Senhas fortes na era da IA: repensando o gerenciamento de credenciais privilegiadas

Uma senha forte é apenas o começo

Todo mês de outubro, o Mês da Conscientização sobre Cibersegurança traz de volta recomendações que todos nós já ouvimos antes: use senhas fortes, mantenha seus softwares atualizados, desconfie de phishing e proteja suas contas.

Com as conversas atuais sobre segurança sendo dominadas por IA, agentes autônomos, deepfakes e ransomware, esses conselhos podem parecer quase ultrapassados. Mas, após mais de três décadas em cibersegurança, continuo voltando a uma única lição: os atacantes não precisam invadir quando podem simplesmente fazer login.

O conselho é antigo. Os riscos são novos.

A CISA recomenda senhas longas, aleatórias e exclusivas, com pelo menos 16 caracteres, e incentiva o uso de gerenciadores de senhas para tornar isso prático no dia a dia. Essa orientação continua válida.

Na era da IA, no entanto, essa recomendação precisa ir além. Dentro das empresas, senhas e credenciais são usadas por administradores, aplicações, serviços, máquinas e, cada vez mais, agentes de IA. Muitas dessas identidades se autenticam sem que ninguém precise digitar uma senha.

É aí que entra a gestão de credenciais privilegiadas. Tudo começa sabendo o que existe, o que cada credencial pode acessar e quem é o responsável por ela. 

A IA torna a segurança de credenciais ainda mais urgente

A IA está mudando a velocidade com que atacantes conseguem pesquisar organizações, identificar alvos e criar campanhas de phishing altamente convincentes. Tarefas que antes levavam horas agora podem ser concluídas em minutos ou segundos.

No entanto, os cibercriminosos ainda precisam de acesso. E uma credencial válida pode entregar exatamente isso a eles.

Para as organizações, o desafio vai muito além de proteger os colaboradores contra o phishing. Trata-se também de entender quantas credenciais existem em todo o ambiente, o que elas podem acessar e o que acontece quando uma delas cai nas mãos erradas.

Credenciais Privilegiadas: O caminho mais fácil para dentro

Tendemos a imaginar ciberafatos como alguém ultrapassando um firewall ou explorando uma falha obscura. Agora, imagine um atacante com uma credencial privilegiada válida.

Essa credencial pode pertencer a um administrador do sistema, a uma conta de serviço ou a uma aplicação que se conecta a um banco de dados. Dependendo de suas permissões, ela pode conceder acesso a servidores, ambientes em nuvem, ferramentas de segurança ou dados corporativos sensíveis.

É por isso que as credenciais privilegiadas são tão valiosas para os cibercriminosos. Quanto mais acesso uma credencial concede, maior é o estrago que alguém pode causar com ela.

Em um ambiente corporativo complexo, acompanhar cada credencial e os acessos vinculados a ela está se tornando uma tarefa cada vez mais difícil.

As credenciais privilegiadas que ninguém lembra de ter criado

Para pessoas físicas, um gerenciador de senhas confiável pode tornar o uso de senhas longas e exclusivas algo prático. Dentro de uma empresa, o desafio é muito maior, porque as credenciais estão por toda parte.

Entre em quase qualquer organização consolidada e faça uma pergunta simples: Quantas credenciais privilegiadas vocês possuem?

Você raramente obterá uma resposta direta. Existem contas de colaboradores, administradores e prestadores de serviço. Existem contas de serviço e de aplicações, credenciais de banco de dados, chaves de API, identidades em nuvem e certificados. Há segredos codificados diretamente em scripts, contas usadas para automação e credenciais criadas para projetos que terminaram anos atrás.

Algumas têm proprietários definidos. Algumas são compartilhadas. Algumas não são rotacionadas há anos. Algumas ainda dão acesso a sistemas dos quais todos já se esqueceram.

É aqui que o conselho "use senhas fortes" deixa de ser um hábito pessoal e se torna um desafio corporativo de segurança de identidades. 

Você não pode proteger uma credencial que nem sabe que existe. 

E agora os Agentes de IA também precisam de credenciais

Estamos avançando rapidamente da IA que apenas responde perguntas para agentes de IA que tomam ações. Um agente pode consultar um banco de dados, abrir um chamado de suporte, ler dados de clientes, chamar uma API, editar um documento, alterar uma infraestrutura em nuvem, escrever e implantar código, acionar outro fluxo de trabalho ou se comunicar com outro agente.

