Aaron Turner:[00:00:00]
Primeiro, você precisa entender a mentalidade de Bill Gates em meados da década de 90. Ele estabeleceu a meta de que a Novell lucraria muito com o Enterprise Directory. Então, a Microsoft disse: "Precisamos roubar o dinheiro do almoço da Novell". A primeira versão da especificação de recursos do Active Directory tinha como objetivo acabar com a Novell. Essa era a missão.
Inicialmente, o Active Directory era visto como uma forma de vender mais Windows e mais Office. Era um mecanismo de implantação, não necessariamente uma barreira de segurança. Digamos que US$ 250 bilhões foram gastos em firewalls. Quanto foi investido em identidade? Talvez 2% disso. Como resultado dessa falta de investimento, estamos nessa enorme situação de dívida de identidade.
Então, eles terão que investir em soluções voltadas para sistemas legados, para dizer: "Ok, o que vou fazer para corrigir 25 anos de objetos de política de grupo problemáticos?" Essa é a decisão que precisa ser tomada.
Roy Akerman:
A identidade não é apenas um problema operacional, é também um problema de segurança, e a maioria das equipes está percebendo isso em tempo real.
Rob Ainscough:
Este é o podcast onde fazemos a engenharia reversa do significado de segurança de identidade, compartilhando conversas francas sobre as pessoas que estão construindo, corrigindo e repensando a segurança de identidade por dentro.
Roy Akerman:
Meu nome é Roy Akerman.
Rob Ainscough:
E eu sou Rob Ainscough.
Roy Akerman:
Vamos mergulhar.
Rob Ainscough:
Vamos fazer isso.
Bem-vindo de volta. Oi, Roy. Como vai?
Roy Akerman:
Estou ótimo. Que bom te ver, Rob.
Rob Ainscough:
Muito bom te ver também. Estou muito animado porque, neste episódio, temos o Aaron Turner conosco, certo? O Aaron tem 30 anos de experiência na indústria, fundou sua própria empresa, mas o mais importante para nós é que trabalhou na Microsoft quando... Active Directory Estava se tornando uma tendência, certo, naquela época crucial.
Ele estava lá no acampamento base. Foi muito emocionante para nós conversar com ele.
Roy Akerman:
Tipo, o designer, o arquiteto.
Rob Ainscough:
O culpado. Hum, mas
Aaron Turner:
Vamos ter muito cuidado aqui. Eu era o mais baixo dos baixos na hierarquia.
Roy Akerman:
Então ele disse
Rob Ainscough:
Mas você estava lá... você teve o primeiro impacto. Você estava lá.
Roy Akerman:
Sim.
Aaron Turner:
Oh,
Rob Ainscough:
Eu estava lá. Você estava lá.
Aaron Turner:
Eu estava lá, mas eu era, uh, tecnicamente eu era um engenheiro de suporte, o que significava que eu tinha que lidar com todos os bugs e toda a porcaria, certo? Então eu vi o pior do pior.
Rob Ainscough:
Uau. Sim. Mesmo assim, é uma posição privilegiada, então vamos falar um pouco sobre isso. Vamos falar sobre como a identidade mudou ao longo dos anos. Active DirectoryQual é o papel do [nome do jogador], o que isso significa para os atacantes hoje em dia, e para os defensores, certo?
Então, acho que teremos uma sessão muito interessante. Hum, para começar, Aaron, você poderia nos contar um pouco da sua trajetória profissional e biografia?
Aaron Turner:
Comecei essa jornada porque vi o filme Jogos de Guerra. Tipo, em 1984, o filme Jogos de Guerra foi lançado, e eu pensei: "Isso parece incrível."
"Será que eu consigo fazer isso?" E isso me levou a uma jornada de, às vezes, me meter em encrenca com computadores, sabe? E aí, eventualmente, descobri como ganhar dinheiro fazendo coisas ruins com computadores. Eu fui um dos primeiros testadores de penetração, lá pelo começo e meados dos anos 90, e, eventualmente, percebi que talvez pudesse conseguir um emprego que pagasse melhor do que eu ganhava fazendo bicos de testes de segurança.
E a Microsoft anunciou uma vaga para um profissional bilíngue, com conhecimento de internet e experiência com Novell, para integrar a equipe. Eles queriam focar em oportunidades na América Latina, então eu... eu falo espanhol. Morei no México por um tempo. Tinha um pouco de conhecimento sobre internet por causa das coisas malucas que eu fazia desde a época do WarGames, e então surgiu essa oportunidade incrível na Microsoft e embarquei em uma jornada com eles, onde basicamente tivemos que fundar alguns dos alicerces do que se tornaria a internet e a computação corporativa.
