Rob Ainscough (00:00:00,080 – 00:00:12,400)
Chris Linklater, líder de prática na Mandiant, passou sua carreira imerso nos detalhes da infraestrutura e da segurança cibernética, e agora lidera o trabalho de resposta a incidentes e transformação de segurança na Mandiant, uma empresa líder em segurança cibernética adquirida pelo Google.
Chris Linklater (00:00:12,400 – 00:00:19,120)
O aspecto de recuperação ao ajudar uma organização é realmente muito interessante. Vai muito além de simplesmente recuperar a tecnologia existente.
Rob Ainscough (00:00:19,200 – 00:00:24,320)
Neste episódio, vamos explorar o que acontece quando a identidade falha e como a maioria das violações de segurança realmente começa.
Chris Linklater (00:00:24,520 – 00:00:29,960)
Este ano, pela primeira vez na história, o vishing, ou phishing por voz, ultrapassou o phishing tradicional por e-mail.
Roy Akerman (00:00:30,040 – 00:00:39,920)
Os invasores não estão mais agindo da maneira que imaginamos. Chris explica como a identidade se tornou, discretamente, a forma mais fácil de acesso e, ao mesmo tempo, a coisa mais difícil de proteger completamente.
Chris Linklater (00:00:40,160 – 00:00:51,120)
Existem vários vetores de entrada iniciais que, de certa forma, equivalem a um invasor simplesmente fazer login. O invasor encontra as credenciais de alguma forma e simplesmente faz login.
Roy Akerman (00:00:51,760 – 00:00:55,520)
Já ouvimos todos os clichês: a identidade é o novo perímetro.
Rob Ainscough (00:00:55,760 – 00:00:57,440)
Os atacantes não invadem, eles fazem login.
Roy Akerman (00:00:57,720 – 00:01:03,360)
Sim, mas o que está realmente acontecendo em segurança de identidade e por quê? É aí que as coisas ficam vagas.
Rob Ainscough (00:01:03,920 – 00:01:14,480)
E é por isso que criamos este programa. Este é o Identity Decoded. Teremos conversas francas sobre o que está funcionando, o que não está e como se destacar na segurança de identidade. Eu sou Rob.
Roy Akerman (00:01:14,960 – 00:01:16,640)
Eu sou Roy. Vamos começar.
Rob Ainscough (00:01:16,920 – 00:01:17,440)
Vamos fazer isso.
Roy Akerman (00:01:23,760 – 00:01:24,560)
Bem-vindo, Chris.
Chris Linklater (00:01:24,800 – 00:01:26,240)
Olá, obrigada por me receberem.
Roy Akerman (00:01:26,640 – 00:01:41,920)
Agradecemos por dedicar seu tempo. Sabemos que você tem uma agenda bastante ocupada com tudo o que está acontecendo no mundo, a resposta a incidentes na era da IA e outras questões. Ficaremos muito felizes em saber um pouco sobre sua trajetória e, se houver alguma ligação com sua identidade, será ainda melhor.
Chris Linklater (00:01:42,280 – 00:01:54,240)
Antes de mais nada, obrigada por me receberem. Estou com um pouco de inveja. Parece que o estúdio onde vocês estão é bem aconchegante, enquanto eu estou aqui no meu escritório. Então, da próxima vez, faremos isso pessoalmente.
Roy Akerman (00:01:54,240 – 00:01:55,280)
No seu escritório.
Chris Linklater (00:01:55,280 – 00:02:21,200)
Mas, falando um pouco sobre mim, trabalho na Mandiant e ajudo a liderar nossa prática de remediação, nossa prática de resposta a incidentes e arquitetura de segurança. Na prática, isso significa que, sempre que ocorre um incidente, há várias equipes envolvidas: uma equipe de perícia forense tentando descobrir o que está acontecendo, equipes jurídicas, equipes de comunicação de crise, mas nós somos a equipe encarregada de ajudar a conter o incidente.
Rob Ainscough (00:02:21,440 – 00:02:21,560)
Uau.
Chris Linklater (00:02:22,160 – 00:02:38,720)
E então, sabe, implementamos essas medidas, essas ações práticas que as organizações podem tomar, para que seja menos provável que o mesmo problema se repita no futuro. Como você pode imaginar, estamos muito ocupados nos dias de hoje. Tem sido muito divertido.
Rob Ainscough (00:02:39,040 – 00:02:50,160)
Incrível. E como você entrou nessa área? Deve ser muito estressante, ficar correndo atrás do fogo o tempo todo com esses incidentes envolvendo diferentes clientes. Como você entrou nisso, Chris?
