PAM: Guia Completo de Gestão de Acessos Privilegiados

O que e PAM

PAM (Privileged Access Management) e o conjunto de estratégias, tecnologias e práticas para controlar, monitorar e auditar acessos privilegiados em uma organização. Contas privilegiadas - administradores, root, service accounts - são os alvos mais valiosos para atacantes porque fornecem acesso irrestrito a sistemas críticos.

PAM vai além de simplesmente armazenar senhas em um cofre. Uma solução completa controla quem pode acessar o que, quando, por quanto tempo, e registra tudo que foi feito durante a sessão privilegiada.

Por que PAM e Crítico

Vetor de ataque preferido

Atacantes buscam contas privilegiadas porque uma única credencial comprometida pode dar acesso a toda a infraestrutura. Técnicas como Kerberoasting, Pass-the-Hash e credential dumping visam especificamente essas contas.

Compliance e regulamentação

• PCI-DSS: Requisito 7 - restringir acesso privilegiado
• SOX: Controles sobre acessos a sistemas financeiros
• LGPD: Proteção de dados exige controle de acessos
• ISO 27001: Controle A.9 - gestão de acessos
• NIST: PR.AC - Identity Management and Access Control

Insider threats

Administradores com acesso irrestrito e permanente representam risco mesmo sem intenção maliciosa. Erros acontecem, e contas podem ser comprometidas. PAM limita o blast radius.

Pilares do PAM

Password Vault (Cofre de Senhas)

• Armazenamento criptografado: Senhas nunca em texto claro
• Checkout/checkin: Usuário solicita senha, usa, devolve
• Rotação automática: Senhas trocadas após cada uso ou periodicamente
• Geração de senhas: Senhas complexas geradas automaticamente
• Dual control: Aprovação de segundo usuário para acesso sensível

Session Management

• Session proxy: Usuário conecta ao PAM, PAM conecta ao alvo
• Gravação: Vídeo e keystroke logging de toda sessão
• Live monitoring: Supervisor pode observar sessões em tempo real
• Session termination: Encerrar sessão suspeita imediatamente
• Command filtering: Bloquear comandos perigosos (rm -rf, DROP DATABASE)

Just-in-Time (JIT) Access

JIT access e o modelo moderno de PAM alinhado com Zero Trust. Em vez de privilégios permanentes (standing privileges), usuários solicitam acesso quando precisam.

Como funciona

1. Solicitação: Usuário solicita acesso a recurso específico
2. Aprovação: Automática (baseada em política) ou manual (gestor)
3. Concessao: Privilégio ativado por tempo limitado (ex: 4 horas)
4. Uso: Usuário realiza tarefa com sessão monitorada
5. Revogação: Privilégio removido automaticamente após timeout ou logout

Zero Standing Privileges (ZSP)

O objetivo final e Zero Standing Privileges: nenhum usuário tem privilégios permanentes. Todos os acessos privilegiados são JIT. Isso elimina o risco de credenciais privilegiadas comprometidas porque elas simplesmente não existem até serem necessárias.

Principais Soluções de PAM

Guia de Implementação de PAM

Fase 1: Discovery e inventário

• Descobrir todas as contas privilegiadas (AD, local, cloud, service accounts)
• Identificar credenciais embedded em scripts e aplicações
• Mapear quem tem acesso a que
• Classificar por criticidade

Fase 2: Quick wins - Cofre de senhas

• Implementar cofre para credenciais mais críticas (Domain Admins, root)
• Habilitar rotação automática
• Eliminar senhas compartilhadas
• Remover credenciais de planilhas e documentos

Fase 3: Session management

• Configurar proxy de sessões para servidores críticos
• Habilitar gravação de sessões
• Implementar monitoramento para equipe de segurança
• Definir políticas de command filtering

Fase 4: Just-in-Time

• Migrar de standing privileges para JIT
• Configurar workflows de aprovação
• Definir timeouts por tipo de acesso
• Treinar usuários no novo processo

Fase 5: Service accounts e secrets

• Migrar service accounts para gestão pelo PAM
• Implementar secrets injection em aplicações
• Eliminar credenciais hardcoded
• Integrar com pipelines CI/CD

Casos de Uso

Acesso de terceiros

Fornecedores que precisam acessar sistemas para manutenção recebem credenciais temporarias via PAM, com sessões gravadas e acesso limitado ao escopo do trabalho.

DevOps e CI/CD

Pipelines de deploy recebem credenciais dinâmicas do HashiCorp Vault ou similar. Secrets nunca ficam em código ou variáveis de ambiente estaticas.

Auditoria e compliance

Auditores podem revisar gravacoes de sessões privilegiadas, logs de acesso e relatórios de quem acessou o que. Evidências claras para SOX, PCI-DSS, ISO 27001.

Resposta a incidentes

Durante um incidente, equipe de IR pode revogar todos os acessos privilegiados instantaneamente e forçar re-autenticação via PAM.

Perguntas Frequentes

Conclusão

PAM e um dos controles de segurança com maior impacto na redução de risco. Contas privilegiadas são o objetivo final de quase todo ataque, e controla-las adequadamente pode ser a diferença entre um incidente contido e um breach catastrofico.

A jornada para Zero Standing Privileges e gradual. Comece com o cofre de senhas para credenciais mais críticas, expanda para session management, e evolua para JIT access. Cada passo reduz significativamente a superfície de ataque.

Lembre-se que PAM não e apenas tecnologia - requer mudança de cultura. Administradores acostumados com acesso irrestrito precisam entender o valor da restrição. Comunique claramente os benefícios e envolva as equipes no desenho das políticas.

Inteligência Brasil

Consultoria especializada em Identity Security, PAM e Controle de Acessos.