Por Jefferson Santana
Uma credencial válida nem sempre representa um acesso seguro. E esse é um dos principais desafios da cibersegurança moderna.
Durante muito tempo, as estratégias de proteção corporativa concentraram esforços em impedir acessos não autorizados por meio de firewalls, controles de rede e mecanismos tradicionais de autenticação. Entretanto, a transformação digital, a adoção de ambientes híbridos e a expansão dos serviços em nuvem modificaram significativamente a maneira como as organizações precisam proteger seus ativos.
Hoje, um invasor não precisa necessariamente explorar uma vulnerabilidade técnica para comprometer um ambiente. Em determinados cenários, basta obter uma credencial legítima, explorar permissões excessivas ou utilizar um token de sessão comprometido para acessar recursos corporativos.
Nesse contexto, a identidade digital passou a representar um dos principais pontos de controle da segurança da informação.
Mais do que identificar quem está acessando um sistema, as organizações precisam compreender quais permissões estão associadas a cada identidade, como suas credenciais são protegidas, quais comportamentos representam riscos e de que maneira os acessos podem ser interrompidos diante de uma ameaça.
É essa mudança que coloca a proteção de identidades e a custódia de credenciais entre os pilares fundamentais da confiança digital.
A identidade digital se tornou parte central da superfície de ataque
Em ambientes corporativos modernos, uma identidade digital não representa apenas um colaborador utilizando login e senha.
Ela também pode estar associada a fornecedores, administradores de sistemas, aplicações, serviços automatizados, dispositivos e workloads que precisam se autenticar para acessar recursos.
Cada uma dessas identidades possui atributos, permissões e relações de confiança que determinam o que pode ser acessado e quais operações podem ser executadas.
O desafio surge quando essas permissões deixam de ser revisadas ou quando credenciais permanecem ativas por períodos superiores ao necessário.
Considere uma conta de serviço criada para integrar duas aplicações corporativas. Durante sua implementação, ela recebeu permissões administrativas para facilitar a configuração do ambiente.
Anos depois, a integração continua funcionando, mas ninguém revisou seus privilégios ou verificou se a credencial utilizada permanece adequadamente protegida.
Caso essa identidade seja comprometida, o invasor poderá utilizar permissões legítimas para consultar recursos, executar comandos ou acessar informações sensíveis, dependendo dos controles existentes.
O problema, portanto, não está apenas na exposição da credencial, mas na combinação entre identidades pouco monitoradas, privilégios excessivos e ausência de mecanismos de contenção.
Esse cenário demonstra por que a gestão de identidades precisa evoluir de uma atividade administrativa para uma disciplina contínua de governança e redução de riscos.
IAM, PAM e ITDR: por que a proteção de identidades precisa ser integrada?
A segurança de identidades envolve diferentes tecnologias e processos que, embora complementares, possuem responsabilidades distintas.
O Identity and Access Management (IAM) estabelece mecanismos para administrar identidades, autenticação, autorização e ciclo de vida dos acessos. Sua função é garantir que usuários e sistemas recebam permissões compatíveis com suas necessidades.
Já o Identity Governance and Administration (IGA) acrescenta controles de governança, permitindo revisar concessões, identificar acessos incompatíveis com determinadas funções e apoiar processos de conformidade.
O Privileged Access Management (PAM) concentra-se na proteção de acessos privilegiados, especialmente aqueles capazes de alterar configurações críticas, administrar sistemas ou acessar informações sensíveis.
Por sua vez, o Identity Threat Detection and Response (ITDR) amplia a capacidade de identificar e responder a atividades suspeitas envolvendo identidades, credenciais e sessões.
Essas capacidades precisam trabalhar de forma coordenada.
Imagine que um administrador realize uma autenticação legítima e, posteriormente, comece a acessar recursos que normalmente não fazem parte de suas atividades.
O IAM pode confirmar que a autenticação ocorreu corretamente. O PAM pode controlar ou registrar a utilização dos privilégios. Já mecanismos de ITDR, combinados com informações de outras ferramentas de segurança, podem identificar desvios de comportamento e apoiar uma investigação.
