Durante um teste de penetração no ambiente de um fornecedor de tecnologia financeira, a equipe de testes começou com uma única credencial de desenvolvedor comprometida, obtida por meio de um ataque de phishing simulado. O caminho de movimentação lateral que se seguiu não exigiu a exploração de nenhuma vulnerabilidade, apenas a travessia de identidades e permissões. A conta de desenvolvedor comprometida estava no grupo 'engineering' do Azure AD. O grupo de engenharia havia recebido acesso de leitura ao gerenciador de segredos HashiCorp Vault da organização, para que os desenvolvedores pudessem obter strings de conexão de banco de dados para testes. O Vault continha as credenciais do banco de dados de homologação. O banco de dados de homologação tinha uma configuração de replicação bidirecional com o banco de dados de produção, configurada para fins de recuperação de desastres. As credenciais do banco de dados de homologação davam acesso de leitura ao banco de dados de produção por meio do vínculo de replicação, um acesso de que o desenvolvedor nunca precisaria e que não havia sido avaliado como caminho de ataque quando a replicação foi configurada. A equipe de teste de penetração passou de uma credencial do Azure AD de um desenvolvedor para o acesso ao banco de dados de produção em quatro saltos de permissão, permanecendo menos de duas horas no ambiente e sem acionar nenhum alerta. Cada permissão individual era legítima. O caminho de permissões que as combinava não havia sido avaliado como vetor de ataque por nenhuma revisão de segurança anterior.
O que é, de fato, a movimentação lateral baseada em identidade?
A movimentação lateral baseada em identidade é a técnica de percorrer um ambiente encadeando etapas legítimas de identidade e permissão: usar um conjunto de credenciais válidas para obter outro, usar o acesso a um recurso para descobrir ou acessar credenciais de outro e avançar progressivamente em direção a um alvo de alto valor por meio de uma sequência de etapas autorizadas individualmente. Diferentemente da movimentação lateral baseada em vulnerabilidades, que explora fraquezas técnicas para escalar privilégios, a movimentação lateral baseada em identidade explora o grafo de permissões, a rede de relações de identidade, repositórios de credenciais e concessões de acesso que conectam sistemas de maneiras que seus projetistas talvez não tenham avaliado como caminhos de ataque.
O problema do grafo de permissões é o desafio central. Os ambientes corporativos modernos estão conectados por centenas de relações de identidade: associações a grupos que concedem acesso a recursos compartilhados, contas de serviço que ligam camadas de aplicação, repositórios de credenciais que guardam segredos de outros sistemas, relações de federação que estendem a confiança entre ambientes e ferramentas de automação que atravessam fronteiras com credenciais delegadas. Cada relação foi criada para um propósito operacional legítimo. O caminho de ataque que encadeia várias relações em sequência para chegar a um destino não intencional surgiu como efeito colateral da existência de cada relação individual: nunca foi projetado, nunca foi aprovado e, com frequência, nunca foi avaliado.
A armadilha da adequação das permissões individuais é o que torna difícil detectar a movimentação lateral do ponto de vista da governança. Revisões de acesso que avaliam cada permissão de forma independente em relação à função que a detém confirmarão que cada permissão é adequada. É adequado que o desenvolvedor tenha acesso de leitura ao gerenciador de segredos para seu trabalho legítimo de desenvolvimento. O que a revisão não avaliou é se essa permissão, combinada com o conteúdo do gerenciador de segredos e com os sistemas aos quais esse conteúdo dá acesso, cria um caminho não intencional até recursos de alto valor. A revisão permissão por permissão é necessária, mas não suficiente. A análise do grafo de permissões, que avalia os caminhos criados pelas combinações de permissões, é o complemento de governança que a maioria das organizações não implementou.
- Acesso ao repositório de credenciais como pivô de movimentação lateral: permissões de acesso a gerenciadores de segredos, gerenciadores de senhas ou cofres de chaves que fornecem credenciais para outros sistemas
- Encadeamento de associações a grupos: a associação a um grupo dá acesso a recursos que, por sua vez, dão acesso a outros recursos
- Vínculos de replicação e sincronização: replicação de bancos de dados, diretórios ou armazenamento que cria caminhos de acesso entre sistemas com classificações de segurança diferentes
- Travessia por contas de serviço: contas de serviço que ligam domínios de segurança e oferecem um caminho de movimentação lateral entre ambientes
- Cadeias de confiança de federação: relações de identidade federada que estendem o acesso do invasor para além do ambiente comprometido inicialmente
Por que isso importa
A movimentação lateral baseada em identidade é importante para TPRM porque os ambientes de fornecedores com acesso a sistemas de clientes são justamente aqueles em que o comprometimento de uma credencial pode se propagar por cadeias de permissões até chegar a dados ou infraestrutura de clientes. Um fornecedor cujos controles de acesso individuais são bem projetados, mas cujo grafo de permissões não foi analisado, pode ter caminhos de movimentação lateral não intencionais que ligam uma credencial de desenvolvedor comprometida a um ambiente de produção de cliente por meio de permissões intermediárias que, individualmente, são legítimas.