E passei oito anos lá. Um tempo incrível, aprendi muito.
Roy Akerman:
Nossos oficiais de inteligência nos disseram duas coisas que eu preciso confirmar com você. A primeira é que, após um ano de mandato, o próprio Bill Gates lhe deu carta branca para fazer qualquer projeto que você quisesse, é claro, com um grande investimento.
E a segunda questão é sobre uma estrela dourada, então se você pudesse começar por aqui e depois passar para as nossas conversas sobre identidade, seria ótimo. Você poderia nos contar um pouco sobre isso?
Aaron Turner:
Então, por volta de 1998, 99, o governador da Venezuela procurou a Microsoft e disse: "Queremos construir uma plataforma de identidade nacional para todos os cidadãos da Venezuela."
Roy Akerman:
Uau.
Aaron Turner:
Eles foram lá e usaram o NT4 para tentar construir essa plataforma de identidade corporativa, mas a mudança não deu certo. Parece promissor. E continuava dando problema. Quebrava sem parar. E ninguém da nossa equipe teve coragem de ir à Venezuela, porque a Venezuela, quer dizer, tem uma reputação ainda pior agora, mas mesmo naquela época era um lugar incerto.
Então, como eu conhecia a América Latina, pensei: "Ok, eu vou". Levantei a mão e desci. E como ajudei a resolver aquele problema, descobri como fazer algumas alterações no código do NT, que mais tarde se tornou o código do Windows 2000. Por ter feito essa alteração e ter tido a coragem de ir à Venezuela, fui reconhecido em 1999 com uma Estrela de Ouro, uma das poucas condecorações que Bill Gates concedia na época.
Mas, como beneficiário disso, você meio que ganha a capacidade de experimentar, certo? Você ganha certa liberdade para pensar: "Ei, você fez isso muito bem. Vamos ver o que você pode fazer para, sabe, impulsionar ainda mais a Microsoft." E então, meu conhecimento de espanhol, minha coragem de ir para a Venezuela, basicamente me prepararam para fazer coisas incríveis e trabalhar em Active DirectorySQL Server, Windows Mobile, Xbox Live.
Tipo, eu tive a oportunidade de trabalhar em vários projetos muito legais durante o tempo que passei lá.
Roy Akerman:
Tudo sob a perspectiva da identidade.
Aaron Turner:
Às vezes identidade, às vezes quebrando coisas.
Roy Akerman:
Sim.
Aaron Turner:
Hum-hum. Certo? Às vezes, ajudar as pessoas a pensar em modelos de ameaças. Sabe, nós não tínhamos, na verdade, uma equipe de segurança cibernética completa até, tipo, 2002, 2003.
Bem, você sabe, então, eu estava lá nos primórdios, quando tivemos que... Tipo, ninguém nunca tinha construído um sistema de atualização de nível empresarial como o Windows Update, certo? Ninguém nunca tinha pensado em como atualizar dois bilhões de computadores naquela época. Hum. Ninguém tinha pensado em criptografar discos rígidos caso você perdesse um laptop.
Ninguém tinha pensado nessas coisas, sabe? Então tivemos que pensar em coisas que ninguém tinha pensado antes.
Rob Ainscough:
Então hoje vamos nos concentrar nisso. Active Directory história, certo? Então, para a maioria das empresas, ainda falamos sobre a nuvem e toda a transição que aconteceu nos últimos 10, 15 anos.
Mas a realidade é que ainda é, sabe, o centro nevrálgico da identidade corporativa para muitas empresas, certo? É absolutamente crucial. E, como dissemos, você está numa posição realmente interessante, tendo estado lá, desde o seu nascimento, crescimento e transformação até se tornar o que é hoje. Estou realmente interessado em saber, sabe, onde... Active Directory vem de onde?
Qual era o seu propósito? O que você pretendia alcançar com ele? Active Directory naquela hora?
Aaron Turner:
Primeiro, você precisa entender a mentalidade de Bill Gates em meados da década de 90. Bill Gates estava empenhado em construir uma empresa de sucesso, pois sempre teve receio de que algo semelhante ao que aconteceu com Wang, com a Digital, pudesse ter acontecido. Veja os corpos deixados para trás no setor de computação das décadas de 80 e 90: eram muitos.
