Kriss Stephen | Arquiteto de soluções principal

Na nossa série de artigos de blogue dedicada à estratégia da «Empresa Mínima Viável» (MVC), acompanhámos a Megakorp, uma empresa que desenvolve e fabrica componentes de automação industrial de nível empresarial, nos quais confiam fabricantes de todo o mundo, à medida que a organização enfrentava os desafios da ciber-resiliência moderna.

Na Parte 1 da nossa série (Por que razão a verdadeira resiliência cibernética começa com a identidade), a empresa reconheceu que a identidade não era simplesmente mais uma dependência de TI, mas sim a base operacional do próprio negócio. O Active Directory e o Entra ID tornaram-se fundamentais para a estratégia de «Empresa Mínima Viável» da Megakorp. Estas plataformas de identidade proporcionaram a autenticação, o controlo administrativo e os serviços operacionais necessários para restabelecer funções críticas do negócio durante um incidente cibernético de grande dimensão.

A segunda fase dessa jornada («Lições de resiliência cibernética para além da violação») foi além da mera recuperação, explorando a forma como a resiliência cibernética exigia coordenação entre a identidade na nuvem, a recuperação operacional, as comunicações e a tomada de decisões executivas sob pressão.

No entanto, à medida que a direção da Megakorp refletia sobre a estratégia de resiliência da organização, surgiu uma questão difícil: porquê esperar até que surja uma crise para se pensar em resiliência?


Reforçar o núcleo do MVC: Princípios para controlar o nível de segurança

A empresa tinha investido fortemente no planeamento da recuperação e nas capacidades de MVC, mas continuava a existir incerteza em todas as suas plataformas de identidade. As equipas de segurança tinham dificuldade em compreender plenamente a exposição causada por configurações incorretas, privilégios excessivos e relações de identidade de risco que abrangiam tanto o Active Directory como o Entra ID.

Ao mesmo tempo, os administradores estavam a efetuar alterações diárias na infraestrutura crítica de identidade, muitas vezes sem uma visão centralizada do que tinha sido alterado, de quem tinha efetuado as alterações ou do risco operacional que essas alterações acarretavam.

A Megakorp percebeu que a resiliência não podia começar apenas na fase de recuperação.

Era necessário começar muito mais cedo, através de uma maior visibilidade, de um controlo mais rigoroso e da resiliência operacional necessária para corrigir rapidamente os problemas antes que se transformassem em eventos que perturbassem a atividade da empresa.

Na sequência de uma análise estratégica da postura de segurança de identidade da organização, o conselho de administração da Megakorp definiu três princípios fundamentais que serviriam de base à estratégia de resiliência de identidade da empresa, tanto no Active Directory como no Entra ID:

  • Visibilidade: A capacidade de compreender de forma contínua a exposição, as configurações incorretas, os riscos de identidade e as atividades de alteração operacional em todo o conjunto de identidades.
  • Controlo: A capacidade de implementar medidas de proteção, alertas e mecanismos de resposta em relação a alterações críticas de identidade e operações com privilégios.
  • Resiliência da identidade: A capacidade de conter, reverter e recuperar-se rapidamente de alterações indesejadas ou não autorizadas na identidade, antes que estas se transformem numa perturbação operacional de maior alcance.

Devido ao papel da Megakorp como fabricante de componentes essenciais, estas capacidades tinham de ir além do ambiente tradicional de TI e abranger os sistemas de tecnologia operacional (OT).

E como grande parte do ambiente da OT funcionava em redes isoladas ou sem ligação à Internet, a organização também necessitava de capacidades de monitorização e proteção no local, capazes de funcionar em ambientes sem ligação ou com restrições.


Visibilidade: Compreender onde residem os riscos relacionados com a postura de segurança

A Megakorp pretendia abordar a visibilidade através de dois canais distintos. A primeira fase centrou-se na compreensão das vulnerabilidades já existentes no ambiente de identidade, garantindo simultaneamente que a organização fosse continuamente alertada sempre que surgissem novas vulnerabilidades ou exposições (Figura 1).

Figura 1. Os indicadores de segurança ajudam a organização a compreender as vulnerabilidades.

Isto incluiu a identificação de configurações incorretas, definições obsoletas, privilégios excessivos e relações de identidade de risco que poderiam permitir que um atacante obtivesse acesso ao ambiente ou se deslocasse lateralmente uma vez no interior do mesmo. Para a Megakorp, esta visibilidade foi fundamental não só para reduzir a exposição imediata (Figura 2), mas também para compreender como anos de mudanças operacionais tinham introduzido riscos ocultos tanto no Active Directory como no Entra ID.

Figura 2. A deteção de exposições e as classificações de gravidade ajudam a equipa de segurança a estabelecer prioridades nas atividades de mitigação.

A segunda fase de visibilidade centrou-se na obtenção de uma compreensão operacional aprofundada das atividades de alteração em todo o conjunto de identidades. A Megakorp precisava de saber exatamente quem, ou o que, estava a efetuar alterações no ambiente, quando essas alterações ocorriam e o potencial impacto operacional ou de segurança que estas acarretavam. Sem o nível de visibilidade que a Figura 3 ilustra , as modificações não autorizadas, os desvios de configuração ou as atividades maliciosas poderiam passar despercebidas até resultarem na interrupção do serviço ou num comprometimento mais alargado.

Figura 3. A monitorização automatizada de alterações permite às equipas detetar atividades suspeitas em tempo real.