A amplificação de ataques à cadeia de suprimentos é a dimensão de maior consequência. Um invasor que compromete a credencial de um desenvolvedor do fornecedor e consegue se movimentar lateralmente pelo grafo de permissões do fornecedor até os mecanismos de acesso aos ambientes dos clientes transformou uma única credencial de desenvolvedor em acesso a vários clientes. O caminho de movimentação lateral do desenvolvedor ao pipeline de CI/CD, daí às credenciais de implantação e daí ao ambiente do cliente é um padrão de ataque bem documentado que explora cadeias de permissões, e não vulnerabilidades.
Onde a maioria das equipes erra
A falha mais recorrente é avaliar as permissões de forma isolada, e não como um grafo. As revisões de permissões individuais confirmam que cada permissão é adequada à função que a detém. Elas não analisam o caminho de ataque que a combinação de permissões cria. A análise baseada em grafos, que pergunta o que uma identidade comprometida consegue alcançar encadeando permissões legítimas, é a avaliação que revela os caminhos de movimentação lateral que a revisão de permissões individuais deixa passar.
- Avaliar as permissões de forma isolada, e não como um grafo
- Sem análise do grafo de permissões: caminhos de movimentação lateral não avaliados
- Acesso ao repositório de credenciais não avaliado como ponto de pivô para movimentação lateral
- Vínculos de replicação e sincronização não analisados como caminhos que cruzam fronteiras
- Testes de penetração que não incluem a movimentação lateral baseada em identidade como objetivo de teste
Como é uma boa prática
Programas maduros de segurança de identidade incluem a análise do grafo de permissões: analisam regularmente quais destinos de alto valor podem ser alcançados a partir de qualquer credencial inicial por meio de combinações de permissões legítimas, e identificam e corrigem os caminhos que não deveriam existir.
- Ferramentas de análise do grafo de permissões: visualizam o que pode ser alcançado a partir de cada identidade por meio de cadeias de permissões legítimas
- Análise do raio de impacto: para cada cenário de identidade comprometida, modelar o que pode ser alcançado
- Restrições de acesso ao repositório de credenciais: limitar quem pode ler os repositórios de credenciais ao mínimo necessário
- Avaliação do acesso por vínculos de replicação e sincronização: análise dos caminhos entre fronteiras criados pela sincronização
- Testes de penetração com objetivos de movimentação lateral: testar especificamente a travessia de cadeias de permissões
Ferramentas
Análise de caminhos de ataque de identidade: BloodHound, BloodHound Enterprise, Semperis
O BloodHound foi desenvolvido originalmente para analisar grafos de permissões do Active Directory em busca de caminhos de ataque, visualizando as relações entre contas, grupos e recursos que criam caminhos de movimentação lateral não intencionais. O BloodHound Enterprise estende essa análise ao Azure AD e a ambientes híbridos. Para profissionais de TPRM, perguntar se o fornecedor usa ferramentas de análise de caminhos de ataque para identificar caminhos de movimentação lateral em seu grafo de permissões é uma pergunta específica de avaliação da segurança do grafo de identidades.
Análise de permissões na nuvem: Wiz, Orca, Veza
Plataformas de segurança em nuvem oferecem análise do grafo de permissões para ambientes de nuvem, analisando cadeias de funções do IAM, políticas de acesso a recursos e permissões de contas de serviço para identificar caminhos que levam de identidades de baixo privilégio a recursos de alto valor. Para profissionais de TPRM, perguntar se as ferramentas de segurança em nuvem do fornecedor incluem análise do grafo de permissões para detectar caminhos de movimentação lateral é uma pergunta específica sobre o risco de identidade na nuvem.