Roy Akerman:
Milímetros.
Aaron Turner:
Então ele estava paranoico, sabe, pensando que precisávamos sair e conquistar. E então... Ele estabeleceu a meta da Novell de ganhar muito dinheiro com diretórios corporativos, e a Novell era uma empresa muito forte, que basicamente liderava o desenvolvimento de diretórios corporativos. Como fazer com que as pessoas tenham uma boa experiência com computadores?
Como você consegue um nome de usuário e senha? Como você consegue uma boa estrutura de arquivos? E então a Microsoft disse: "Precisamos roubar esse dinheiro. Precisamos roubar o dinheiro do almoço da Novell." E assim surgiu a primeira versão do Active Directory A especificação do recurso era acabar com a Novell. Tipo, essa era a missão.
Bem, não tínhamos muita coisa além disso, então o resto foi interessante, né? Por exemplo, eu era um grande fã do Kerberos. Tipo, o Kerberos era relativamente novo na época. O MIT tinha acabado de lançar o padrão Kerberos. Eu pensei: "Ei, acho que o Kerberos é incrível. Acho que vai ser muito melhor." Porque ainda estávamos lidando com o NTLM, certo?
O NTLM é um protocolo altamente suscetível e vulnerável, facilmente reversível, com hashes quebrados e coisas do tipo. Ainda estamos lidando com o NT LAN Manager, certo? Que era um protocolo do Windows NT4. Então, como... O problema que tínhamos era: se nosso único objetivo é acabar com a Novell, como transformá-la em um sistema de segurança?
E essa era a tensão que existia. Hum. Sabe, nós, que somos apaixonados por segurança, Active Directory Inicialmente, era visto como uma forma de vender mais Windows, mais Office. Tipo, era... hum... um mecanismo de implantação. Não era necessariamente uma barreira de segurança.
Roy Akerman:
Muito interessante. E, tipo, sim, é interessante, sabe, estar lá e realmente reconstruir algo, talvez melhor, que sirva de substituto para algo que começou a crescer.
E, sabe, aposto que houve várias concessões que vocês precisaram fazer, certo? Porque havia o tempo de lançamento no mercado e muitas outras coisas, além de uma mudança no mundo dos computadores. Você poderia nos levar de volta a 98, talvez um pouco depois, e nos contar quais foram as concessões iniciais que os fabricantes e designers deveriam ter considerado?
Aaron Turner:
Bem, então, como eu mencionei, o objetivo de Active Directory O objetivo era vender mais Windows e mais Office, certo? Rapidez na implementação, certo? Como se implementa um monte de sistemas? E nessa busca por velocidade de lançamento, algumas coisas importantes foram deixadas de lado, como a autenticação multifator, certo? A autenticação multifator não era um princípio fundamental do projeto... Active Directory, certo?
Foi algo do tipo: "Ah, talvez alguns parceiros resolvam isso". E empresas como a RSA e a Gemalto, certo... Hum-hum... se apresentaram e disseram: "Sim, nós faremos esse trabalho de MFA", certo? Mas, por exemplo, uma das tarefas que me coube foi realizar os testes de regressão para todos os tokens de MFA de terceiros.
Naquela época, a única maneira de fazer um token MFA funcionar era substituir o GINA. Era preciso criar um shim para o GINA... Uau, isso é complexo... que envolve operações em nível de kernel em um controlador de domínio do Windows, às vezes no endpoint. Digamos que, se eu não visse 300 telas azuis por dia, eu não estaria fazendo meu trabalho direito, certo?
Porque essas diretrizes gerais (GINAs) foram mal escritas. Nós, da Microsoft, fornecemos orientações ruins para isso, e então, quando alguém vinha até você e dizia: "Ei, vamos implementar a autenticação multifator (MFA)", e eles faziam uma prova de conceito e obtinham 10 telas azuis e diziam: "Não, tudo bem. Estou bem sem MFA, obrigado."
"Eu... eu não quero usar MFA." Então, aí está um exemplo de falta de foco do ponto de vista da segurança, porque hoje em dia nós perceberíamos o MFA como algo essencial, como se fosse um recurso fundamental que precisa ser... Então, aí está um exemplo. Sim. Outro exemplo é... você sabe, tínhamos esses limites de segurança que eram florestas, certo?
Você tinha florestas e depois domínios, e podia criar relações de confiança entre florestas, e podia ter... hum... relações de confiança unidirecionais ou bidirecionais e tudo mais. E então você tinha grupos e grupos aninhados, e depois objetos de política de grupo e tudo mais, e tudo isso foi projetado a partir de uma função...