Isso evidencia uma questão importante: uma autenticação bem-sucedida não significa, necessariamente, que todas as atividades posteriores sejam legítimas.
A maturidade em segurança de identidades depende justamente da integração entre governança, controle de privilégios, monitoramento contextual e capacidade de resposta.
Custódia de credenciais: proteger senhas já não é suficiente
Quando falamos em custódia de credenciais, é comum associar o conceito ao armazenamento seguro de senhas administrativas.
Entretanto, a proteção precisa considerar um conjunto muito mais amplo de elementos.
Chaves de API, certificados digitais, tokens de autenticação, chaves SSH e segredos utilizados por aplicações também representam credenciais sensíveis que precisam ser protegidas durante todo o seu ciclo de vida.
A custódia envolve estabelecer controles sobre como esses elementos são gerados, armazenados, distribuídos, utilizados, monitorados, renovados e revogados.
Um exemplo recorrente está no desenvolvimento de aplicações.
Durante a criação de uma integração, uma equipe pode inserir uma chave de API diretamente no código-fonte para acelerar os testes. Posteriormente, esse código pode ser compartilhado entre ambientes, armazenado em repositórios ou incorporado a imagens de contêineres.
Mesmo após a remoção da chave do código atual, versões anteriores podem continuar contendo o segredo.
Caso a credencial permaneça válida, sua exposição poderá permitir acessos não autorizados aos recursos associados.
Para reduzir esse risco, uma arquitetura de custódia deve considerar alguns princípios fundamentais.
Centralização e armazenamento seguro: credenciais sensíveis devem ser protegidas por mecanismos especializados, como cofres de segredos, com criptografia, controles de acesso e segregação de funções.
Privilégio mínimo: cada identidade deve receber somente as permissões necessárias para executar suas atividades, evitando acessos administrativos permanentes quando não forem indispensáveis.
Acesso temporário: mecanismos como Just-in-Time (JIT) permitem disponibilizar privilégios durante períodos específicos, reduzindo a exposição associada a permissões continuamente ativas.
Rotação e revogação: segredos e credenciais de aplicações precisam de políticas de validade e substituição compatíveis com os riscos envolvidos. A rotação deve considerar também as dependências técnicas, evitando interrupções operacionais.
Auditoria e rastreabilidade: a organização deve conseguir identificar quais identidades utilizaram determinados segredos, quando o acesso ocorreu e quais operações foram executadas.
Essas práticas estão alinhadas às recomendações da OWASP para gerenciamento seguro de segredos.
É importante destacar que a centralização, por si só, não elimina os riscos. Um cofre de credenciais mal configurado, com permissões excessivas ou mecanismos frágeis de autenticação, também pode se tornar um ponto crítico de exposição.
Por isso, a custódia deve ser compreendida como um processo de governança e proteção contínua, e não apenas como uma solução de armazenamento.
Identidades não humanas: um desafio ampliado pela automação e pela inteligência artificial
A expansão dos serviços em nuvem, das arquiteturas de microsserviços e da automação corporativa trouxe um novo desafio para a segurança da informação: a gestão das identidades não humanas, conhecidas como Non-Human Identities (NHIs).
Essas identidades são utilizadas por aplicações, máquinas, serviços, pipelines de desenvolvimento e workloads que precisam se autenticar para acessar recursos digitais.
Diferentemente dos usuários humanos, essas identidades frequentemente operam de maneira contínua, sem interação direta com uma pessoa.
O problema é que muitas organizações ainda utilizam credenciais estáticas e permissões permanentes para viabilizar essas integrações.
Uma aplicação pode, por exemplo, utilizar a mesma chave durante meses para acessar um banco de dados ou consumir determinada API.
Se essa chave for comprometida, o acesso poderá permanecer disponível enquanto a credencial continuar válida e autorizada.
Com a adoção de agentes de inteligência artificial, esse desafio ganha uma dimensão adicional.
Um agente de IA autorizado a consultar informações internas, executar operações em aplicações ou interagir com diferentes sistemas corporativos precisa possuir uma identidade claramente definida e permissões compatíveis com suas funções.
