Realizando Revisão de Acesso a Contas Privilegiadas

Visão Geral

A Revisão de Acesso a Contas Privilegiadas é um processo crítico de governança de identidade que valida se os usuários com permissões elevadas ainda necessitam de seu acesso. Esta revisão abrange administradores de domínio, contas de serviço, administradores de banco de dados, funções de IAM na nuvem e contas privilegiadas em nível de aplicativo. Revisões regulares de acesso são exigidas pelos frameworks de conformidade SOC 2, PCI DSS, HIPAA e SOX, geralmente com periodicidade trimestral para contas de alto privilégio.

Quando Usar

• Ao realizar avaliações de segurança que envolvam a execução de revisão de acesso a contas privilegiadas
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança agendados ou atividades de auditoria
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Solução PAM implantada (CyberArk, BeyondTrust, Delinea ou equivalente)
• Plataforma de governança de identidade (SailPoint, Saviynt ou equivalente)
• Inventário completo de contas privilegiadas em todas as plataformas
• Política de revisão de acesso definida com SLAs e procedimentos de escalonamento
• Revisores designados (proprietários de contas, gerentes, equipe de segurança)

Conceitos Principais

Categorias de Contas Privilegiadas

Framework de Revisão de Quatro Pilares

DISCOVER                    VALIDATE                    REMEDIATE                 MONITOR
    │                           │                           │                       │
    ├─ Enumerate all            ├─ Verify business          ├─ Remove excess        ├─ Continuous
    │  privileged accounts      │  justification            │  privileges           │  monitoring
    │                           │                           │                       │
    ├─ Identify orphaned        ├─ Confirm account          ├─ Disable orphaned     ├─ Anomaly
    │  accounts                 │  ownership                │  accounts             │  detection
    │                           │                           │                       │
    ├─ Map permissions to       ├─ Check compliance         ├─ Enforce password     ├─ Session
    │  business roles           │  with policies            │  rotation             │  recording
    │                           │                           │                       │
    └─ Classify by risk         └─ Review last usage        └─ Implement JIT        └─ Audit
       level                       and activity                access                  logging

Fluxo de Trabalho

Etapa 1: Descoberta e Inventário de Contas

Enumere todas as contas privilegiadas no ambiente:

Active Directory:

• Grupos de Administradores de Domínio, Administradores Corporativos, Administradores de Schema
• Contas com o atributo AdminCount=1
• Contas de serviço com SPN (Service Principal Names)
• Contas com direitos de delegação (Não Restrita/Restrita)

Plataformas na Nuvem:

• AWS: Usuários/funções do IAM com permissões AdministratorAccess, PowerUserAccess ou iam:*
• Azure: Funções de Administrador Global, Administrador de Funções Privilegiadas, Administrador de Segurança
• GCP: Funções de Proprietário, Editor em nível de organização/projeto

Bancos de Dados:

• SQL Server: Funções fixas sysadmin, db_owner, securityadmin
• Oracle: Privilégios DBA, SYSDBA, SYSOPER
• PostgreSQL: Atributos superusuário, createrole, createdb

Etapa 2: Estabelecer Critérios de Revisão

Cada conta privilegiada deve ser avaliada em relação a:

1. Justificativa de Negócios: A função atual do usuário requer este privilégio?
2. Menor Privilégio: A tarefa pode ser realizada com privilégios menores?
3. Atividade da Conta: A conta esteve ativa nos últimos 90 dias?
4. Status de Conformidade: A conta atende à política de senha e aos requisitos de MFA?
5. Separação de Funções: O acesso cria conflitos de SoD?
6. Propriedade: Um proprietário responsável está atribuído e ativo?

Etapa 3: Conduzir a Revisão

Para cada conta, o revisor designado deve:

…