Como uma implantação do Windows, não do ponto de vista da segurança.
Rob Ainscough:
Sim.
Aaron Turner:
Então, como forçar uma relação de confiança entre florestas a ter o nível correto de granularidade? E, aliás, por causa do licenciamento da Microsoft, quando entrou em vigor, a maioria das pessoas não se sentiu motivada a ter uma conta de domínio para administrador de domínio e outra para o servidor Exchange na caixa de entrada.
Você misturaria isso, certo? Então agora você misturou seu plano de controle, de forma que a mesma conta que você usa para ler seus e-mails é a mesma conta que você usa para administrar o domínio.
Roy Akerman:
Milímetros.
Aaron Turner:
Certo? Então essa não é uma situação boa.
Roy Akerman:
Sim. Hum. Então, parece que havia muitos níveis de abstração (tipo "z") quando se trata de confiança, como entre domínios, entre florestas.
Como podemos criar confiança quando criamos uma única entidade, como um "s", uma entidade diferente que precisaremos validar e autenticar para termos essa confiança? Aposto que houve muitas discussões sobre isso.
Aaron Turner:
Bem, em primeiro lugar, embora outras pessoas já tivessem tentado fazer isso antes, por exemplo, a AT&T com grande parte do seu trabalho com Unix, o governo, sabe, esse tipo de coisa, as pessoas já tinham tentado seguir esse caminho, mas nunca tinham tentado fazê-lo com o baixo custo de propriedade que a Microsoft estava tentando alcançar, certo?
Hum-hum. Então, por exemplo, uma coisa é construir um sistema de autenticação empresarial complexo quando se tem doutores trabalhando nos Laboratórios Bell, certo? O pessoal da AT&T sabia o que estava fazendo. Mas quando você pega um administrador de sistemas do seu hospital local e o transforma em administrador de domínio, o administrador de sistemas de um hospital local não é a mesma coisa que um doutor trabalhando nos Laboratórios Bell.
Tipo, são duas personalidades diferentes. São duas personas diferentes. E então, ao introduzir esses sistemas muito capazes, como servidores Windows, servidores Exchange e servidores SQL, em situações de empresas de médio a pequeno porte, onde talvez não tenham uma boa arquitetura de segurança, não tenham boas equipes de operações de segurança, não tenham essa capacidade, isso realmente criou algumas situações muito ruins, tipo: "Bem, por que não tornamos todos administradores de domínio?"
Isso facilita. Todos os administradores de domínio.”
Roy Akerman:
Sim.
Aaron Turner:
E vimos isso acontecer, onde um domínio inteiro era composto por administradores de domínio porque era mais fácil. Simplesmente facilitava o trabalho deles. Eles não precisavam solucionar problemas de funcionamento de aplicativos ou coisas do tipo. Hum-hum. E, se você observar a maioria das dificuldades que enfrentamos naqueles primeiros tempos, quando estávamos tentando implementar coisas como o princípio do menor privilégio, alguns dos primeiros aplicativos da Adobe não funcionavam a menos que você fosse um administrador com privilégios elevados, certo?
Hum-hum. Simplesmente não daria certo.
Rob Ainscough:
Correr. É comum, sim.
Aaron Turner:
E assim você acabava nessas situações de privilégio excessivo. Muitas vezes, o ecossistema de fornecedores estava contra você, certo? Digamos que eu queira aplicar o princípio do menor privilégio. Ah, mas eu não posso porque preciso usar este aplicativo.
Rob Ainscough:
Mm-hmm
Aaron Turner:
Ah, tudo bem.
Roy Akerman:
Bem, isso é algo a se levar em conta, porque às vezes culpamos os construtores da infraestrutura ou, sabe, as coisas fundamentais como... Active Directory, que eles precisavam atender a muitas outras áreas de desenvolvimento, assim como outros fornecedores.
E eu acho que, de novo, essas compensações são o ganha-pão de muitos atacantes hoje em dia, certo? Hum-hum. Tipo, estamos falando não só de... Active Directory como uma ferramenta, mas como um conjunto de conceitos que de fato estabeleceram o que pensamos sobre identidade hoje. Então, espero não estar sendo precipitado da minha parte, mas estou curioso.