Chris Linklater (00:02:50,640 – 00:02:55,760)
Sim. Quer dizer, acho que resposta a incidentes é basicamente gerenciamento de projetos com estresse, certo?
Roy Akerman (00:02:57,360 – 00:02:59,280)
É verdade. Ninguém admite isso.
Chris Linklater (00:02:59,280 – 00:03:17,040)
Os prazos são urgentes. Isso pode ser verdade para qualquer coisa relacionada à segurança cibernética, não apenas para resposta a incidentes. Mas veja bem, minha formação é em operações e engenharia de TI, certo? Então, sabe, depois de muitos e muitos anos na área de TI, acabei nessa função na Mandiant. E tem sido muito divertido.
Roy Akerman (00:03:17,360 – 00:03:43,120)
E, para contextualizar nossa discussão, gostaria de mencionar que achei interessante que você não seja responsável apenas por salvar organizações em situações em que todos os controles de segurança falharam e essas organizações foram invadidas e sofreram uma violação de segurança. Você também está presente quando elas estão tentando se recuperar, reconstruindo a infraestrutura para garantir que nada volte a acontecer, certo? Então, você está, na verdade, ajudando-as a reconstruir a confiança, o sistema, os processos?
Chris Linklater (00:03:43,280 – 00:04:53,560)
Sim, então o aspecto da recuperação, ao ajudar uma organização, é realmente muito interessante, certo? Todo mundo pensa nisso como a necessidade de reconstruir estações de trabalho, servidores, e isso certamente faz parte do processo. Mas há mais do que apenas a recuperação da tecnologia existente. Existe o processo de ajudar uma empresa a reiniciar suas atividades. E a parte mais difícil é a final, que é ajudar outras organizações a confiarem que a organização que passou por esse evento terrível é segura para fazer negócios novamente, certo? A primeira coisa que acontece quando uma organização sofre um incidente é que todos os seus parceiros comerciais se desconectam dela para se protegerem. É algo perfeitamente natural. O desafio que enfrentamos é que não existe um padrão predefinido de quando devemos nos reconectar para que seja seguro fazer negócios novamente. E cada organização tem seu próprio limite a partir do qual considera seguro se reconectar. Então, também ajudamos as organizações nessa parte. E isso pode parecer a coisa mais fácil do mundo, tipo, "ei, é só religar a internet". Mas é preciso pensar muito sobre se é seguro fazer negócios com essa organização e quais garantias podemos oferecer. Mas é seguro fazer negócios com eles novamente.
Roy Akerman (00:04:54,000 – 00:05:26,080)
Existem alguns clichês no mercado que podem ser verdadeiros. Não sei. Seria ótimo ouvir sua opinião. Conte-nos se você acha que é verdade ou não. Sei que a Mandiant também tem um relatório de riscos, baseado em tudo o que você está vendo. Milhares de organizações, milhares de incidentes. O primeiro é que os hackers não estão invadindo o login. Você provavelmente já ouviu isso milhares de vezes. E o segundo é que 80% dos incidentes são causados por identidades comprometidas, ou pelo menos passam por uma identidade comprometida em algum momento.
Chris Linklater (00:05:26,480 – 00:06:29,040)
Bem, eu certamente concordo que a primeira coisa definitivamente acontece, certo? A Mandiant publica anualmente um relatório chamado M-Trends, que é basicamente uma retrospectiva do ano anterior, analisando todas as tendências e as mudanças, bem como as que permanecem as mesmas em alguns casos. E uma das coisas que observamos é que existem vários vetores de entrada iniciais que equivalem a um invasor simplesmente fazer login. Podem ser credenciais reutilizadas, credenciais roubadas, credenciais obtidas por phishing ou, pela primeira vez, vishing ou phishing por voz superando o phishing tradicional por e-mail. Então, eu colocaria todas essas categorias na ideia de que um invasor encontra as credenciais de alguma forma e simplesmente faz login. Não se trata apenas de exploits, que ainda são a principal forma de acesso. Eles têm sido os número 1 por muito tempo em termos de como os invasores conseguem entrar, mas eu diria que o simples ato de fazer login está ganhando terreno ano após ano.
Roy Akerman (00:06:29,560 – 00:07:05,680)
O primeiro portão é violado, certo? Confiamos que a senha resistiria, impedindo a entrada dos invasores. É aí que um incidente começa, mas não é depois de muita movimentação lateral e caos nas redes que você é acionado, certo? Aposto que você não é chamado no segundo em que alguém invade, certo? Então, você poderia nos explicar o período típico, que provavelmente varia bastante, na cadeia de resposta a incidentes ou na cadeia de resposta a incidentes, em que você e suas equipes são normalmente acionados?
