Implementando Privilégio Zero em Repouso com CyberArk

Visão Geral

Privilégio Zero em Repouso (Zero Standing Privileges - ZSP) é um modelo de segurança onde nenhum usuário ou identidade retém acesso privilegiado persistente. Em vez disso, o acesso elevado é provisionado dinamicamente em uma base "just-in-time" (JIT) e revogado automaticamente após o uso. O CyberArk implementa o ZSP através de seu módulo Secure Cloud Access (SCA), que cria funções efêmeras e com escopo em ambientes de nuvem (AWS, Azure, GCP) que existem apenas durante a duração de uma sessão. O framework TEA -- Tempo, Permissões e Aprovações -- governa cada sessão de acesso privilegiado.

Quando Usar

• Ao implantar ou configurar a implementação de privilégio zero em repouso com capacidades do CyberArk em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• CyberArk Identity Security Platform (Privilege Cloud ou auto-hospedado)
• Licença CyberArk Secure Cloud Access (SCA)
• Contas de provedor de nuvem (AWS, Azure, GCP) com acesso de administrador para integração
• Integração ITSM (ServiceNow, Jira) para fluxos de trabalho de aprovação
• CyberArk Vault configurado com gerenciamento de cofres

Conceitos Principais

Framework TEA (Tempo, Permissões, Aprovações)

Arquitetura ZSP

User requests access via CyberArk
        │
        ├── CyberArk evaluates request against policies:
        │   ├── Is user eligible for this access?
        │   ├── Does the request comply with TEA policies?
        │   └── Is approval required?
        │
        ├── [If approval needed] → Route to approver (ITSM/ChatOps)
        │
        ├── Upon approval:
        │   ├── CyberArk creates ephemeral IAM role in target cloud
        │   ├── Scopes permissions to minimum required entitlements
        │   ├── Sets session TTL (time-bound)
        │   └── Provisions temporary credentials
        │
        ├── User accesses cloud resources via session
        │   ├── All actions logged and recorded
        │   └── Session monitored for policy violations
        │
        └── Session expires:
            ├── Ephemeral role deleted
            ├── Temporary credentials revoked
            └── Zero standing privileges remain

Componentes do CyberArk

Fluxo de Trabalho

Etapa 1: Integrar Provedores de Nuvem

Integração AWS:

1. Crie uma função de integração do CyberArk no AWS IAM
2. Configure a política de confiança entre contas permitindo que o CyberArk assuma funções
3. Crie políticas IAM que definam as permissões máximas permitidas
4. Registre contas AWS no CyberArk SCA

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::CYBERARK_ACCOUNT:role/CyberArkSCARole"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
            "StringEquals": {
                "sts:ExternalId": "cyberark-external-id"
            }
        }
    }]
}

Integração Azure:

1. Registre o CyberArk como um aplicativo empresarial no Microsoft Entra ID
2. Conceda permissões de aplicativo ao CyberArk: Directory.ReadWrite.All, RoleManagement.ReadWrite.Directory
3. Crie funções personalizadas do Azure com permissões com escopo
4. Registre assinaturas do Azure no CyberArk SCA

Integração GCP:

1. Crie uma conta de serviço para o CyberArk no GCP
2. Conceda as funções de Administrador IAM e Administrador de Conta de Serviço
3. Configure a federação de identidade de carga de trabalho para acesso entre nuvens
4. Registre projetos GCP no CyberArk SCA

Etapa 2: Definir Políticas de Acesso

Crie políticas que mapeiem funções de trabalho para permissões de nuvem:

# Exemplo de Política CyberArk SCA
policy_name: "developer-aws-read-access"

…