Então, vamos avançar rapidamente para os dias de hoje por um segundo. Talvez voltemos atrás mais tarde. Mas, como vocês podem ver, a identidade é um tema muito em voga atualmente, certo? Muito capital foi investido para resolver esse problema. Ela evolui com a IA, com o Seguro Nacional de Saúde e com muitas outras palavras da moda relacionadas a esses assuntos.
Tipo, como você vê as estratégias dos atacantes e dos defensores nesse sentido? Quais princípios fundamentais você acha que ainda são, ou não são, explorados pelos atacantes hoje em dia, e, sabe, novamente, as estratégias em torno disso?
Aaron Turner:
Então, primeiro vamos analisar a economia da identidade, certo? Vamos pegar o valor total gasto em firewalls de 1999 até hoje.
Então, antes disso, enquanto me preparava para esta palestra, fiz uma pesquisa rápida. Digamos que US$ 250 bilhões foram gastos em firewalls nos últimos 25 anos, certo? Hum, quanto foi gasto em identidade?
Rob Ainscough:
Sim.
Aaron Turner:
Talvez 2% disso. Tipo, nem perto disso, né? Quer dizer, só uma fração ínfima. E parte do motivo foi a estratégia da Microsoft de trazer, uh, Active Directory para o mercado.
Ah, compre uma licença do Windows Server e, aliás, você ganha esse recurso de identidade de graça, de graça... Hum... incluso. Hum. E, como resultado, um CIO, se for abordado e perguntar: "Qual é a sua estratégia de identidade?", responderá: "Bem, é..." Active Directory." Bem, Active Directory Não é uma estratégia de identidade. Active Directory Talvez seja um sistema de autenticação.
Não é uma plataforma de governança de identidade. Aham. Não é uma plataforma de gerenciamento de privilégios. Não é uma plataforma de federação, certo?
Rob Ainscough:
Milímetros.
Aaron Turner:
Então, como resultado dessa falta de investimento, estamos nessa enorme situação de dívida de identidade em relação aos firewalls, certo? Hum. Enquanto os firewalls tiveram uma rubrica no orçamento por 25 anos, a identidade mal está recebendo uma rubrica no orçamento agora.
E assim, existe a economia da identidade que colocou as pessoas em desvantagem. Então, se tomarmos isso como a verdade fundamental da economia, primeiro precisamos nos perguntar: "Bem, o que vamos fazer para romper com nossa identidade legada e inovar para sair dessa situação por meio da transformação digital?" Por exemplo, vou me livrar desses problemas de identidade legada migrando para identidades nativas da nuvem ou terei que adaptar minha identidade legada para fortalecê-la e torná-la sustentável?
Roy Akerman:
Milímetros.
Aaron Turner:
Então, essa é a decisão que precisa ser tomada e, infelizmente, a maioria das empresas não consegue se reinventar sozinha, então terá que investir em soluções focadas em sistemas legados para dizer: "Ok, o que vou fazer para corrigir 25 anos de objetos de política de grupo problemáticos e infraestrutura SCIM deficiente... Certo... e tudo o que eu fiz?"
Recebi uma das minhas perguntas favoritas, feita a uma pessoa muito experiente. Active Directory O administrador de domínio pergunta: "Quantas vezes você já verificou quantas GPOs ainda estão em uso? Quantas GPOs estão no AD porque você não as limpou?"
Roy Akerman:
Milímetros.
Aaron Turner:
E para uma organização que usa o Active Directory há, digamos, duas décadas, geralmente existem centenas de GPOs (Ordens de Compra de Grupo) que não são utilizadas.
Rob Ainscough:
Sim
Aaron Turner:
ali fora, e... Sim... alguém o instalou. Ninguém se responsabilizou pela limpeza, e é isso.
Rob Ainscough:
dívida latente. E é realmente interessante porque, concordo com você, vejo empresas, conversando com elas agora, meio que presas no meio do caminho entre reforçar a infraestrutura ou modernizá-la, certo?
Sim. Nenhuma das duas opções é particularmente rápida ou fácil com algumas das ferramentas disponíveis, e elas acabam ficando presas no meio do caminho, pensando: "Ok, talvez daqui a cinco anos eu esteja priorizando a nuvem, com soluções efêmeras e todas essas coisas incríveis que eu quero ser para tornar o mundo melhor." Mas, na verdade, e os próximos cinco anos, quando seus sistemas críticos ainda estiverem rodando em nuvem? Active Directory?
O que estamos fazendo ali? Porque é preciso ter intenção nisso, certo?
Roy Akerman:
Então, é uma complexidade que... tipo, começou a gerar uma dívida... uma dívida arquitetônica que levou à vulnerabilidade.