Chris Linklater (00:07:05,760 – 00:07:44,800)
Quanto mais cedo, melhor, mas infelizmente, geralmente não é quando chegamos. Diria que, na maioria das vezes, somos acionados depois que o agente da ameaça já alcançou seu objetivo, seja exfiltrar dados, causar danos ou simplesmente realizar alguma tática de espionagem, observando nos bastidores. Portanto, diria que, na maioria das vezes, chegamos mais tarde do que gostaríamos, já no final do ciclo de ataque ou da cadeia de destruição, dependendo da terminologia que você preferir.
Rob Ainscough (00:07:45,120 – 00:08:15,280)
Imagino que você dirá que é difícil caracterizar isso, mas você está dizendo que está sendo chamado mais tarde do que gostaria para essas situações. Isso acontece porque as empresas ainda não conseguem detectar e entender o que está acontecendo em suas redes e sistemas? Ou porque elas veem os problemas, mas não reagem com rapidez suficiente e acabam precisando da sua ajuda? Por que você só é chamado tão tarde, quando o ataque já está em um estágio avançado?
Chris Linklater (00:08:16,400 – 00:09:02,640)
Quer dizer, acho que muitas organizações só percebem que foram invadidas quando algo ruim acontece. Um ataque destrutivo é o exemplo mais fácil, porque todo mundo sabe que funciona, certo? É bem óbvio. Mas o que estamos vendo cada vez mais são ataques menos destrutivos e mais focados na exfiltração de dados. E vemos até mesmo muitas organizações que só percebem que tiveram dados exfiltrados de dentro de suas redes quando alguns desses agentes maliciosos os publicam em sites de denúncia de vazamentos (DLS, na sigla em inglês). É nesse momento que elas percebem: "Ok, o primeiro passo é descobrir se nossos dados foram realmente exfiltrados". E, uma vez que a resposta seja sim, elas precisam investigar: "Como isso aconteceu?". E é nesse momento que geralmente somos chamados.
Rob Ainscough (00:09:02,920 – 00:09:47,520)
E isso é realmente assustador, eu acho, do ponto de vista da identidade, porque quando converso com pessoas que trabalham com identidade, elas geralmente estão muito focadas nas coisas mais críticas, as permissões de nível mais alto, os administradores de domínio, os administradores de backup, os administradores de hipervisor, certo? E eles são super importantes, certo? E não estou dizendo que não sejam. Mas o que é assustador no que você está falando é que você poderia ter um nível de acesso relativamente inócuo a um conjunto de dados e atingir esses objetivos e obter esses ganhos financeiros para um invasor. E isso, do ponto de vista da identidade, é bastante assustador porque falamos antes sobre o que é acesso privilegiado. O que é privilégio? Bem, você não precisa de muitos privilégios para realizar esse tipo de ataque quando já está dentro de uma empresa. E isso é muito assustador.
Roy Akerman (00:09:47,840 – 00:10:16,640)
É verdade, mas eu tentaria abordar isso de outro ângulo. Talvez a questão seja: qual é o papel da IAM (Inteligência, Aviação e Monitoramento) naquela sala tática ou mesa de operações para lidar com esse ataque? Eles apenas recebem ordens da equipe de segurança, ou há algo mais que possa ser feito para mitigar ou pelo menos limitar os danos mais rapidamente? Gostaria de saber a opinião de cada um de vocês sobre isso. Ou seja, como vocês lidariam com isso na prática?
Chris Linklater (00:10:17,680 – 00:10:54,880)
Sim, quer dizer, a pergunta que comecei a me fazer quando vimos os ataques disruptivos diminuírem, mas a extorsão continuar no mesmo ritmo, foi: o que está causando isso? E a única coisa que me chama a atenção é que a barreira de entrada para roubar dados é muito baixa, certo? Como você disse, hipoteticamente, se você tem a conta de um recrutador no RH, provavelmente tem acesso a uma quantidade significativa de dados de pessoal. Essa não é uma conta privilegiada no sentido tradicional de TI.
Rob Ainscough (00:10:55,120 – 00:11:29,680)
Certo. E acho que alguns desses ataques são quase não técnicos, não é? Então, se você obtiver ou adivinhar uma credencial, por exemplo, contra um provedor de identidade na nuvem que está vinculado a vários aplicativos, e começar a clicar, provavelmente acabará encontrando algo, e provavelmente encontrará algo interessante que, como você disse, poderá copiar ou exportar um arquivo CSV gerado automaticamente. E você não fez nada particularmente técnico até esse ponto, certo? A barreira de entrada para esse ataque é ter um computador e uma conexão com a internet, certo? E isso é bem assustador.
