0
0
Nesta entrevista da Help Net Security, Florian Forster, CEO da Zitadel , discute os desafios que os CISOs enfrentam no gerenciamento da autenticação em forças de trabalho cada vez mais distribuídas e remotas, as consequências negativas da autorização ineficaz e como a mudança em direção à transformação da nuvem afeta as estratégias de autenticação.
Quais são algumas das consequências reais da autorização ineficaz e como podem ser evitadas?
A autorização ineficaz pode ter múltiplas consequências negativas, algumas delas incluem:
Violações de dados: quando indivíduos não autorizados têm acesso a dados confidenciais, eles podem ser roubados ou utilizados indevidamente de diversas maneiras contra uma organização individual.
Fraude: A autorização ineficaz pode facilitar a prática de fraudes pelos invasores, como fraude de cartão de crédito ou roubo de identidade.
Segurança do sistema: Quando a autorização não é implementada corretamente, pode criar vulnerabilidades no sistema que podem ser exploradas por invasores para comprometer ou extrair informações.
Violações de conformidade: a autorização ineficaz pode levar a violações de conformidade, como aquelas relacionadas às leis de privacidade de dados. Isso pode resultar em multas, penalidades e outras sanções.
Perda de produtividade: Quando os funcionários não têm a autorização necessária para realizar seu trabalho, isso pode levar à perda de produtividade. Isso também pode levar à frustração e insatisfação entre os funcionários, um ponto muitas vezes esquecido.
Existem várias maneiras de evitar autorização ineficaz, incluindo:
Implementação de políticas e procedimentos fortes de controlo de acesso
As políticas de controlo de acesso devem definir quem tem acesso a que recursos e em que condições. Os procedimentos de controlo de acesso devem garantir que estas políticas sejam implementadas e aplicadas.
Usando privilégios mínimos
O princípio do privilégio mínimo afirma que os usuários devem receber apenas as permissões necessárias para executar suas tarefas de trabalho. Isto ajuda a reduzir o risco de acesso não autorizado a dados ou sistemas confidenciais. No entanto, isto pode entrar em conflito com a cultura da sua empresa, até certo ponto, quando as empresas têm uma mentalidade de acesso aberto, o que pode ter consequências indesejadas para a cultura e produtividade da empresa.
Rever regularmente as autorizações
As autorizações devem ser revistas regularmente para garantir que ainda são apropriadas. Isto é especialmente importante quando há mudanças no pessoal ou nas funções de trabalho.
Usando autenticação segura A autenticação
sem senha ou multifator exige que os usuários forneçam duas ou mais peças de identificação para obter acesso a um sistema ou recurso. Isto ajuda a impedir o acesso não autorizado, mesmo que a senha do usuário seja comprometida.
Educar os usuários sobre os riscos de segurança
Os usuários devem ser informados sobre os riscos de segurança associados à autorização ineficaz e sobre como se proteger. Isso inclui treiná-los sobre como criar senhas fortes, evitar ataques de phishing e relatar atividades suspeitas.
Implementar automação de testes no desenvolvimento
As empresas que constroem seu próprio software devem investir em testes automatizados de seu sistema de autorização para evitar que erros de desenvolvimento quebrem o controle de acesso. É importante notar que em 2021 a OWASP atribuiu o controle de acesso quebrado à posição número 1 em seu relatório Top 10 .
Mantenha uma trilha de auditoria de longo prazo
Muitas vezes, se ocorrer uma violação, é crucial ter uma trilha de auditoria que dure mais do que alguns meses (com base em nossa própria experiência, recomendamos 13 meses). Isso ocorre porque pode levar muito tempo após uma violação até que ela se torne visível.
Quais são os desafios mais significativos que os CISOs enfrentam hoje no gerenciamento da autenticação em forças de trabalho cada vez mais distribuídas e remotas?
Os desafios mais significativos que vejo os CISOs enfrentando hoje são:
O número crescente de dispositivos e aplicativos que precisam ser protegidos
Com cada vez mais funcionários trabalhando remotamente, eles usam uma variedade maior de dispositivos e aplicativos para acessar recursos corporativos. Isso torna difícil acompanhar todos os dispositivos e aplicativos que precisam ser protegidos e garantir que todos estejam usando métodos de autenticação fortes.
Dispositivos de autenticação
Quando as empresas desejam começar a usar conceitos de autenticação segura como sem senha (FIDO2) ou até mesmo cartões inteligentes, torna-se um fardo adicional entregar os dispositivos de autenticação aos seus funcionários. Muitas vezes, o uso de um processo TOFU (confiança na primeira utilização) leva a riscos adicionais. No entanto, isso pode não ser relevante para todas as empresas.
A crescente sofisticação dos ataques cibernéticos
Os ataques cibernéticos estão se tornando cada vez mais sofisticados e os invasores procuram constantemente novas maneiras de contornar os métodos tradicionais de autenticação. Isto torna mais difícil para os CISOs manterem as suas organizações seguras .
A necessidade de equilibrar segurança com usabilidade
Os CISOs precisam encontrar uma maneira de equilibrar a necessidade de autenticação forte com a necessidade de usabilidade. Se a autenticação for muito complexa ou inconveniente, os usuários poderão ficar tentados a ignorá-la, o que poderá deixar a organização vulnerável a ataques.
A falta de recursos
Muitas organizações não têm os recursos necessários para implementar e gerenciar uma autenticação forte em uma força de trabalho distribuída. Isso pode dificultar o acompanhamento das ameaças de segurança mais recentes e a garantia de que todos os usuários estejam usando métodos de autenticação fortes.
Com a evolução das regulamentações de privacidade em todo o mundo, como as estratégias de autenticação devem se adaptar para permanecerem em conformidade e, ao mesmo tempo, serem eficazes e fáceis de usar?
