Fase 4 – Monitorar e proteger o acesso privilegiado contra ameaças

Este artigo faz parte do guia implementar uma solução de arquitetura de acesso privilegiado.

O acesso privilegiado apresenta um risco crítico à segurança na maioria das organizações porque permite o controle direto sobre sistemas de identidade, planos de controle de nuvem e ativos críticos para os negócios.

Saiba como uma arquitetura de acesso privilegiado seguro desempenha um papel crítico no cenário de negócios – proteja ativos comerciais críticos, reduzindo o risco e fortalecendo o controle sobre sistemas confidenciais.

Este artigo descreve a Fase 4, que estabelece o monitoramento e a resposta para acesso privilegiado. Ele se concentra em detectar tentativas de comprometimento, validar a conformidade e a imposição contínuas e habilitar a contenção rápida quando forem exibidos indicadores de ataque ou configuração incorreta.

Essa fase operacionaliza o princípio de violação pressuposto do Confiança Zero monitorando continuamente o comportamento do dispositivo, a execução do aplicativo e os fluxos de trabalho privilegiados e habilitando a resposta rápida quando são exibidos indicadores de ataque ou configuração incorreta.

Metas de proteção

A fase 4 foi projetada para:

• Detectar comprometimento de PAWs.
• Detectar o uso indevido de dispositivos e identidades com privilégios.
• Detectar descompasso que enfraquece os sinais do dispositivo.
• Habilite a contenção rápida antes que o raio de explosão se expanda.
• Forneça evidências de que os controles de acesso privilegiado estão funcionando conforme projetado.

Escopo de proteção

A fase 4 monitora os mesmos elementos de acesso privilegiado imposto anteriormente:

• Dispositivos privilegiados: monitore os PAWs para:
  • Alterações no nível de risco do Defender for Endpoint.
  • Vulnerabilidades e configurações incorretas.
  • Problemas de integridade e desvio de configuração (conformidade do Intune).
• Fluxos de trabalho privilegiados: Monitore para:
  • Ativação de função e uso do portal de administração (correlação de logs de entrada do Entra, decisões de acesso condicional e uso do PIM)
  • Execução de aplicativo relacionada a PAWs:
    • O controle de aplicativos e a telemetria de execução em PAWs são monitorados usando o Microsoft Defender para Ponto de Extremidade.
    • A meta é detectar a execução inesperada em dispositivos privilegiados.
  • Comportamento de rede. A configuração do firewall da PAW, as tentativas de conexões de saída e a telemetria do Defender são monitoradas para detectar abuso ou má configuração.
• Caminhos de acesso privilegiados: monitore interfaces e caminhos de execução que os invasores abusariam após o roubo de credenciais.
  • Interfaces (portais de administração, APIs, PowerShell)
  • Caminhos de acesso impostos pelo Acesso Condicional.
  • Detecção de abuso após roubo de credencial.

Riscos mitigados

Resultados da fase

Quando a Fase 4 é implementada:

• PAWs são continuamente monitoradas quanto a ameaças, problemas de integridade e desvios de configuração.
• A execução do aplicativo em PAWs é observável e auditável.
• A atividade suspeita que envolve o acesso privilegiado é detectada rapidamente.
• As equipes de segurança podem conter e remediar incidentes usando sinais de endpoints e de identidade.
• O monitoramento de dados alimenta critérios de medição e êxito para a estratégia de acesso privilegiado.

Pré-requisitos

Antes de começar a configurar a Fase 4:

• Conclua as instruções da Fase 1 para proteger o plano de controle de identidade.
• Conclua a Fase 2 para implantar e reforçar a segurança dos PAWs.
• Conclua a Fase 3 para que a aplicação do Acesso Condicional esteja ativa.
• Verifique se a conformidade do dispositivo e a integração com o Defender for Endpoint estão ativas.

Etapa 1: Monitore a postura de segurança do PAW

Use o Microsoft Defender para Ponto de Extremidade para monitorar os PAWs quanto a ameaças, vulnerabilidades e desvios de configuração. O monitoramento regular garante que as alterações no risco ou na postura da PAW fiquem visíveis assim que ocorrerem.