Toda vez que permitimos que um agente atue, estamos concedendo autoridade a ele. Isso levanta uma questão que muitas organizações ainda não responderam: quem é o agente de IA?

Um agente em execução na sua empresa deve ter sua própria identidade. Você precisa saber:

• Quem é o proprietário dele
• O que ele pode acessar
• Quais credenciais ele utiliza
• Por quanto tempo essas credenciais permanecem válidas
• Como revogá-las

Agora considere o que acontece à medida que as empresas implantam mais agentes em diferentes equipes e sistemas. Cada agente pode precisar de acesso a múltiplas aplicações, bancos de dados, APIs e outros serviços. Essas conexões envolvem credenciais e permissões que precisam ser descobertas, protegidas, monitoradas e, eventualmente, descontinuadas.

Isso torna um problema corporativo existente ainda mais difícil. As equipes de segurança já enfrentam desafios para manter um inventário preciso de credenciais humanas e não humanas. Os agentes de IA introduzem mais identidades, mais caminhos de acesso e mais oportunidades para que as credenciais continuem ativas muito tempo depois de deixarem de ser necessárias.

As mesmas regras devem ser aplicadas a qualquer identidade privilegiada: saiba quem é o proprietário, limite o que ela pode acessar e remova esse acesso assim que ele não for mais necessário.

Como proteger credenciais privilegiadas ao longo do seu ciclo de vida

É aqui que a mensagem do Mês da Conscientização sobre Cibersegurança precisa evoluir. Para pessoas físicas, o conselho continua sendo o uso de senhas fortes. Para as organizações, isso significa proteger as identidades e privilégios por trás dessas senhas e gerenciá-los desde a sua criação até a sua descontinuação.

Na prática, isso significa:

• Descobrir: Identificar contas privilegiadas, credenciais e segredos em identidades humanas, de máquinas e autônomas.
• Proteger: Armazenar credenciais privilegiadas em um cofre seguro, em vez de planilhas, scripts ou documentos compartilhados.
• Rotacionar: Rotacionar ou renovar credenciais automaticamente, conforme apropriado, e revogá-las quando forem comprometidas ou não forem mais necessárias.
• Controlar: Aplicar o menor privilégio e conceder acesso apenas quando necessário e pelo tempo que for necessário.
• Monitorar: Acompanhar sessões privilegiadas e o uso de credenciais para que as equipes de segurança possam investigar atividades suspeitas.
• Descontinuar: Remover credenciais e permissões quando contas, aplicações ou agentes não precisarem mais delas.

A Gestão de Acesso Privilegiado (PAM) desempenha um papel crítico aqui. Na Segura™, ajudamos as organizações a descobrir e proteger contas e credenciais privilegiadas, garantindo visibilidade e controle reais sobre o acesso privilegiado.

Com a gestão segura de credenciais e o acesso just-in-time, as empresas podem reduzir a dependência de credenciais compartilhadas e de direitos administrativos permanentes.

O princípio é simples: a senha privilegiada mais forte é aquela que ninguém precisa saber.

7 Práticas de resiliência cibernética baseadas nas diretrizes da CISA

Anos de incidentes e exercícios me ensinaram outra coisa: a prevenção é importante, e a preparação importa na mesma medida.

Assuma que algo acabará passando pelas defesas. Uma senha será comprometida, alguém vai clicar no link errado, uma vulnerabilidade será explorada, um fornecedor sofrerá um ataque ou um agente de IA fará algo que ninguém esperava. Nesse momento, apenas duas perguntas importam: Com que rapidez você saberá? E com que rapidez conseguirá se recuperar?

As diretrizes mais amplas de cibersegurança da CISA oferecem um ponto de partida prático para construir essa resiliência. 

Registre e monitore o que realmente importa 

Quando um atacante utiliza uma credencial válida, o login pode parecer completamente normal, por isso a visibilidade é essencial. Registre a autenticação e as atividades privilegiadas, fique atento a acessos incomuns e ao aumento inesperado de privilégios, e saiba quando e de onde credenciais sensíveis estão sendo utilizadas. À medida que os agentes de IA passam a integrar o seu ambiente, torne as ações deles visíveis também. Você deve ser capaz de identificar qual identidade realizou determinada ação, o que mudou e o motivo. 