Roy Akerman (00:11:29,840 – 00:11:39,760)
E é por isso que eu acho que os atacantes adoram a identidade, certo? A ideia é que você pode obter poderes impossíveis, como imaginar, sem nem mesmo explodir ou fazer qualquer coisa.
Rob Ainscough (00:11:40,000 – 00:12:39,280)
O que sempre me interessou na resposta a incidentes é que, muitas vezes, parecia que as ações que tomávamos quase nunca eram focadas em identidade. Era isolar hosts, alterar configurações de rede, bloquear sistemas, interromper conexões e fazer grandes mudanças para os negócios por meio de quase tudo, menos em identidade. E mesmo nossas ferramentas de identidade, quando usadas para... bem, é uma solução drástica, não é? Desativar ou remover privilégios em massa é algo muito desconectado da realidade da internet. Eu ia usar a palavra "agrícola", mas acho que seria um pouco injusto. É a ferramenta que você tem, mas é interessante pensar em como podemos ser mais precisos na recuperação se o principal recurso for a identidade. Porque acho que isso é fundamental. Não quero impactar os negócios mais do que o necessário, mas também preciso conter a situação. É uma tensão interessante.
Chris Linklater (00:12:39,680 – 00:13:45,280)
É uma situação muito tensa, especialmente em organizações que não têm necessariamente noção da função que uma identidade específica pode ou não desempenhar, certo? Normalmente, a identidade humana é ótima porque é uma identidade atribuída a um indivíduo. É bastante claro quem será impactado se fizermos uma alteração nessa identidade. Mas quando se trata de contas de serviço e identidades não humanas, existe um enorme receio de que, se desativarmos ou restringirmos uma conta, interromperemos alguma função essencial do negócio. Em algumas empresas, isso pode não ser um problema. Mas em setores como sistemas de controle industrial, manufatura ou saúde, existe o risco de que desativar uma identidade possa interromper algum serviço crítico que salva vidas. E é nessas situações que, obviamente, quanto mais informações você tiver sobre as identidades existentes no seu ambiente, mais precisa e eficaz será a sua resposta.
Rob Ainscough (00:13:45,600 – 00:13:46,120)
Eu concordo.
Roy Akerman (00:13:46,120 – 00:14:43,360)
Sim, então estamos criando uma espécie de separação, e fiquem à vontade para discordar de mim, entre contenção e bloqueio da capacidade dos atacantes de se movimentarem ou escalarem, certo? No primeiro caso, estamos pegando uma identidade comprometida e tentando limitá-la de forma que a máquina ou pessoa legítima ainda possa usá-la, para que, se missões críticas estiverem sendo executadas ali, por exemplo, ela continue funcionando, mas o atacante fique de fora ou, pelo menos, com sua capacidade bastante limitada. Então, estamos tentando conter e impedir a propagação. E, por outro lado, estamos tentando garantir que os próximos passos do atacante não sejam realmente bem-sucedidos. Ou talvez eu esteja simplificando demais. Estou apenas tentando resumir para missões baseadas em IAM (Gestão de Identidade e Acesso).
Rob Ainscough (00:14:44,160 – 00:15:35,360)
O que é realmente interessante no que você acabou de dizer é a mesma tensão entre contenção e recuperação: o que posso fazer com esta conta? O que isso significará para o negócio? E, sabe, isso é aceitável? É a mesma tensão que impede a implementação proativa desses controles, certo? Que impede o acesso a contas de serviço porque você não sabe o que elas fazem. Que você tem medo de comprometer algo em nome da sua empresa enquanto tenta protegê-la. E é realmente interessante, como dissemos, essa tensão inerente. Mas, do ponto de vista da identidade, tenho curiosidade: existe alguma ferramenta, alguma alavanca que você gostaria de ter para conter de forma mais precisa, mantendo o negócio funcionando? O que você gostaria de ter que não existe hoje na maioria das empresas?
Chris Linklater (00:15:35,440 – 00:16:27,040)
Minha lista de desejos provavelmente é sempre muito extensa. E como já dissemos, tudo de ruim que acontece com a segurança acontece numa sexta-feira, quando você está de férias ou saindo de férias. Acho que outra verdade universal é que as organizações que têm o básico implementado para entender seus próprios ativos, incluindo suas identidades, sempre se saem melhor em um incidente do que aquelas que não têm. Isso nunca deixará de ser verdade. Então, a única coisa que sempre espero que uma organização tenha quando precisa de ajuda é um bom entendimento de todos os seus ativos, quantos ela possui, a que essas identidades estão vinculadas, quais aplicativos ficam indisponíveis se esta conta de serviço for desativada, etc. Nem sequer temos noção do que existe por aí.
