados a cada sistema. No caso da HomeDepot (assim como da Target), não houve um ataque e sim um roubo de credenciais e todos os sistemas de proteção do perímetro (firewall, etc…) assim como todos os patches de vulnerabilidade estavam em perfeito funcionamento.
Ericka Chickowski da Dark Reading aponta: “os invasores conseguem realizar a invasão por meio dos sistemas internos” www.darkreading.com/operations/83-million-compromised-in-jpmorgan-chase-breach/d/d-id/1316330.
O único artifício que poderia realmente ter ajudado a prevenir estes ataques, brechas ou roubos, seria um novo conceito, que chamamos de modernização da infraestrutura e segurança, que ao longo do tempo se tornará uma prática padrão de mercado, como temos visto algumas empresas, principalmente bancos se moverem neste sentido.
Dessa forma, a exemplo de todos os casos, mostram que seus sistemas de segurança são falhos e que um problema maior precisa ser analisado , incluindo tecnologia e novas práticas (melhores). Além do mais, a infraestrutura precisa ser reconstruída e modernizada. É possível afirmar que nenhuma solução comercialmente disponível (incluindo os maiores fornecedores de segurança) teria prevenido estes tipos de brecha, invasão ou roubos de credenciais. Certamente trata-se de algo mais extenso e a ameaça muito mais ampla para ser gerenciada.
A real solução é resolver definitivamente a questão de segurança desde o início. O ponto de curvatura natural (e maturidade) para estes casos, passa pela reconstrução da infraestrutura. E que na verdade foi a solução adotada pela maior parte dos clientes que sofreram ataques. O próprio Gartner publicou isto em um artigo chamado “Eliminate Hard-Coded Password” em Junho de 2008.Para que isto ocorra, temos um belo caso de uso, impulsionado pela movimentação de empresas para nuvem (AWS ou Azure), onde serviços estão expostos, mas totalmente seguros e automatizados (Jenkis, Puppet, Chef, VMWare e Docker).
Enquanto não houver garantia na área de segurança, há uma razão na ideia de que boas práticas dão frutos a outras boas práticas. Uma delas é um novo modelo, onde não existem mais credenciais tradicionais (usuário e senha), e todo o acesso é baseado em chaves criptográficas (pública/privada). Desde o instanciamento de aplicações internas (conjurização), até o acesso a servidores, banco de dados, sistemas, arquivos, tudo pode ganhar uma identidade única.