Os logs são a história do que aconteceu, então comece a escrevê-la antes de precisar lê-la.

Faça backup de dados críticos e teste as restaurações 

O ransomware é um lembrete de que proteger o acesso é apenas metade do trabalho, você também precisa conseguir se recuperar. Mantenha backups confiáveis de sistemas críticos e teste a restauração com frequência. Um backup que nunca foi restaurado é apenas uma suposição.

Criptografe dados sensíveis 

A autenticação forte protege a porta de entrada. A criptografia adiciona outra camada de proteção para informações sensíveis. Criptografe dados em repouso e em trânsito para reduzir o risco de exposição.

Facilite a verificação da identidade da sua organização 

A identidade não se limita a usuários e máquinas, organizações também possuem identidades. A CISA incentiva governos estaduais, locais, tribais e territoriais dos EUA que sejam elegíveis a migrarem para um domínio .gov, para que os cidadãos possam diferenciar agências legítimas de golpistas. 

O mesmo princípio se aplica às empresas: facilite para clientes, colaboradores e parceiros a verificação de que sites e comunicações realmente vêm da sua organização.

Reporte incidentes cibernéticos 

A segurança não deve acontecer de forma isolada. Quando você reporta incidentes para a CISA ou para a sua autoridade nacional, o dia ruim de uma empresa se torna o alerta preventivo de outra.

Tenha um plano de resposta a incidentes e pratique-o 

Não crie um plano apenas para passar em uma auditoria. Realize simulações para testar o que acontece quando credenciais privilegiadas são comprometidas, quando seu provedor de identidade fica fora do ar, quando um ransomware ataca e, cada vez mais, quando um agente de IA age de forma inadequada ou tem sua identidade comprometida. Decida com antecedência quem toma as decisões, quem pode desativar acessos, quem se comunica com os clientes e como os sistemas críticos serão restaurados. 

O meio de um incidente é o pior momento para descobrir de quem é a responsabilidade.

Prepare-se para interrupções 

Faça as perguntas difíceis antes que um atacante as faça por você. 

• E se o e-mail desaparecer amanhã? 
• E se os administradores não conseguirem se autenticar ou os serviços em nuvem ficarem offline? 
• E se os sistemas de produção precisarem ser isolados, todas as credenciais privilegiadas rotacionadas de uma só vez ou a automação de IA desligada?
• O negócio consegue continuar funcionando?

A resiliência cibernética significa saber as respostas antes que a emergência comece. 

O que acontece após uma senha ser roubada? Explore as quatro etapas diárias de cibersegurança da CISA e os 3Rs para organizações, com formas práticas de limitar os danos causados por credenciais comprometidas. Leia agora › 

Mantendo as credenciais privilegiadas sob controle

Algumas das melhorias de segurança mais eficazes não são as mais complicadas. Use senhas fortes que sejam longas, aleatórias e exclusivas.

Depois, vá além. Saiba quais credenciais privilegiadas existem em todo o seu ambiente, quem é o proprietário delas e o que elas podem acessar. Proteja e rotacione essas credenciais, remova privilégios desnecessários e garanta que os agentes de IA tenham apenas o acesso exigido para suas tarefas.

A IA está mudando a velocidade da cibersegurança e aumentando o número de identidades que as organizações precisam gerenciar. Os atacantes continuarão buscando o caminho mais fácil para algo valioso, e as credenciais privilegiadas permanecem sendo um alvo atraente.

Na Segura™, acreditamos que proteger identidades e credenciais privilegiadas é fundamental para fechar esse caminho. Senhas fortes não servem apenas para serem difíceis de adivinhar. Elas existem para garantir que as chaves dos seus sistemas mais críticos estejam protegidas, controladas, monitoradas e disponíveis apenas para a identidade certa, pelo motivo certo e no momento certo.

Neste Mês da Conscientização sobre Cibersegurança, comece com uma senha forte. Em seguida, certifique-se de saber exatamente o que ela é capaz de acessar. 

Qual é o nível de maturidade do seu programa de PAM?

Veja como a sua organização gerencia credenciais privilegiadas, acessos e monitoramento. Responda a 12 perguntas em seis áreas de PAM e receba uma pontuação de maturidade personalizada, pontos fortes e os próximos passos recomendados.

✔️ 12 perguntas ✔️ 6 áreas de PAM ✔️ Resultados personalizados

Está avaliando soluções de PAM?