Rob Ainscough (00:16:27,280 – 00:17:32,320)
Sim, e concordo plenamente, certo? É fundamental tanto proativamente quanto reativamente, e ainda é um desafio para muitas empresas com as quais converso. Mas acho que, do ponto de vista dos controles, e penso na movimentação lateral e na possibilidade de transitar pela identidade, muitas vezes isso é limitado apenas por permissões, certo? Quão extensas e abrangentes são as permissões e como isso vai limitar ou facilitar minha movimentação lateral ou vertical dentro do ambiente? E essa é uma situação difícil, porque as permissões são complicadas de lidar, mesmo nas melhores circunstâncias. Penso na rede e em como a usamos para limitar a movimentação e a possibilidade de movimentação. E realmente acredito que o conceito de rede como veículo para a movimentação está se transferindo para a identidade, e como podemos ter mecanismos que digam: "Ei, esta identidade só pode se mover ou ser usada desta maneira". Isso é um facilitador muito importante para uma recuperação cirúrgica desses problemas por meio da identidade.
Roy Akerman (00:17:33,280 – 00:18:02,400)
Acho que você está falando de alavancas em uma determinada condição, certo? Temos um sistema que foi comprometido e que provavelmente foi construído com alguns pontos de vantagem para os atacantes, ou vulnerabilidades, ou configurações incorretas, ou algo do tipo. Como profissional de resposta a incidentes, você quer obter controle total sobre cada identidade e decidir, como se estivesse no meio do processo, se ela pode fazer algo, sim ou não, certo? Independentemente de como o sistema foi construído.
Chris Linklater (00:18:03,600 – 00:18:39,240)
Sim, quero dizer, usamos esse termo o tempo todo: segmentação de rede sem segmentação de identidade é fundamentalmente inútil, certo? É a identidade que permite cruzar a fronteira, e não necessariamente o protocolo específico que vamos bloquear entre dois data centers diferentes. A realidade é que você precisa conseguir fazer login de forma ubíqua em ambos os data centers. Então, novamente, se você não segmentar a identidade, o trabalho de segmentação de rede que você fez não será necessariamente em vão, mas certamente não será tão eficaz quanto poderia ser se você aplicasse esses dois conceitos em conjunto.
Roy Akerman (00:18:39,680 – 00:18:50,800)
Tenho interesse em saber quais são os pontos em comum, ou pelo menos as tendências, que vocês estão observando entre as organizações. Quais são as falhas dessas organizações, ou de muitas delas, em relação à identidade, que os atacantes acabam explorando?
Chris Linklater (00:18:51,200 – 00:19:55,680)
Sabe, a principal coisa, ou talvez não a principal, mas certamente uma tendência crescente que temos observado cada vez mais, é a capacidade de controlar grupos, certo? As organizações estão sempre criando algum conceito de grupos para suas identidades. Este grupo de pessoas pode fazer isso. Este grupo de pessoas ou este grupo de identidades pode fazer uma determinada coisa. Mas o que elas frequentemente não consideram, e isso parece fundamentalmente simples, mas vemos o tempo todo, é quem pode controlar o que está dentro do grupo. O que encontramos com frequência são contas com um nível de privilégio inferior, digamos, como um administrador de suporte técnico comum, mas esse administrador de suporte técnico tem a capacidade de adicionar uma conta a um administrador de domínio, certo? Então, sim, os grupos foram configurados perfeitamente. Você delegou suas permissões como deveria. Mas, como você não definiu quem tem a capacidade de manipular as associações de grupo, agora você está em uma situação difícil. A mesma coisa acontece não apenas com grupos de IDP tradicionais. Vemos a mesma coisa acontecendo em sistemas de gerenciamento de acesso privilegiado o tempo todo.
Rob Ainscough (00:19:55,840 – 00:20:51,600)
Concordo plenamente. Vi isso acontecer no meu ambiente, sabe? E nossa, foi muito difícil. Primeiro, revisamos todas as delegações no nosso Active Directory e depois fomos para a nuvem para ver quem tinha permissão para redefinir a senha de outra pessoa, certo? Quantas pessoas? E era muito mais do que gostaríamos na época, e abrangia muitas contas diferentes porque, sabe, você tem que presumir que se uma conta de suporte técnico pode redefinir a senha de qualquer outra conta privilegiada, então, por padrão, qualquer outra conta privilegiada também pode, certo? Quem tem permissão para adicionar um grupo privilegiado a uma conta? Quais são as restrições em torno disso? É um processo muito detalhado, mas muito importante. Mas não vejo muitas empresas falando sobre isso, pensando nisso, porque é um problema quase complexo demais para ser analisado e compreendido a fundo. Mas é fundamental para a gestão de riscos.