Não basta proteger o modelo contra instruções maliciosas. É necessário controlar quais recursos ele pode acessar e quais ações está autorizado a executar.
Imagine um agente responsável por consultar informações comerciais e gerar relatórios.
Para desempenhar essa função, ele precisa acessar determinados dados. Entretanto, não deveria possuir automaticamente permissões para modificar registros, excluir informações ou consultar bases que não fazem parte de seu escopo.
Uma arquitetura segura deve estabelecer limites claros entre consulta, execução e administração, além de registrar as operações realizadas.
Nesse cenário, mecanismos como identidades vinculadas aos workloads, credenciais de curta duração, autenticação mútua quando aplicável e controles granulares de autorização ajudam a reduzir a exposição.
A evolução da automação exige que a segurança de identidades acompanhe não apenas quem acessa os sistemas, mas também quais processos automatizados estão tomando decisões e executando ações em nome da organização.
Zero Trust: por que autenticar não significa confiar?
Um dos princípios fundamentais do modelo Zero Trust é que nenhum acesso deve receber confiança irrestrita apenas por ter sido originado dentro da rede corporativa ou por ter passado anteriormente por um processo de autenticação.
Na prática, isso significa considerar diferentes sinais antes de conceder ou manter o acesso a um recurso.
A identidade utilizada, o dispositivo, o contexto da solicitação, o nível de privilégio e os riscos associados à sessão podem influenciar as decisões de autorização.
Esse conceito se torna especialmente relevante quando analisamos ameaças envolvendo o comprometimento de sessões.
Considere um colaborador que realiza uma autenticação multifator para acessar uma aplicação corporativa.
Mesmo que a autenticação tenha ocorrido corretamente, um atacante poderá tentar obter um token de sessão válido por meio de técnicas de comprometimento do dispositivo, roubo de cookies ou outras formas de exploração.
Dependendo da arquitetura de proteção, esse token poderá ser utilizado para acessar recursos sem repetir o processo original de autenticação.
Esse exemplo demonstra uma limitação importante: a autenticação multifator é essencial, mas não substitui mecanismos de proteção de sessão, autorização contextual e monitoramento contínuo.
A adoção de métodos resistentes a phishing, como FIDO2/WebAuthn, contribui para reduzir riscos associados à captura e reutilização de credenciais em páginas fraudulentas.
Entretanto, também é necessário considerar a segurança dos dispositivos, dos mecanismos de recuperação de contas e das sessões autenticadas.
As diretrizes NIST SP 800-63-4 reforçam a importância de tratar a comprovação de identidade, a autenticação e a federação como componentes distintos de uma arquitetura de confiança digital.
O objetivo não é tornar o acesso desnecessariamente complexo, mas garantir que as decisões de segurança sejam proporcionais ao contexto e ao risco.
Como uma identidade comprometida pode evoluir para um incidente de segurança?
Para compreender a importância desses controles, considere um cenário hipotético envolvendo uma organização com infraestrutura híbrida.
Um atacante obtém uma credencial utilizada por uma ferramenta de automação que possui acesso a determinados recursos em nuvem.
Como a credencial é válida, a autenticação inicial pode ocorrer sem gerar um alerta imediato.
Ao explorar as permissões disponíveis, o atacante identifica que aquela identidade também consegue consultar configurações de outros serviços.
Se houver segredos expostos, privilégios excessivos ou relações de confiança mal configuradas, o comprometimento inicial poderá abrir caminho para novos acessos.
Nesse momento, a gravidade do incidente dependerá diretamente da arquitetura de segurança existente.
Em um ambiente com privilégios mínimos, credenciais temporárias, segregação de funções e monitoramento contextual, as possibilidades de exploração tendem a ser mais limitadas.
Por outro lado, quando existem contas compartilhadas, permissões administrativas permanentes e baixa rastreabilidade, a investigação e a contenção podem se tornar significativamente mais complexas.
Esse cenário demonstra que a proteção de identidades não deve considerar apenas o momento da autenticação.
