“Se não pode confiar no seu administrador de sistemas então despeça-o”. Expressão muito comum no mundo das TI demonstra o poder que esta função acarreta. De facto, um administrador tem o nível mais elevado de privilégios no sistema e pode literalmente “tudo”.
Perante esta realidade, é pertinente que existam sistemas de auditoria e registo que regulem todas as atividades desempenhadas por contas de sistema privilegiadas e principalmente evitar que as credenciais destas contas sejam comprometidas por utilizadores maliciosos e alvo de ataques com consequências catastróficas.
A recomendação perante tão elevados riscos, baseia-se na adoção de um conceito de “Just In Time administration” e “Just Enough Administration” controlada por um sistema de Gestão de Acessos Privilegiados: Privileged Access Management ou PAM.
Com um sistema PAM, os administradores não têm, à partida, qualquer direito de administração específico associado à sua conta e quando necessitam de acesso o mesmo é pedido para o fim específico e apenas pelo tempo necessário. O pedido é sujeito a um workflow de aprovação e todo o processo é monitorizado, um género de self-service para a gestão de privilégios.
Vejamos como, com um sistema PAM, um administrador de sistema efetua uma intervenção num servidor de base de dados SQL da aplicação de RH.
1. Através de um portal o utilizador requisito o acesso:
2. Após requisitado o acesso pode ser aprovado ou rejeito pela pessoa responsável:
3. Caso seja dada a aprovação, o utilizador pode então iniciar a intervenção com a sua própria conta do dia a dia e no portal verificar a data de expiração, pedir uma extensão de tempo ou terminar o acesso.
A grande vantagem deste tipo de sistemas é que todas as intervenções são controladas, monitorizadas, justificadas e minimizadas. Na aprovação poderá também ser exigido ao utilizador uma autenticação multifator para garantir que o pedido é legitimo.
Com a chegada do novo regulamento para a proteção de dados, esta é uma questão de importância elevada. É crítico limitar o numero de administradores permanentes, a duração e o âmbito da atribuição de acessos privilegiados. A boa noticia é que quer o Windows Server 2016 ou o Office 365 trazem consigo funcionalidades de PAM que permitem criar soluções robustas de “Just in Time Administration”. De que está à espera?