Rob Ainscough:
Yep.
Roy Akerman:
E, mais uma vez, como todos esses negligentes, os GPOs e as abordagens do tipo "em time que está ganhando não se mexe" e coisas do gênero nos levaram a um estágio em que esta é uma das superfícies mais vulneráveis a ataques atualmente.
Embora estejamos falando de uma tecnologia que foi projetada em '28, e, uh, desculpe, em 1998, e ainda assim, tipo, teve muito tempo para se corrigir.
Aaron Turner:
Então, vamos pegar um exemplo. Sabe, se analisarmos a cadeia de ataque de um ataque de ransomware como serviço típico... Hum... ok, ransomware como serviço é, caso você não esteja familiarizado com isso, quando um grupo de russos cria uma plataforma de ransomware como serviço e você, como franqueado, pode comprar as ferramentas deles, certo?
Então eles... Sim, os RBAs... eles basicamente te vendem, te vendem os ladrões de informações, te vendem as ferramentas de movimentação lateral. É como um pacote, certo? Você recebe essas ferramentas. Todas essas ferramentas dependem de uma vulnerabilidade LSASS. Então, se você pensar na pilha de vulnerabilidades... Active DirectoryPorque se eles conseguirem acessar o LSASS em um servidor Windows sem patches, não importa se ele é um controlador de domínio.
Rob Ainscough:
Milímetros.
Aaron Turner:
Porque o LSASS, que foi projetado em 1998, foi concebido para armazenar em cache todas as credenciais que já foram usadas naquele servidor, desde que o sistema esteja em execução, certo? Então, o que aconteceu foi que, com o foco na disponibilidade, o processo do LSASS continuou em execução. Nós nunca projetamos o LSASS para funcionar indefinidamente. Nós o projetamos para ser iniciado, talvez, uma vez por semana, certo?
Tipo, "Não, vamos só atualizar isso", ou algo assim. Então, o que acontece é o seguinte: se o invasor, que faz parte de um grupo de ransomware, conseguir acesso a um servidor Windows sem as atualizações de segurança, e se o processo LSASS estiver em execução há meses ou anos, ou pelo tempo que o servidor estiver funcionando, todas as credenciais que já foram usadas naquela máquina estarão lá.
Uau. E eles conseguem, e obtêm todos eles, e isso lhes dá a liberdade de se movimentar lateralmente para simplesmente pensar: "Hum". E então os caras do ransomware como serviço extraem esse processo LSASS e suas ferramentas o utilizam automaticamente para ver: "Ok, eu tenho credenciais de administrador de domínio aqui? Ok, eu tenho uma de administrador de domínio."
Certo, vou usar uma GPO para implantar meus criptografadores... Sim, sim... e implantar meu gerenciamento e extrair meus dados, e fazer tudo o que preciso fazer." E é isso que acontece no ransomware como serviço. Eles não precisam de nenhuma habilidade. Eles têm as ferramentas que obtiveram por meio do contrato de franquia com o grupo de ransomware como serviço.
Roy Akerman:
Milímetros.
Aaron Turner:
Então, esse é um exemplo de LSASS que foi projetado em 1998, um processo que nunca imaginamos que fosse funcionar indefinidamente. Mas agora, como ele funciona indefinidamente, todas essas credenciais ficam latentes e vulneráveis a roubo.
Rob Ainscough:
Milímetros.
Roy Akerman:
E ainda está lá. E acho que também foi arrastado para a nuvem porque ainda estamos tentando estabelecer conectividade, certo?
Então, estamos sincronizando nossas credenciais do AD com a nuvem, e todos nós sabemos sobre todos esses ataques, certo?
Rob Ainscough:
Certo.
Roy Akerman:
Hum, e outros. Então, continua sendo arrastado, em vez de ser resolvido de alguma forma. Sim. Ou, como você disse, isso abre espaço para muitos fornecedores criarem camadas de proteção adicionais.
Rob Ainscough:
Sim. Acho isso muito interessante porque, do ponto de vista da segurança, somos quase vítimas do sucesso de Active DirectoryCerto? Com as pessoas, você sabe, obviamente todos os seus computadores Windows estarão conectados. SQL Server, vamos conectar também. Ah, por que não criamos uma ponte entre o Linux e o AD?