Roy Akerman (00:20:51,600 – 00:21:08,400)
Qual é a melhor prática? Quero dizer, do ponto de vista da segurança, acho que vi alguém que bateu o recorde. Era, de novo, uma empresa da 4Gen, digamos, da Fortune 20. É, não vou nem mencionar o número, mas tinha algumas centenas de milhares de funcionários e o mesmo número de grupos, o que parece loucura, né? Então, tipo...
Rob Ainscough (00:21:08,400 – 00:21:56,320)
O difícil é que isso não é incomum. E aí as pessoas se surpreendem quando dizem: "Nossa, houve uma alteração na estrutura de permissões e, de repente, surgiram todas essas permissões que desconhecíamos e tivemos sorte de encontrá-las". E você pensa: "Isso... Isso não é o que precisamos controlar principalmente, certo? É muito complexo. Foi construído ao longo de 25, 30 anos de operação do negócio. Temos muito medo de mexer nisso porque podemos causar algum problema na empresa". Mas então, para onde vamos recorrer? Porque, sabe, se isso não for eficaz e tivermos contas privilegiadas com autenticação por nome de usuário e senha, permissões estáticas sempre ativadas, para mim, essa é a pior combinação tóxica de controle frouxo de permissões com contas fáceis de explorar, certo? Isso parece perigoso.
Chris Linklater (00:21:56,880 – 00:21:57,440)
Absolutamente.
Rob Ainscough (00:21:57,440 – 00:22:00,000)
Mas é isso que é explorado? É isso que os atacantes procuram?
Chris Linklater (00:22:00,920 – 00:22:32,080)
O tempo todo, certo? E muito disso se deve ao fato de termos muitas organizações com uma mentalidade voltada para a conformidade. A conformidade pode exigir que você tenha controle de acesso baseado em funções para um aplicativo, e a maneira mais fácil de implementar esse controle é ter grupos de... funções, certo? Mas, novamente, não há uma etapa seguinte nessa verificação de conformidade que diga: "Ah, precisamos garantir que haja um processo pelo qual estejamos sempre auditando e assegurando que ninguém acabe na função errada". A questão é simplesmente que você precisa ter o acesso baseado em funções.
Roy Akerman (00:22:32,720 – 00:22:36,400)
Sim, existe uma rede complexa que temos por lá.
Rob Ainscough (00:22:36,720 – 00:22:52,720)
Se você pensar na identidade e em algumas das recomendações que você faz aos seus clientes depois que essas coisas acontecem, quais seriam as três principais coisas que você diria a eles que são realmente importantes para que eles superem esses problemas e com as quais você os deixaria?
Chris Linklater (00:22:53,600 – 00:22:58,720)
Portanto, a terminologia que preferimos usar é modernização da identidade.
Rob Ainscough (00:22:59,080 – 00:22:59,200)
Ok.
Chris Linklater (00:22:59,880 – 00:23:10,160)
Muitas organizações mantêm a mesma estrutura fundamental de identidade há anos. Sabe, a gente brinca que tem muitos provedores de identidade que já têm idade para comprar cerveja.
Roy Akerman (00:23:11,920 – 00:23:12,920)
E isso é verdade.
Chris Linklater (00:23:14,080 – 00:24:03,440)
Então, precisamos revisitar isso, certo? Precisamos, sabe, não apenas analisar os provedores de identidade (IDPs), mas também como estamos realizando a segmentação de identidade. Queremos migrar do que consideramos provedores de identidade legados para algo mais moderno, seja uma identidade baseada em nuvem ou uma identidade híbrida? Isso nos dá muito mais flexibilidade para impulsionar os negócios. E, novamente, tentamos enquadrar tudo isso no conceito de modernização, certo? O gerenciamento de identidade e acesso não vai desaparecer para nenhuma organização em particular, mas se analisarmos a situação da seguinte forma: o que temos usado nos últimos 20 ou 25 anos não está funcionando, para onde precisamos migrar para termos uma chance melhor de evitar problemas em nosso ambiente?