Desafios de governança
O desafio de governança na movimentação lateral baseada em identidade é a complexidade da análise. Os grafos de permissões em ambientes corporativos são grandes, complexos e mudam continuamente à medida que permissões são adicionadas e modificadas. Uma análise pontual encontra os caminhos que existem naquele momento. A análise contínua exige ferramentas automatizadas que mantenham um grafo atualizado e sinalizem novos caminhos à medida que surgem. A revisão manual de permissões não tem escala para uma análise no nível do grafo: isso exige ferramentas criadas especificamente para o problema.
- Pergunte se é feita análise de caminhos de ataque: BloodHound ou equivalente para análise do grafo de permissões
- Pergunte sobre a avaliação do raio de impacto: o que pode ser alcançado a partir de uma credencial de desenvolvedor comprometida
- Pergunte sobre os controles de acesso ao repositório de credenciais: quem pode ler o gerenciador de segredos e o que ele contém
- Pergunte sobre os objetivos de movimentação lateral nos testes de penetração, ou seja, se a travessia de cadeias de identidade faz parte do escopo de teste definido
- Incluir a análise de movimentação lateral na avaliação de segurança do fornecedor
Se você faz parte de uma equipe pequena
Faça aos seus fornecedores de maior risco uma pergunta que obrigue a pensar em movimentação lateral: partindo de uma credencial de desenvolvedor comprometida, qual é a cadeia de permissões mais longa que leva aos seus dados de clientes de maior sensibilidade, e quantos saltos de permissões legítimas ela exige? Essa pergunta exige que o fornecedor pense em seu grafo de permissões, e não em seus controles de permissões individuais, e a resposta honesta revela se os caminhos de movimentação lateral foram analisados ou se apenas as permissões individuais foram revisadas.
- Faça a pergunta do cenário de movimentação lateral: quantos saltos separam uma credencial de desenvolvedor dos dados sensíveis mais críticos
- Pergunte se o BloodHound ou uma análise equivalente de caminhos de ataque já foi executada
- Pergunte se os testes de penetração incluem a movimentação lateral baseada em identidade como objetivo de teste
- Pergunte sobre os controles de acesso ao repositório de credenciais e sobre quais credenciais ele contém
O que exigir
Pergunte diretamente:
“Vocês realizaram uma análise do grafo de permissões, usando o BloodHound ou uma ferramenta equivalente, para identificar caminhos de movimentação lateral que poderiam permitir que uma credencial comprometida de baixo privilégio alcançasse recursos de alto valor por meio de cadeias de permissões legítimas?”
“Partindo de uma credencial de desenvolvedor comprometida, quantos saltos de permissões legítimas seriam necessários para chegar aos seus dados de clientes mais sensíveis, e esses caminhos foram avaliados e corrigidos?”
O que esperar como evidência
- Ferramenta de análise de caminhos de ataque e data da última análise
- Registros de correção de caminhos de movimentação lateral
- Documentação das restrições de acesso ao repositório de credenciais
- Confirmação do escopo do teste de penetração, incluindo objetivos de movimentação lateral
Um fornecedor que confirma controles de acesso individuais fortes deve ser questionado sobre se esses controles foram analisados como um grafo, especificamente se os caminhos que combinam várias permissões legítimas para chegar a destinos não intencionais foram identificados e corrigidos. As permissões individuais são os nós. Os caminhos de ataque são as arestas. Avaliar apenas os nós deixa as arestas sem exame.
Como comprovar
- Registros de análise de caminhos de ataque
- Documentação de correção de caminhos de movimentação lateral
- Escopo de movimentação lateral no teste de penetração
- Controles de acesso ao repositório de credenciais
Principal conclusão
As permissões individuais são os nós. Os caminhos de ataque são as arestas. A revisão de acessos individuais avalia cada nó e confirma que cada um é adequado. Ela não analisa os caminhos criados por cadeias de nós adequados. O acesso do desenvolvedor ao gerenciador de segredos é adequado. As credenciais de homologação no gerenciador de segredos são adequadas. A replicação da homologação para a produção é adequada para DR. A combinação cria um caminho de quatro saltos, da credencial de desenvolvedor ao banco de dados de produção, que nunca foi avaliado, nunca foi aprovado e não acionou nenhum alerta quando foi percorrido. A análise do grafo de permissões encontra os caminhos que existem entre permissões individualmente adequadas. É o complemento de governança que a revisão de acessos individuais não consegue oferecer. Pergunte se o grafo foi analisado. O ataque está nas arestas.