Criando esse risco sistêmico, e então a nuvem chegou e disse: "Ei, vamos sincronizar essas credenciais por aí, certo? Vamos facilitar isso, certo?" Então ela é vítima do próprio sucesso, o que, você sabe, nos torna muito mais vulneráveis em termos desse risco sistêmico para as empresas, certo?
Aaron Turner:
Muitas organizações não entendem o quê Active Directory Está realmente servindo.
Eles simplesmente dizem: "Ah, funciona", né? Eu não sei se é NTLM, NTLMv2, LDAP, Kerberos. Eu não sei exatamente o que está sendo servido.
Rob Ainscough:
Milímetros.
Aaron Turner:
Então, acho que o primeiro passo para qualquer organização é ativar o registro de sucessos, o que é caro e exige muitos recursos. Nem todas as organizações ativaram o registro de sucessos.
A maioria das organizações possui registro de falhas, certo? Isso ocorre quando uma autenticação falha. Portanto, o primeiro passo é ativar o registro de sucessos por um período determinado e garantir que você tenha capacidade de armazenamento suficiente para guardar todos os registros de sucesso.
Rob Ainscough:
Yep.
Aaron Turner:
Então, agora que você tem esses registros de sucesso, eu adoro usar ferramentas, sabe, ferramentas de dados e análises de baixo custo.
Minha ferramenta favorita, que tem uma edição comunitária, chama-se Gravwell, GRAV como em Victor, WELL. O Gravwell possui uma edição comunitária onde você pode importar os logs XML brutos de um controlador de domínio e começar a construir gráficos direcionados do Visualforce, por exemplo, para ver todos os usuários que estão usando LDAP hoje. Quero ver todos os usuários que estão usando LLM.
Quero ver todos os servidores que estão enviando pings para o Kerberos ou qualquer outra coisa. Assim, posso criar esses agrupamentos visualmente, porque nós, como humanos, precisamos de visualização. É assim que formulamos estratégias. Então, agora tenho uma visualização para dizer: "Nossa, eu não tinha percebido que tenho 1,500 usuários que dependem de LDAP em texto não criptografado."
Isso é ruim.” Tipo, e, e então, mas você não saberá disso a menos que ative o registro de sucesso. Então, esse é o primeiro passo. O segundo passo é, agora que você sabe o que está por aí, o que você pode eliminar que está usando essas coisas? Então, um dos meus truques favoritos de judô é, ok, então você tem esses cinco servidores aqui que estão usando LDAP.
O que eles fazem? Ah, é para um sistema de conformidade fiscal que usa um banco de dados Access. Certo. Bom, vamos pegar esses dados, colocá-los em uma plataforma Power Platform, torná-la nativa da nuvem e desativar esse servidor. Assim, não preciso mais me preocupar com LDAP, certo? Eliminei a origem do problema e ainda atendi à necessidade do negócio, porque posso executar esse banco de dados Access na plataforma Power Platform.
Não preciso mais desse servidor. Então, o que posso fazer para modernizar e eliminar essa dependência? E, por fim, uma vez nesse caminho, o que posso fazer para criar estratégias de identidade segmentadas, separando o gerenciamento de privilégios na nuvem do gerenciamento de privilégios local?
Vou separar os trabalhadores do conhecimento dos usuários privilegiados. Vou fazer essa segmentação de identidade que faça sentido. E, de fato, em 2020, a NSA publicou, na minha opinião, um dos documentos de identidade desclassificados mais importantes, onde revelaram como conseguiram tirar os russos do Departamento do Tesouro dos EUA.
Então, este é um relato detalhado de seis meses da NSA lutando contra os russos, e parabéns para eles por serem humildes o suficiente para fazer isso, porque poucas pessoas levantariam a mão e diriam: "Ei, levamos seis meses para resolver essa bagunça". E eles fizeram isso, e nesse documento eles explicam e dizem: "Vejam..." O problema central era que o Departamento do Tesouro tinha cinco planos de identidade.
Eles tinham o Active Directory local, tinham o AD FS para sincronizar com o Entra, que na época se chamava Azure AD. Tinham o Okta e o Duo. Certo, então eles tinham essas cinco camadas de identidade diferentes. E o interessante é que muita gente diz: "Bem, eu já migrei para a nuvem porque tenho o Okta."
Nunca vi um projeto Okta funcionar sem Active DirectorySim. Tipo, eu nunca vi uma funcionalidade principal do Okta funcionar sozinha.
Rob Ainscough:
É isso que eu quero dizer, é o centro nervoso, certo? Ele depende dessa segurança fundamental de Active Directory no centro.
