c4.5 Conceder acesso elevado temporário
Não conceda acesso permanente para tarefas ocasionais como troubleshooting. Deixe as pessoas solicitarem acesso elevado temporário por um fluxo de aprovação, com a concessão limitada no tempo, auditada e aprovada por outra pessoa, de modo que uma identidade comprometida tenha muito menos poder permanente.
Guia de implementação
Solicite acesso just in time
O acesso perpétuo a tudo o que uma pessoa possa vir a precisar é uma grande superfície de ataque permanente. Em vez disso, provisione o acesso just in time: um funcionário solicita acesso elevado temporário para uma tarefa específica, idealmente por um fluxo de aprovação, e a concessão é limitada no tempo, auditada e aprovada por uma pessoa diferente (segregação de funções). Quando a janela termina, o acesso é removido.
Opções de implementação
As soluções de Privileged Access Management (PAM) emitem acesso temporário sob demanda. Fornecedores como CyberArk, Okta e outros se integram ao IAM Identity Center para conceder credenciais temporárias. Se você usa outra ferramenta PAM, verifique como ela se integra: prefira soluções que emitam credenciais de curta duração e nunca exponham nem compartilhem access keys de longa duração com o usuário. Para elevação temporária nativa da AWS, veja Temporary elevated access.
Por que importa
Isso é especialmente importante para os Managed Service Providers: se um admin não precisa rotineiramente de acesso privilegiado às contas dos clientes, o acesso elevado temporário limita o raio de impacto se as credenciais desse admin forem comprometidas.
Como validar
- Você provisiona acesso elevado temporário e limitado no tempo em vez de acesso permanente para tarefas ocasionais?
- Um fluxo de aprovação e a segregação de funções governam a concessão?
- Se usa uma ferramenta PAM, ela emite credenciais de curta duração (sem expor nem compartilhar keys de longa duração) e se integra ao IAM Identity Center?
Ameaças atendidas
- Um principal com acesso perpétuo a tudo o que possa precisar é um alvo muito mais danoso se comprometido do que um que precisa solicitar acesso limitado no tempo quando necessário.
- Um admin de MSP comprometido com acesso permanente a muitas contas de clientes pode alcançar todas de uma vez; o acesso elevado temporário limita essa exposição.
Mapeamentos de frameworks
AWS CAF
Well-Architected
- waf-identity-and-access-management Identity and access management
- waf-incident-response Incident response