PAM: Guia Completo de Gestao de Acessos Privilegiados

O que e PAM

PAM (Privileged Access Management) e o conjunto de estratégias, tecnologias e práticas para controlar, monitorar e auditar acessos privilegiados em uma organizacao. Contas privilegiadas - administradores, root, service accounts - sao os alvos mais valiosos para atacantes porque fornecem acesso irrestrito a sistemas críticos.

PAM vai alem de simplesmente armazenar senhas em um cofre. Uma solucao completa controla quem pode acessar o que, quando, por quanto tempo, e registra tudo que foi feito durante a sessao privilegiada.

Por que PAM e Crítico

Vetor de ataque preferido

Atacantes buscam contas privilegiadas porque uma única credencial comprometida pode dar acesso a toda a infraestrutura. Técnicas como Kerberoasting, Pass-the-Hash e credential dumping visam especificamente essas contas.

Compliance e regulamentacao

• PCI-DSS: Requisito 7 - restringir acesso privilegiado
• SOX: Controles sobre acessos a sistemas financeiros
• LGPD: Protecao de dados exige controle de acessos
• ISO 27001: Controle A.9 - gestao de acessos
• NIST: PR.AC - Identity Management and Access Control

Insider threats

Administradores com acesso irrestrito e permanente representam risco mesmo sem intencao maliciosa. Erros acontecem, e contas podem ser comprometidas. PAM limita o blast radius.

Pilares do PAM

Password Vault (Cofre de Senhas)

• Armazenamento criptografado: Senhas nunca em texto claro
• Checkout/checkin: Usuario solicita senha, usa, devolve
• Rotacao automatica: Senhas trocadas apos cada uso ou periodicamente
• Geracao de senhas: Senhas complexas geradas automaticamente
• Dual control: Aprovacao de segundo usuario para acesso sensivel

Session Management

• Session proxy: Usuario conecta ao PAM, PAM conecta ao alvo
• Gravacao: Video e keystroke logging de toda sessao
• Live monitoring: Supervisor pode observar sessoes em tempo real
• Session termination: Encerrar sessao suspeita imediatamente
• Command filtering: Bloquear comandos perigosos (rm -rf, DROP DATABASE)

Just-in-Time (JIT) Access

JIT access e o modelo moderno de PAM alinhado com Zero Trust. Em vez de privilegios permanentes (standing privileges), usuarios solicitam acesso quando precisam.

Como funciona

1. Solicitacao: Usuario solicita acesso a recurso especifico
2. Aprovacao: Automatica (baseada em política) ou manual (gestor)
3. Concessao: Privilegio ativado por tempo limitado (ex: 4 horas)
4. Uso: Usuario realiza tarefa com sessao monitorada
5. Revogacao: Privilegio removido automaticamente apos timeout ou logout

Zero Standing Privileges (ZSP)

O objetivo final e Zero Standing Privileges: nenhum usuario tem privilegios permanentes. Todos os acessos privilegiados sao JIT. Isso elimina o risco de credenciais privilegiadas comprometidas porque elas simplesmente nao existem ate serem necessarias.

Principais Solucoes de PAM

Guia de Implementacao de PAM

Fase 1: Discovery e inventario

• Descobrir todas as contas privilegiadas (AD, local, cloud, service accounts)
• Identificar credenciais embedded em scripts e aplicacoes
• Mapear quem tem acesso a que
• Classificar por criticidade

Fase 2: Quick wins - Cofre de senhas

• Implementar cofre para credenciais mais criticas (Domain Admins, root)
• Habilitar rotacao automatica
• Eliminar senhas compartilhadas
• Remover credenciais de planilhas e documentos

Fase 3: Session management

• Configurar proxy de sessoes para servidores criticos
• Habilitar gravacao de sessoes
• Implementar monitoramento para equipe de seguranca
• Definir políticas de command filtering

Fase 4: Just-in-Time

• Migrar de standing privileges para JIT
• Configurar workflows de aprovação
• Definir timeouts por tipo de acesso
• Treinar usuarios no novo processo

Fase 5: Service accounts e secrets

• Migrar service accounts para gestao pelo PAM
• Implementar secrets injection em aplicacoes
• Eliminar credenciais hardcoded
• Integrar com pipelines CI/CD

Casos de Uso

Acesso de terceiros

Fornecedores que precisam acessar sistemas para manutencao recebem credenciais temporarias via PAM, com sessoes gravadas e acesso limitado ao escopo do trabalho.

DevOps e CI/CD

Pipelines de deploy recebem credenciais dinamicas do HashiCorp Vault ou similar. Secrets nunca ficam em codigo ou variaveis de ambiente estaticas.

Auditoria e compliance

Auditores podem revisar gravacoes de sessoes privilegiadas, logs de acesso e relatorios de quem acessou o que. Evidencias claras para SOX, PCI-DSS, ISO 27001.

Resposta a incidentes

Durante um incidente, equipe de IR pode revogar todos os acessos privilegiados instantaneamente e forcar re-autenticacao via PAM.

Perguntas Frequentes

Conclusao

PAM e um dos controles de seguranca com maior impacto na reducao de risco. Contas privilegiadas sao o objetivo final de quase todo ataque, e controla-las adequadamente pode ser a diferenca entre um incidente contido e um breach catastrofico.

A jornada para Zero Standing Privileges e gradual. Comece com o cofre de senhas para credenciais mais criticas, expanda para session management, e evolua para JIT access. Cada passo reduz significativamente a superfície de ataque.

Lembre-se que PAM nao e apenas tecnologia - requer mudança de cultura. Administradores acostumados com acesso irrestrito precisam entender o valor da restricao. Comunique claramente os beneficios e envolva as equipes no desenho das políticas.