PAM: por que o acesso privilegiado é o alvo preferido

Reconstrua qualquer incidente grave dos últimos anos e você vai chegar quase sempre ao mesmo ponto de virada: em algum momento o atacante colocou a mão numa credencial privilegiada. Uma conta de administrador de domínio, uma senha de serviço esquecida num script, o acesso root de um servidor, o login permanente de um fornecedor terceirizado. O ransomware que parou o hospital, o vazamento que expôs o cidadão, a fraude que drenou a conta — o phishing foi só a entrada. A gestão de acesso privilegiado (PAM) existe porque é essa credencial, e não o e-mail malicioso, que decide se um incidente vira manchete.

Por que a conta privilegiada é o alvo, não a exceção

Um atacante não quer o acesso de um usuário comum. Ele quer a chave-mestra. Uma conta privilegiada é justamente isso: o que permite criar novos usuários, desligar o antivírus, apagar logs, ler o banco inteiro, cifrar volumes. É o pivô da operação. Por isso, depois de comprometer um endpoint qualquer, o objetivo imediato do adversário é escalar privilégio e conseguir essas credenciais.

Duas propriedades tornam essas contas irresistíveis. A primeira é a movimentação lateral: com uma credencial administrativa válida, o atacante deixa de "invadir" e passa a "operar" — ele se move pela rede como um administrador legítimo, porque para o sistema ele é um. Nada dispara alarme, porque a atividade é indistinguível do trabalho normal do time de TI. A segunda é a persistência. Quem controla contas privilegiadas cria portas dos fundos, novos administradores, tarefas agendadas. Você pode expulsar o invasor de um servidor e ele volta na hora seguinte por três caminhos que você nem sabia que existiam. Enquanto a credencial for válida e ninguém a rotacionar, o comprometimento continua vivo.

Em ambientes onde uma falha de segurança não é só prejuízo financeiro — segurança pública, saúde, forças de lei, infraestrutura crítica — esse é o cenário que mantém o CISO acordado. Não é o número de tentativas de phishing por dia. É saber quantas contas na organização podem, sozinhas, desligar tudo.

O problema mora nos hábitos, não na tecnologia

O incômodo é que quase toda organização já sabe que essas contas são perigosas, e mesmo assim as trata mal. Os padrões se repetem com uma constância desconfortável.

Senhas de administrador compartilhadas entre várias pessoas, guardadas numa planilha ou num gerenciador de senhas de time, sem que ninguém consiga dizer depois quem usou o quê e quando. Contas de serviço criadas há anos para uma integração específica, com senha que nunca mudou e que aparece em texto puro dentro de um script de deploy. Acessos concedidos "temporariamente" para um projeto que terminou, e que ninguém revogou — o funcionário mudou de área, saiu da empresa, e o login segue ativo. E o caso mais espinhoso: o terceiro com acesso permanente. O fornecedor de software, a consultoria, a empresa de manutenção que recebeu um VPN e uma conta administrativa no início do contrato e continua com ela ligada 24 horas por dia, muito além das janelas em que realmente precisa trabalhar.

Cada um desses hábitos amplia a superfície de ataque de um jeito silencioso. O problema não é que falte controle de acesso — é que o controle privilegiado foi montado uma vez e nunca mais revisto. Quando o auditor, ou a seguradora, pergunta "quem tem acesso administrativo aos seus sistemas críticos hoje?", a resposta honesta costuma ser: não sabemos ao certo.

O que a gestão de acesso privilegiado realmente resolve

A gestão de acesso privilegiado ataca esse problema mudando a lógica de fundo: em vez de distribuir credenciais e torcer para que sejam bem usadas, ela custodia a credencial e libera o acesso sob condições controladas e registradas.

O núcleo é o cofre de credenciais. As senhas privilegiadas deixam de circular entre pessoas e passam a viver cifradas num cofre. O operador não conhece mais a senha do root — ele pede acesso, e o PAM injeta a credencial na sessão sem nunca revelá-la. Isso, sozinho, já elimina a planilha compartilhada e a senha em texto puro no script.

Sobre o cofre vêm os controles que fecham as brechas de hábito. O acesso just-in-time troca o privilégio permanente pelo privilégio temporário: em vez de o administrador ter poder o tempo todo, ele o recebe apenas na janela em que precisa, com aprovação, e o perde automaticamente depois. O terceiro deixa de ter acesso 24 horas e passa a abrir uma sessão pontual, aprovada e limitada no tempo. A rotação de senhas garante que a credencial mude com frequência — e depois de cada uso, se for o caso — de modo que uma senha capturada expire antes de ser útil. O princípio do mínimo privilégio assegura que cada conta tenha exatamente o poder necessário para a tarefa, e nada além. E a gravação de sessão registra o que foi feito enquanto o acesso esteve ativo: os comandos executados, as telas, a linha do tempo.

O efeito combinado é que a movimentação lateral e a persistência, as duas armas que descrevemos lá em cima, perdem base. Uma credencial roubada que rotaciona não serve para voltar amanhã. Um acesso que só existe por vinte minutos não vira porta dos fundos permanente. E um administrador que só tem privilégio quando pede, com tudo gravado, é um alvo muito menos interessante.

A trilha que a auditoria e a seguradora vão exigir

Há uma dimensão dessa disciplina que costuma ser subestimada até o dia em que ela é cobrada: a trilha de auditoria. Cada solicitação de acesso, cada aprovação, cada sessão privilegiada e cada rotação de senha vira registro. Quando chega a auditoria de LGPD, a avaliação de um órgão regulador ou o questionário da seguradora cibernética antes de renovar a apólice, a pergunta sobre quem acessa os sistemas críticos deixa de ser um constrangimento e passa a ter resposta documentada.

Isso importa em dois momentos. Antes do incidente, é o que sustenta a contratação de seguro e a conformidade — controle de acesso privilegiado auditável é hoje requisito, não diferencial, para fechar apólice em muitos setores. Depois do incidente, é o que permite responder com precisão: o que o atacante tocou, por qual conta, em que horário, e onde ele foi barrado. Sem essa trilha, a resposta a incidente vira arqueologia; com ela, vira investigação.

Como a Certus trata o acesso privilegiado

O Certus Access é a solução operada pela Certus para tratar acesso privilegiado com controle auditável — cofre de credenciais, acesso just-in-time, rotação, mínimo privilégio e gravação de sessão reunidos numa trilha que serve tanto à operação quanto à auditoria e à seguradora. A Certus não entrega uma licença e some: opera a tecnologia com engenharia local, suporte em português e apoio à contratação, porque quem atende forças de lei, governo, saúde e infraestrutura crítica não pode falhar num controle desse peso.

Fechar a porta do acesso privilegiado é a decisão de segurança com melhor relação entre esforço e redução de risco que a maioria das organizações tem em aberto. Se você quer entender onde estão suas contas privilegiadas hoje e como colocá-las sob controle, comece pela gestão de acesso privilegiado com o Certus Access e fale com um especialista da Certus para desenhar o caminho no seu ambiente.