Existem vários métodos de autenticação que podem ser usados para proteger a privacidade do usuário, como conceitos de prova de conhecimento zero. No entanto, em alguns casos, eles podem entrar em conflito com o objectivo do processo de autenticação para ligar de forma fiável o método de autenticação a um assunto.
Em última análise, depende do caso de negócios de um serviço. Se a autenticação de um usuário possivelmente anônimo for adequada, esses conceitos funcionarão muito bem. Mas assim que você (precisa) vincular um meio de autenticação que preserva a privacidade a uma identidade, isso anula o propósito.
Com o aumento da autenticação biométrica, vale a pena notar que, para preservar a privacidade, é importante não partilhar dados biométricos (de qualquer tipo ou forma) através de redes. Deve também abster-se de utilizar dados biométricos como meio de gerar material chave para a autenticação no dispositivo de um utilizador (podem ser utilizados no dispositivo para a autenticação, ou seja, para desbloquear um armazenamento secreto), pois isso levaria à exposição não intencional de dados potencialmente PII rastreáveis. Existem vários motivos para afirmar isso explicitamente, mas o mais importante é o motivo pelo qual as pessoas muitas vezes não estão cientes de que a biometria não pode ser facilmente alterada como seria possível com uma senha.
Como a mudança em direção à transformação na nuvem afetou as estratégias de autenticação das empresas?
A mudança em direção à transformação da nuvem levou a mais dispositivos gerenciados e não gerenciados, aplicativos internos e serviços de terceiros que precisam ser protegidos. A necessidade de autenticação melhor/mais forte, mais flexibilidade e mais automação é claramente um dos maiores desafios. Para resolver isso, as empresas estão adotando novas estratégias de autenticação como MFA , autenticação sem senha, baseada em risco, autenticação biométrica, segurança de confiança zero e estratégias de SSO.
Esta se torna uma discussão interessante assim que as organizações utilizam sistemas em nuvem para controlar suas identidades e credenciais. O que, do ponto de vista do risco, necessita de algumas considerações especiais.
- O que acontece se o sistema de identidade estiver inacessível? Isso pode ter vários motivos, como conflito com o provedor de serviços ou problemas operacionais com ele. As empresas devem criar planos de contingência para este risco.
- O que acontece se o sistema de identidade for comprometido? Alguém obtém as informações para fazer a perícia forense depois do trabalho. Um exemplo recente disso é a violação que a Microsoft sofreu recentemente .
Como as organizações estão lidando com a tensão entre o suporte a protocolos legados e a adoção de novas tecnologias de autenticação?
As organizações estão enfrentando a tensão entre o suporte a protocolos legados e a adoção de novas tecnologias de autenticação, eliminando gradualmente os protocolos legados ao longo do tempo, usando protocolos legados e novas tecnologias de autenticação simultaneamente ou usando um único sistema de autenticação para dar suporte a todos os usuários e aplicações. A melhor abordagem para uma organização dependerá das suas necessidades e circunstâncias específicas.
No entanto, existem algumas das principais considerações a serem feitas:
- O custo: o suporte a protocolos legados pode se tornar um fardo operacional. Como vários sistemas precisam estar operacionais.
- Os riscos: O suporte a protocolos legados pode se tornar um problema para trabalhar em direção à autenticação segura (especialmente sem senha) se os usuários ainda dependerem de um login de fator único para determinados serviços. Pode ser mais eficiente isolar esses ambientes do restante da arquitetura. No entanto, isso pode depender da quantidade de usuários que precisam de acesso a um serviço legado.
Ao considerar cuidadosamente estes factores, as organizações precisam de tomar decisões informadas sobre como navegar na tensão entre o suporte a protocolos legados e a adopção de novas tecnologias de autenticação e o impacto nos seus utilizadores.
Quais práticas recomendadas estão surgindo para gerenciar credenciais de máquinas de maneira eficaz à medida que as organizações desenvolvem estratégias de identidade de máquinas?
Algumas das melhores práticas que posso imaginar para gerenciar credenciais de máquinas de maneira eficaz como organizações incluem:
Uso de um gerenciamento de identidade (de máquina): Isso pode ajudar as organizações a automatizar o gerenciamento de credenciais de máquina, incluindo o provisionamento, rotação e desprovisionamento de credenciais. Isto reduz o risco de erro humano e melhora a segurança das credenciais da máquina.
Usando armazenamento seguro: As credenciais da máquina devem ser armazenadas com segurança para protegê-las contra acesso não autorizado. Isso pode ser feito usando uma variedade de métodos de criptografia, como criptografia simétrica ou assimétrica ou usando soluções especializadas de armazenamento secreto, como HSMs ou produtos baseados em software.
Alterne as credenciais da máquina regularmente: as credenciais da máquina devem ser alternadas regularmente para reduzir o risco de serem comprometidas. A frequência de rotação dependerá da sensibilidade dos dados que a máquina está acessando.
Use autenticação segura: A autenticação segura pode ajudar a proteger as credenciais da máquina para impedir o acesso não autorizado ao armazenamento secreto ou ao sistema de identidade.
Monitore a atividade das máquinas em busca de comportamento suspeito: as organizações devem monitorar a atividade das máquinas em busca de comportamentos suspeitos, como repetidas tentativas de login malsucedidas ou acesso a recursos não autorizados. Isso pode ajudar a detectar acesso não autorizado e tomar medidas corretivas.
Essas práticas recomendadas formam uma excelente base ao trabalhar com identidades de máquinas, embora haja mais coisas a serem consideradas quando se inicia a jornada nesta área.
FONTE: HELP NET SECURITY