O mundo da segurança cibernética foi abalado pelo recente anúncio de que a Palo Alto Networks adquirirá a CyberArk em um acordo histórico avaliado em aproximadamente US$ 25 bilhões. Além da escala financeira da transação, esta aquisição marca uma mudança na forma como o setor enxerga a empresa. segurança de identidade. A aquisição recente valida o que já vínhamos enfatizando: a identidade é a primeira e a última linha de defesa, e exige uma camada de segurança própria e dedicada. Assim como vimos em outros domínios, como segurança de endpoints e nuvem, a proteção de identidades requer uma abordagem de ponta a ponta. plataforma—um que oferece visibilidade unificada, insights inteligentes e proteção em linha.
CyberArk, enraizada em Gerenciamento de Acesso Privilegiado (PAM), expandiu seus recursos de identidade em resposta às necessidades do mercado. Mas esta aquisição traz à tona uma questão mais crítica e oportuna:
Qual é o futuro do PAM?
Acreditamos que estamos testemunhando o início de uma transformação. Um futuro onde garantindo acesso privilegiado não girará mais em torno de um Abóbada. Na verdade, as abordagens baseadas em cofres não serão mais as primário método de aplicação de segurança de acesso privilegiado.
Essa mudança é paralela às transformações que já vimos em outras áreas da segurança cibernética:
- Segurança na nuvem tornou-se sem agente, substituindo implantações intrusivas por visibilidade leve baseada em API.
- Autenticação multi-fator (MFA) não requer alterações de código ou proxies como no passado. Hoje, é imposto pelo provedor de identidade ou por uma extensão do provedor de identidade.
- Proteção de identidade plataformas agora aplicar políticas em tempo real sem injetar chaves ou senhas, reduzindo a superfície de ataque.
- Segurança de rede deixou de usar firewalls físicos e VPNs para Confiança zero Acesso à rede (ZTNA), que concede acesso dinamicamente com base na identidade, contexto e postura.
Em cada um destes casos, a ideia central era a mesma: afastar-se da segurança segredos ou infraestrutura, e em vez disso se concentrar em garantir o acesso em si. O PAM agora está passando por uma evolução semelhante.
O problema com o PAM baseado em cofre
Os cofres foram introduzidos como uma forma de proteger as credenciais usadas por contas privilegiadas — nomes de usuário e senhas de administrador para servidores, bancos de dados, switches e muito mais. A premissa era sólida: não permitir que os usuários soubessem ou reutilizassem senhas fortes. Em vez disso, permitir que eles recuperassem credenciais de um cofre seguro quando necessário e alternassem essas senhas após o uso.
Mas na prática, o PAM baseado em cofre cria vários problemas:
- Ela protege a credencial, não o acesso. Assim que um usuário recupera a credencial, as proteções do cofre cessam. Essa senha pode ser roubada da memória, registrada por malware, usada indevidamente por pessoas de dentro ou interceptada em um ataque do tipo man-in-the-middle. O acesso em si não é protegido — apenas o armazenamento da senha.
- É operacionalmente complexo. O PAM baseado em Vault introduz grande atrito nos fluxos de trabalho. Alterar a forma como os usuários efetuam login nos sistemas — redirecionando-os por meio de um proxy, forçando-os a verificar senhas e reautenticando-se constantemente — geralmente exige treinamento, soluções alternativas ou exceções. No âmbito do NHI, a rotação conta de serviço credenciais, várias aprovações são normalmente necessárias e um trabalho cuidadoso para evitar mudanças significativas. Essa mudança de comportamento complica a adoção e torna as implantações de PAM mais complexas. demorado e caro. Muitas organizações tomam anos para implementar o PAM em escala, especialmente em ambientes híbridos onde sistemas legados, contas de serviço e acesso de terceiros exigem configurações separadas.
- Não é à prova de violações. Os próprios cofres são alvos de alto valor. Os invasores sabem que comprometer um cofre pode revelar credenciais para os sistemas mais sensíveis da organização. Já vimos violações reais que comprovam isso. um perfil alto Em uma violação de 2022, o invasor supostamente obteve acesso ao cofre de acesso privilegiado da empresa coletando credenciais e enganando um funcionário para que aprovasse solicitações de MFA. Uma vez lá dentro, o invasor teve acesso a ferramentas administrativas, infraestrutura e dados confidenciais. Em outros incidentes, invasores exploraram configurações incorretas do cofre, tokens de API ou fragilidades de integração para aumentar seu acesso. A ideia de que cofres são invioláveis não é mais sustentável.
- Isso cria uma falsa sensação de segurança. As equipes de segurança frequentemente presumem que a rotação de credenciais e a limitação do acesso ao cofre são suficientes. Mas se a senha ainda estiver sendo fornecida ao usuário — mesmo que por um curto período — ela ainda poderá ser exfiltrada ou usada indevidamente. Os controles de segurança (como MFA, gravação de sessão ou fluxos de trabalho de aprovação) estão vinculados ao cofre, não ao acesso privilegiado em si. Após o login, não há ponto de execução adicional para aplicar os controles de segurança.