Rob Ainscough (00:24:03,520 – 00:24:50,800)
Sim, e acho que algo que considero importante é a consistência, a construção de condições equitativas em termos de identidade, porque o que costumo observar é que as organizações podem ser muito mais fortes na nuvem do que em infraestruturas locais, ou podem ser mais fortes em um provedor do que em outro na nuvem. E acho que, da minha perspectiva, é isso que os atacantes procuram. Eles procuram inconsistências, o denominador comum mais baixo e o ponto menos protegido. Então, acho que a capacidade de modernizar, de obter e construir consistência, como construímos consistência em relação à identidade, é algo sobre o qual falo bastante, porque acredito que seja provavelmente o fator mais importante na defesa contra esse tipo de ataque.
Chris Linklater (00:24:51,120 – 00:25:12,200)
Sim, concordo plenamente. E acho que a maneira mais fácil de descobrir o que está errado com a sua consistência é contratar uma equipe de teste (red team). Eles vão chegar e mostrar rapidamente onde estão as suas falhas. E é significativamente mais barato do que uma solicitação de indenização ao seguro cibernético. Portanto, certamente incentivamos as organizações a fazerem isso.
Roy Akerman (00:25:12,200 – 00:25:38,400)
Antes de começarmos a analisar algumas das lições que aprendemos, quero mudar um pouco de assunto. Quando falamos sobre a evolução da IA e todos mencionam modelos de IA a seu serviço, como atacante ou defensor, você já se deparou com modelos de IA em ataques que sua equipe precisou enfrentar? Ou seja, você já lutou contra um modelo ou contra ações baseadas em modelos?
Chris Linklater (00:25:38,760 – 00:26:05,960)
Acho que ainda não chegamos lá, mas acredito que em breve chegaremos. Penso que a introdução da IA nesse debate entre atacantes e defensores está, de forma geral, forçando todos a perceberem que os fundamentos precisam estar corretos, pois não haverá tempo para reagir. Portanto, acredito que a IA está nos obrigando a acelerar aquilo em que éramos lentos no passado.
Rob Ainscough (00:26:06,000 – 00:26:42,640)
Concordo plenamente. Isso vai expor todas aquelas coisas das quais não nos orgulhamos muito, que aconteceram nos últimos 25, 30 anos. Sabe, aquelas coisas que podemos chamar de legado, não podemos esquecer. Elas não são legado se são usadas pela empresa e funcionam para a empresa, certo? Podem ser o nosso legado. Podemos não gostar delas, mas não são um legado para a empresa. São importantes para a empresa. E é aí que precisamos preencher essa lacuna, eu acho, em termos de modernização. Não é tão fácil. Mas como podemos fortalecer coisas como... Active DirectoryCerto? Sem dizer, ah, vou migrar para a nuvem, mas isso vai levar cinco anos. E no meio desse processo, vou correr esse risco.
Roy Akerman (00:26:42,640 – 00:27:27,360)
Acho que meu comandante no exército sempre dizia algo assim. Para algumas pessoas, vocês não estão prontos e não têm tempo, certo? E acho que às vezes precisamos nos reinventar e tomar medidas inovadoras para acelerar nossa prontidão. Às vezes não podemos nos reestruturar e criar alinhamento e consistência. Às vezes... precisamos agir rápido para estarmos preparados para o que está por vir. E então, pelo menos, o protocolo de resposta será muito mais robusto e isso permitirá que os comandantes nos ajudem a salvar nossas vidas ou a entender nossa missão. Pelo menos seremos capazes de responder corretamente. E acho que é hora de fazer perguntas rápidas. Aposto que Chris está acostumado com isso, certo? Ele precisa responder às perguntas mais urgentes.
Rob Ainscough (00:27:27,880 – 00:27:34,880)
De pé, no improviso. Então vamos começar. Qual é um mito de identidade?
Chris Linklater (00:27:36,200 – 00:28:15,880)
Essa é uma pergunta difícil. Acho que um mito sobre identidade é que existe uma política de senhas única que serve para todas as organizações. Recebemos essa pergunta o tempo todo: "Qual deve ser a minha política de senhas?". É uma boa pergunta. Mas a resposta não é uniforme para todas as organizações. E acho que muita gente gostaria de ter uma resposta simples para essa pergunta. Mas o mito é que seja simples. A realidade é que cada organização precisa analisar suas necessidades específicas e definir sua identidade e suas possíveis políticas com base em seu modelo de ameaças e nos objetivos que busca alcançar como organização.
Rob Ainscough (00:28:16,240 – 00:28:22,000)
Concordo plenamente. Então, a segunda pergunta: qual é um erro comum que os líderes cometem?