Revisar o risco e a exposição do PAW

1. No portal Microsoft Defender, selecione Pontos de extremidade>Inventário de dispositivos.
2. Filtre os incidentes para incluir apenas aqueles que envolvem dispositivos PAW, usando os mesmos identificadores ou método de agrupamento estabelecidos para os PAWs nas fases anteriores.
3. Para cada avaliação do PAW:
   • Nível de risco do dispositivo
   • Classificação de exposição
   • Alertas ativos
   • Status de estado de funcionamento do sensor

Examinar vulnerabilidades e configuração incorreta

1. No portal do Microsoft Defender, selecione Gerenciamento devulnerabilidade.
2. Avalie as tendências da pontuação de exposição para PAWs.
3. Examine as recomendações de segurança que afetam a proteção de credenciais e a mitigação de exploração.
4. Priorizar a correção para:
   • Proteções de credenciais desativadas
   • Atualizações de segurança ausentes
   • Problemas de integridade do sensor do Defender

Etapa 2: Detectar e investigar ameaças de PAW

Use os alertas do Defender para Endpoint e as linhas do tempo dos dispositivos para investigar atividades suspeitas direcionadas a dispositivos privilegiados.

Investigar alertas de segurança da PAW

1. No portal do Microsoft Defender, selecione Incidentes e alertas.
2. Filtre os incidentes para incluir aqueles que envolvem dispositivos PAW, usando nomes dos dispositivos, tags ou outros identificadores que distingam os PAWs no seu ambiente.
3. Abra um incidente e examine:
   • Linha do tempo do dispositivo
   • Execução do processo
   • Tentativas de acesso a credenciais
   • Técnicas de persistência
   • Conexões de rede
   • Atualizações de segurança ausentes
   • Problemas de integridade do sensor do Defender

Habilitar resposta automatizada

1. No portal do Microsoft Defender, selecione Settings>Endpoints>Advanced features.
2. Confirme se a resposta ao vivo está definida como Ativada.

Etapa 3: Monitorar aplicativos em PAWs

A execução do aplicativo em PAWs deve ser observável e auditável. As políticas do AppLocker implantadas anteriormente geram telemetria coletada automaticamente pelo Defender for Endpoint.

1. No portal do Microsoft Defender, selecione Caça avançada.

2. Execute uma consulta para examinar a atividade de controle do aplicativo (por exemplo, eventos do AppLocker).

3. Depois de executar a consulta, investigue:

   • Executáveis bloqueados
   • Scripts ou binários inesperados
   • Tentativas de execução repetidas

4. Vá para a Linha do tempo do dispositivo e revise:

   • Hashes de ficheiros
   • Contexto do usuário
   • Processos pai

Etapa 4: Monitorar o uso e a imposição

Verifique se o acesso privilegiado ocorre apenas a partir de PAWs e se a aplicação das políticas se comporta conforme o esperado.

1. No Centro de administração do Microsoft Entra, navegue até Proteção>Logs de entrada.
2. Filtrar para:
   • Funções com privilégios
   • Políticas de acesso condicional que protegem o acesso privilegiado
   • Plataforma de dispositivo = Windows
3. Verifique se:
   • O acesso privilegiado é realizado com sucesso por PAWs em conformidade.
   • O acesso é bloqueado quando o risco do dispositivo aumenta.
   • As contas de acesso de emergência são excluídas conforme o esperado.

Revisar informações de acesso condicional

1. No Centro de administração do Microsoft Entra>Acesso Condicional, examine os insights e relatórios de Acesso Condicional para políticas de acesso privilegiado, incluindo:
   • Tentativas de dispositivos não PAW bloqueadas.
   • Impacto da política para políticas de acesso privilegiado.

Etapa 5: detectar desvio de configuração em PAWs

Use os relatórios de conformidade do Intune para detectar descompassos da postura em relação às linhas de base reforçadas de PAW.

1. No centro de administração do Intune, navegue até Dispositivos>Políticas de conformidade.
2. Examine o status de conformidade do grupo de dispositivos PAW.
3. Investigue:
   • Dispositivos não compatíveis
   • Falhas de atualização
   • Políticas ausentes ou mal aplicadas
4. Correlacionar falhas de conformidade com as alterações de risco do Defender.

Etapa 6: Conter e corrigir incidentes

1. No portal Microsoft Defender, selecione a PAW afetada.
2. Use ações de resposta para:
   • Isole o dispositivo.
   • Coletar um pacote de investigação
   • Iniciar a correção
3. Examine as atividades com privilégios recentes:
   • Ativações de funções
   • Acesso ao portal administrativo
   • Uso de token
4. Execute ações corretivas conforme necessário:
   • Redefinir credenciais privilegiadas
   • Invalidar sessões
   • Reconstruir ou recriar a imagem do PAW

Resumo

A fase 4 é o estágio final no guia da solução.

• As PAWs são monitoradas continuamente quanto a ameaças e configurações incorretas.
• A execução do aplicativo em PAWs é observável e auditável.
• A atividade de acesso com privilégios suspeitos é detectada rapidamente.
• As equipes de segurança podem investigar, conter e corrigir incidentes efetivamente.
• Os dados de monitoramento contribuem diretamente para medir o sucesso da estratégia de acesso privilegiado.

Próximas Etapas 

Confira nossos outros guias de solução.