Aaron Turner:
Sim. E então, no estudo de caso da NSA, onde eles falam sobre o que aconteceu com o Departamento do Tesouro, os russos estavam se escondendo porque a NSA se aproximava, e digamos que eles se aproximassem com Active Directory indicadores de compromisso, e eles iriam persegui-los até lá, e então os russos iriam embora e viveriam dentro de Okta por um tempo, e viveriam da terra em Okta.
Então eles se aproximavam em Okta, e depois iam para Duo por um tempo. E se aproximavam em Duo, e então iam para Entra. E então, se aproximavam em Entra, iam para AD FS. Então, basicamente, eles se moviam para onde, como baratas, certo, onde a luz não chegava, e era assim que eles viviam.
Então, minha forte recomendação para as pessoas é eliminar, tipo, simplificar ao máximo sua pilha de identidades. Hum-hum. Eliminar o uso de… E, na verdade, naquele relatório da NSA, na página três, eles dizem: “Se você usa o Exchange Online, é uma loucura usar qualquer coisa com o Entra Protect”. Tipo, eles deixam isso bem claro.
Você deve ser rigoroso com o uso da identidade na nuvem.
Roy Akerman:
Hum-hum. Eu acho que essa história faz sentido. No entanto, a segmentação é realmente muito difícil. É preciso conhecer os ativos. Precisamos conhecer os aplicativos desenvolvidos internamente, a essência do acesso, certo? Então, acredito que até mesmo o Tesouro tinha cinco provedores de identidade (IDPs) ou cinco diretórios diferentes que precisavam ser sincronizados. E cada um deles provavelmente era operado por uma empresa diferente, certo?
Devido a essa complexidade de segmentação... Hum. Bem, você sabe, então... alguns dos ativos ou recursos aos quais estamos tentando acessar. Hum, quero dizer, eu me pergunto, você provavelmente também percebeu isso, sabe, na grande varejista para a qual você trabalhava, certo, como líder de IM. Quantas, tipo, dezenas, tipo, centenas de milhares de identidades humanas, sem mencionar as identidades não humanas, certo?
Sim,
Rob Ainscough:
Com certeza. Então, acho que são 400,000 pessoas na empresa. Sim. Hum, sabe, entre 400.000 e 500,000... Então... dependendo da época do ano, é enorme...
Roy Akerman:
Segmentação, é, segmentação é uma palavra ruim ou, tipo, na verdade pode ser feita?
Rob Ainscough:
Acho que é possível. Bem, acho que há dois pontos importantes. Um deles é uma mudança de mentalidade em relação ao propósito da identidade, e que ela não serve apenas para proteger contas ou adicionar autenticação multifator, certo?
Você está aqui para proteger o que é importante para o seu negócio. E como você disse, entender o que é importante, entender como funcionam os fluxos de autenticação e o acesso a esse recurso, e então criar essas regras, é fundamental, mas ter a tecnologia que realmente te dá suporte para isso é crucial.
Não é fácil fazer isso nessa escala. Não é fácil quando se tem essa fragmentação e essa complexidade. Mas acho que o primeiro passo é pensar dessa forma e tentar construir uma visão geral para entender o que está acontecendo, para então partir daí e dar o próximo passo. Porque, sabe, proteger tudo em todos os lugares ao mesmo tempo não vai acontecer, mas você pode dar passos importantes para proteger o que realmente importa para o seu negócio.
Aaron Turner:
Então você precisa
Roy Akerman:
para ver o
Rob Ainscough:
floresta inteira
Aaron Turner:
antes
Rob Ainscough:
Você está exatamente fazendo isso.
Roy Akerman:
Exatamente.
Rob Ainscough:
E
Roy Akerman:
então você
Aaron Turner:
Faça os controles corretos.
Roy Akerman:
Que lições nossos seguidores podem aprender com, A, a maneira como os cartéis usam a tecnologia para administrar suas operações fluidas e, por outro lado, como a identidade pode ser manipulada, comprometida ou duplicada quando se trata do lado da aplicação da lei?
É, parece que estamos construindo um episódio muito interessante aqui. Interessante.
Rob Ainscough:
Por hoje é só, no episódio de Identidade Decodificada.
Aaron Turner:
Se esta conversa mudou algo na sua forma de pensar sobre segurança de identidade, compartilhe com alguém que trabalha na área.
Roy Akerman:
pelos mesmos desafios.
Rob Ainscough:
E não se esqueça de acompanhar o programa para não perder nada!
seguinte.