Chris Linklater (00:28:22,480 – 00:28:34,080)
Acho que uma coisa que estou começando a perceber é que as organizações passaram os últimos cinco anos protegendo a identidade humana.
Rob Ainscough (00:28:34,160 – 00:28:34,440)
Certo.
Chris Linklater (00:28:35,080 – 00:29:08,280)
E, na verdade, nos tornamos muito bons nisso. Temos o MFA (Autenticação Multifatorial). A primeira tentativa com o MFA não foi das melhores. Tínhamos um MFA baseado em push. Duas coisas não funcionaram direito. Mas tentamos novamente. E nos tornamos muito bons nisso. Então, a identidade humana está, talvez não em um ótimo momento, mas está significativamente melhor. Mas toda a atenção dedicada à identidade humana, acredito, acabou desviando o foco da identidade não humana. E acho que, dentro de uma organização, ambas precisam ser tratadas com o mesmo nível de atenção.
Rob Ainscough (00:29:09,040 – 00:29:26,720)
Sim, concordo. Vejo diferentes empresas priorizando um ou outro indicador, e provavelmente dando ênfase excessiva a um ou outro. E acho que é muito importante encontrar o equilíbrio certo, porque existem diferentes métodos que serão usados, mas ambos são importantes. Ambos são caminhos potenciais. Então, qual é a próxima pergunta: qual é uma verdade incontestável?
Chris Linklater (00:29:27,320 – 00:30:06,480)
Acho que a verdade mais difícil agora é admitir que não temos ideia de onde vamos parar com o confronto entre atacante e defensor e com a inteligência artificial (IA). Simplesmente não sabemos como isso vai ser. Provavelmente haverá dias difíceis pela frente. Provavelmente haverá grandes vitórias. Provavelmente haverá oscilações. Mas acho que uma dura verdade é que simplesmente não sabemos onde isso nos levará como indústria daqui a dois ou cinco anos. E acho que qualquer pessoa que possa dizer exatamente onde estaremos com a IA daqui a dois ou cinco anos provavelmente está muito confiante, mas eu não confiaria muito na resposta dela.
Rob Ainscough (00:30:06,880 – 00:30:11,760)
Sim, acho que a única certeza nisso é a incerteza. Então, acho que você tem toda a razão.
Roy Akerman (00:30:11,840 – 00:30:13,840)
Devemos aproveitar nossos dias agora, certo?
Rob Ainscough (00:30:15,320 – 00:30:20,120)
Aproveite enquanto dura. E a nossa última pergunta, Roy, quer nos dar a última?
Roy Akerman (00:30:20,120 – 00:30:25,440)
A que eu mais gosto é: Dê-nos uma tendência que você acha que está sendo superestimada.
Chris Linklater (00:30:25,760 – 00:31:04,360)
Há muitas coisas que são superestimadas, e como setor, somos bons em superestimar as coisas. Então, sinto que este é um ambiente repleto de alvos. Mas uma coisa que ouço muitas organizações começarem a discutir, e que não se encaixa em seus modelos de ameaças, é a criptografia pós-quântica. Acho que chegaremos lá coletivamente como setor. Eventualmente, chegaremos a um mundo de criptografia pós-quântica. E acho que muitas organizações estão gastando tempo pensando em como resolver esse problema quando têm oportunidades muito mais fáceis de aproveitar, que poderiam ser usadas para aprimorar suas políticas de segurança.
Roy Akerman (00:31:05,000 – 00:31:05,600)
Interessante.
Rob Ainscough (00:31:05,920 – 00:31:06,080)
Sim.
Roy Akerman (00:31:06,080 – 00:31:29,440)
Muito legal. Quer dizer, é um problema, mas com certeza existem problemas mais urgentes. E com isso, Chris, queremos agradecer por você ter sido nosso convidado hoje. Gostamos muito da conversa e acho que podemos tirar muitas lições importantes. Precisamos nos preparar para a próxima guerra como IAM e como segurança, de mãos dadas, marchando juntos sob o sol. É, e com isso, muito obrigado.
Chris Linklater (00:31:30,640 – 00:31:31,840)
Bem, obrigado por me receber.
Rob Ainscough (00:31:32,520 – 00:31:34,880)
Por hoje é só, no episódio de Identidade Decodificada.
Roy Akerman (00:31:35,120 – 00:31:41,280)
Se esta conversa mudou algo na sua forma de pensar sobre segurança de identidade, compartilhe com alguém que esteja enfrentando os mesmos desafios.
Rob Ainscough (00:31:41,520 – 00:31:44,880)
E não se esqueça de acompanhar o programa para não perder os próximos episódios.