Ela precisa abranger toda a cadeia de acesso, desde a criação da identidade até a revogação de suas permissões.
Como avaliar a maturidade da segurança de identidades na organização?
Para CISOs e gestores de Segurança da Informação, fortalecer a proteção de identidades não significa necessariamente começar pela aquisição de novas tecnologias.
O primeiro passo deve ser compreender o nível de exposição existente e identificar quais controles precisam ser aprimorados.
Algumas perguntas ajudam a direcionar essa avaliação:
- A organização possui um inventário atualizado de identidades humanas, não humanas e privilegiadas?
- As permissões administrativas são revisadas periodicamente e concedidas somente quando necessárias?
- Chaves de API, tokens e outros segredos críticos são armazenados e gerenciados de maneira segura?
- Existem mecanismos para identificar comportamentos suspeitos mesmo após uma autenticação legítima?
- É possível revogar rapidamente credenciais, sessões e permissões durante um incidente?
- As identidades utilizadas por aplicações e processos automatizados possuem responsáveis e políticas de ciclo de vida claramente definidos?
As respostas ajudam a identificar lacunas entre a gestão formal de acessos e a proteção efetiva das identidades.
Além disso, é importante transformar essas avaliações em indicadores mensuráveis.
O percentual de contas privilegiadas com permissões permanentes, a quantidade de credenciais sem responsável definido, a cobertura de autenticação resistente a phishing e o tempo necessário para revogar acessos comprometidos são exemplos de métricas relevantes.
Outro indicador importante é a proporção de identidades não humanas que ainda dependem de credenciais estáticas, em comparação com aquelas que utilizam mecanismos de autenticação temporários ou vinculados à identidade do workload.
Acompanhar esses indicadores permite estabelecer prioridades, medir a evolução da maturidade e direcionar investimentos para os riscos mais relevantes.
A confiança digital depende do controle contínuo das identidades
A transformação dos ambientes corporativos ampliou a importância das identidades digitais para a segurança dos negócios.
Usuários, aplicações, serviços e processos automatizados passaram a depender de diferentes mecanismos de autenticação e autorização para executar atividades essenciais.
Ao mesmo tempo, o comprometimento de uma única identidade pode permitir que um invasor utilize acessos legítimos para explorar recursos corporativos.
Por isso, a confiança digital não pode depender exclusivamente da verificação inicial de credenciais.
É necessário compreender quais identidades existem, quais permissões possuem, como seus segredos são protegidos e quais mecanismos permitem detectar e interromper atividades suspeitas.
IAM, PAM, ITDR, gerenciamento de segredos e Zero Trust representam capacidades complementares que, quando integradas, contribuem para reduzir a exposição e fortalecer a resiliência dos ambientes corporativos.
Para organizações que operam infraestruturas híbridas, ampliam a automação e incorporam inteligência artificial aos seus processos, essa integração se torna cada vez mais relevante.
A confiança digital não deve ser presumida ou permanente. Ela precisa ser sustentada por controles verificáveis, privilégios adequados e avaliações contínuas de risco.
Na CG One, entendemos que proteger identidades e credenciais é parte fundamental de uma estratégia de cibersegurança orientada à continuidade dos negócios.
Mais do que controlar quem pode acessar determinado recurso, o desafio está em garantir que cada acesso permaneça seguro, necessário e compatível com o contexto operacional.
Afinal, em um ambiente cada vez mais conectado, proteger a identidade digital é também proteger a confiança que sustenta as operações de uma organização.
Jefferson Santana
Especialista em Segurança da Informação | CG One
Jefferson Santana é especialista em Segurança da Informação na CG ONE, com atuação estratégica e técnica em segurança de identidades digitais, proteção de aplicações web e APIs e gestão de riscos cibernéticos. Possui foco na proteção de identidades humanas e não humanas, na prevenção de ameaças e na redução da exposição de aplicações e serviços digitais. Apoia organizações na adoção de estratégias e soluções de segurança que fortaleçam a governança de identidades, protejam aplicações e APIs expostas à internet e promovam uma gestão mais eficiente dos riscos cibernéticos.