Para dar resposta a estes requisitos, a Megakorp expandiu a sua plataforma de resiliência de identidade através da implementação o Semperis Directory Services Protector DSP). Isto proporcionou à organização visibilidade tanto nas redes ligadas como nas isoladas, permitindo que as equipas de segurança e operacionais monitorizassem continuamente a exposição das identidades, as alterações de configuração e as atividades privilegiadas em toda a empresa.

Foram avaliadas outras configurações incorretas e vias de exposição identificadas em todo o conjunto de identidades, tendo sido associadas a estratégias de correção a curto, médio e longo prazo. Isto permitiu à Megakorp dar prioridade às atividades de redução imediata do risco, ao mesmo tempo que desenvolvia planos estruturados para resolver, ao longo do tempo, configurações legadas mais complexas e dependências operacionais.

Ao adotar uma abordagem proativa em matéria de correção de vulnerabilidades, a organização poderia reforçar continuamente a segurança dos seus ambientes antes que as vulnerabilidades fossem identificadas e exploradas por atacantes.


Controlo: Manter-se um passo à frente das ameaças centradas na identidade

O segundo pilar, o controlo, surgiu como a evolução natural da visibilidade. Ao compreender tanto as configurações existentes em todo o conjunto de identidades como quem ou o que era responsável por efetuar alterações, a Megakorp conseguiu introduzir medidas de proteção operacionais, lógica de deteção e ações de resposta automatizadas (como as que se mostram na Figura 4 ), concebidas para reduzir o risco de identidade antes que este pudesse agravar-se.

Figura 4. As regras do DSP limites de segurança e acionam notificações automáticas e ações de mitigação, para que as lacunas possam ser colmatadas rapidamente.

Por exemplo, a Figura 5 mostra uma regra que define uma alteração específica no AD que desencadeia uma ação específica. Com esta regra, se fossem acidentalmente efetuadas alterações nas unidades organizacionais de hierarquização de identidades da Megakorp por um administrador com permissões excessivas, o Semperis DSP detetaria automaticamente a modificação, reverteria a alteração não autorizada e alertaria as equipas operacionais e de segurança competentes.

Figura 5. DSP que as equipas definam especificamente as alterações que desencadeiam ações como a reversão automática.

A equipa da Megakorp implementou controlos adicionais para detetar e responder a atividades como a criação de novas contas de utilizador fora do processo aprovado de Gestão do Ciclo de Vida da Identidade (ILM) da organização. Estes controlos garantiram que todas as identidades recém-criadas continuassem a ser geridas, auditáveis e alinhadas com as normas de segurança operacional da Megakorp.

Em vez de depender exclusivamente da análise manual ou da investigação pós-incidente, a Megakorp passou a adotar um controlo contínuo de identidades, permitindo à organização identificar rapidamente atividades não autorizadas, conter alterações de risco e manter a estabilidade operacional tanto no Active Directory como no Entra ID.


Resiliência operacional: Reduzir a amplitude e o impacto dos incidentes cibernéticos

Com visibilidade em todas as suas plataformas de identidade e medidas de proteção operacionais que proporcionam um controlo mais rigoroso da identidade, a Megakorp evoluiu naturalmente para o terceiro pilar: a resiliência operacional.

A organização passou a poder identificar, conter e reverter rapidamente alterações indesejadas de identidade antes que estas se transformassem em incidentes operacionais de maior dimensão.

Por exemplo, como mostra a Figura 6 , se um processo automatizado ou um administrador excessivamente zeloso alterasse acidentalmente o atributo do endereço do proxy SMTP em várias centenas de contas de utilizador, os administradores poderiam identificar rapidamente as alterações afetadas e revertê-las sem terem de pesquisar nos registos históricos ou restaurar conjuntos de cópias de segurança anteriores.

Figura 6. DSP a deteção e correção de alterações que representam um risco.

Como mostra a Figura 7 , ao tirar partido da visibilidade transacional e baseada em cronologia da Semperis sobre a atividade de identidade, tanto as equipas de OT como as de TI passaram a ter a capacidade de compreender rapidamente o que mudou, quem efetuou a alteração e como revertê-la com segurança.

Figura 7. DSPpoupa tempo às equipas, permitindo-lhes visualizar e filtrar rapidamente as alterações — e identificar quais devem ser desfeitas.

A introdução destas funcionalidades automatizadas reduziu significativamente o impacto operacional e a duração de erros administrativos, desvios de configuração ou alterações maliciosas de identidade em toda a empresa.


Evoluir para um modelo MVC mais maduro

Ao combinar visibilidade, controlo e resiliência operacional nas suas plataformas de identidade com as capacidades de recuperação, cópia de segurança e resiliência empresarial estabelecidas anteriormente ao longo do seu percurso, a Megakorp tinha evoluído de forma fundamental a sua abordagem à resiliência cibernética.

A organização já não se centrava exclusivamente na recuperação após um incidente grave, quando os danos já tinham ocorrido. Em vez disso, passava a poder identificar e reduzir continuamente os riscos antes de se verificarem perturbações, aplicar medidas de proteção operacionais durante as operações do dia-a-dia e recuperar ou reverter rapidamente alterações indesejadas quando ocorriam incidentes.

Através desta estratégia em camadas centrada na identidade, a Megakorp posicionou-se de forma a operar com resiliência antes, durante e após um ciberataque.

Para a Megakorp, a resiliência da identidade já não era uma capacidade reservada à recuperação em situações de crise.
Tinha-se tornado uma disciplina operacional contínua, integrada em toda a empresa.

Leitura complementar