O PAM centrado em Vault funcionou bem na era da infraestrutura estática e das contas de longa duração. Mas os ambientes de TI atuais são dinâmicos, distribuídos e orientados por identidade. Simplesmente proteger credenciais em um cofre não é mais suficiente.
Do gerenciamento de contas privilegiadas à segurança de acesso privilegiado
A verdadeira oportunidade - e o que define o futuro sem cofres - é mudar de gestãocontas privilegiadas para garantindo acesso privilegiado.
Neste modelo, as organizações não dependem mais de contas permanentes com senhas protegidas. Em vez disso, os privilégios são concedidos dinamicamente, na hora certa, e removidos assim que não são mais necessários. O acesso é intermediado e monitorado em tempo real com base na identidade do usuário, no contexto (dispositivo, local, horário) e na política.
Isso elimina muitos dos riscos associados ao PAM baseado em cofre:
- Não há credencial permanente para roubar ou reutilizar.
- A mudança no comportamento do usuário é mínima; não há interrupção no login e não há processo de verificação de senha.
- Todo o acesso é rigorosamente monitorado e vinculado a uma identidade verificada.
- Mesmo que o invasor consiga a senha, o acesso ainda estará seguro e o ataque poderá ser interrompido ali.
Este modelo também se estende perfeitamente a identidades não humanas (NHIs) — como contas de serviço, scripts, agentes de IA e ferramentas de automação — que agora constituem a maior parte do acesso privilegiado na maioria das organizações. Em vez de gerenciar milhares de credenciais de longa duração para essas entidades, as organizações podem aplicar políticas que permitem que sistemas específicos iniciem acesso privilegiado sob controles rígidos, sem segredos estáticos. Os NHIs tornam-se mais fáceis de gerir através de fornecedores de identidade, ferramentas nativas da nuvem e aplicação de tempo de execução, a abordagem sem cofre se torna mais viável e mais segura.
Acesso centrado na identidade: uma abordagem mais segura
Essa mudança em direção à segurança de acesso privilegiado é possível graças aos avanços tecnológicos em segurança de identidade. As organizações agora podem aplicar controles de segurança robustos na camada de identidade, reforçando MFA, políticas baseadas em risco, monitoramento de sessão e elevação just-in-time-sem injetando credenciais ou modificando infraestrutura.
Na verdade, as plataformas modernas podem proteger o acesso privilegiado de uma forma que:
- Sem proxy – não requer o roteamento de todo o tráfego de rede por meio de um gateway ou a reescrita de aplicativos.
- Sem credenciais – evita injetar ou expor credenciais privilegiadas.
- Em linha e em tempo real – responde dinamicamente às tentativas de acesso com decisões de políticas adaptativas.
Esta mudança arquitetônica permite que as organizações aplicar os princípios de Confiança Zero para acesso privilegiado — validando cada solicitação continuamente, aplicando políticas de privilégios mínimos e respondendo a anomalias instantaneamente.
E está alinhado com a forma como as equipes de segurança desejam trabalhar: reduzindo a superfície de ataque, minimizando a interrupção do usuário e simplificando as operações.
Os cofres desaparecerão?
Os cofres continuarão a fazer parte do cenário de acesso privilegiado por um futuro próximo. Alguns sistemas continuarão a exigir senhas. Alguns requisitos de conformidade exigirão o armazenamento seguro de credenciais. E em certos cenários de vulnerabilidade ou legados, ter um cofre como mecanismo de fallback ainda faz sentido.
Mas os cofres não serão mais o primário forma como as organizações garantem acesso privilegiado. Em vez disso, o centro de gravidade mudará para controles em tempo real com reconhecimento de identidade—um modelo que não depende da entrega de credenciais aos usuários e nem exige que essas credenciais existam.
Já estamos vendo essa transição acontecer. Plataformas modernas de segurança de identidade estão sendo usadas para impor controles de acesso granulares para sessões privilegiadas em ambientes de nuvem e locais. Esses controles — baseados em quem é o usuário, qual recurso ele está acessando e em qual contexto — são mais precisos, mais escaláveis e mais seguros do que abordagens baseadas em cofres.
E o mais importante, eles são mais rápido de implantar e mais fácil de gerenciar, porque não exigem que os usuários alterem a forma como efetuam login ou que as equipes de TI redesenhem seus ambientes.
Olhando para o futuro
O futuro do acesso privilegiado não precisa de cofres. Os cofres desempenharam uma função crucial em uma era passada. Mas, à medida que a identidade se torna o novo perímetro e o acesso se torna o ponto de controle, é hora de seguir em frente.
Os líderes de segurança que desejam reduzir riscos, acelerar a adoção de confiança zero e simplificar sua carga operacional devem começar perguntando: Preciso proteger essa senha ou posso eliminá-la completamente?
Ao mudar o foco de contas para acesso, podemos finalmente proteger identidades de uma forma invisível para os usuários, resistente a violações e desenvolvida para os ambientes dinâmicos de hoje e de amanhã.
Saiba mais sobre a Segurança de Acesso Privilegiado e como isso beneficia as equipes de identidade e segurança.
