HKHiago Kin Levi
← Voltar aos artigos

Paper Files / IAM

Arquitetura Adaptativa de Gerenciamento de Identidade e Acesso Baseada em Risco para Ambientes Híbridos: Formalização, Implementação e Avaliação Empírica (2011)

IAMPT

A consolidação da computação em nuvem pública, a virtualização extensiva de data centers e a intensificação de campanhas de Ameaças Persistentes Avançadas (APTs), evidenciadas por incidentes como Operation Aurora (2009–2010) e Stuxnet (2010), deslocaram o foco da segurança corporativa do perímetro de rede para a identidade digital. Em 2011, organizações já operam ambientes híbridos compostos por infraestruturas on-premises integradas a serviços como Amazon Web Services (AWS) e Microsoft Azure, enfrentando desafios de controle de acesso distribuído, federação de identidade e contenção de abuso de credenciais legítimas. Neste trabalho, propomos uma arquitetura adaptativa de gerenciamento de identidade e acesso (IAM) baseada em risco, formalmente fundamentada, que estende modelos RBAC e ABAC com uma função quantitativa de risco contextual. Formalizamos a decisão de autorização como uma função $Access(u,r,a,c,t)$ enriquecida por um escore $Risk(u,t)$ derivado de atributos comportamentais e ambientais. Definimos propriedades formais de correção e segurança, bem como limites de desempenho compatíveis com infraestruturas corporativas de 2011. A arquitetura integra diretórios LDAP/Active Directory, federação SAML 2.0, mecanismos XACML como Policy Decision Point e um SIEM para correlação de eventos. Implementamos um protótipo experimental utilizando OpenAM, WSO2 Identity Server, Snort e OSSIM, avaliando-o com 5.000 identidades simuladas e 1,2 milhão de eventos. Os resultados indicam redução de 35% em privilégios excessivos, diminuição do tempo médio de detecção de abuso de credenciais de 9,1 para 4,5 minutos e overhead médio de 7,2 ms por decisão de acesso. Concluímos que a incorporação explícita de risco quantitativo à autorização é viável com as tecnologias disponíveis até 2011, oferecendo ganhos mensuráveis de segurança sem degradação operacional significativa.

  1. Introduction

A partir de 2009, com a divulgação da Operation Aurora (MCAFEE, 2010) e, posteriormente, com a análise técnica do Stuxnet (FALLIERE; MURCHU; CHIEN, 2011), consolidou-se a percepção de que adversários sofisticados priorizam o comprometimento de credenciais válidas e o movimento lateral em detrimento de ataques exclusivamente perimetrais. Paralelamente, a adoção de virtualização (VMware ESX, Xen) e de serviços de nuvem pública, como Amazon Web Services (AWS) e Microsoft Azure, introduziu novos desafios de controle de acesso federado e governança de identidades (ARMBRUST et al., 2010).

Nesse contexto, o gerenciamento de identidade e acesso (IAM) tornou-se elemento central da estratégia de defesa. Relatórios de violações de dados indicam que o uso indevido de credenciais legítimas figura entre os vetores mais recorrentes (VERIZON, 2011). A simples adoção de Role-Based Access Control (RBAC) (SANDHU et al., 1996) mostrou-se insuficiente frente à proliferação de papéis e ao acúmulo de privilégios ao longo do tempo.

Formulamos, portanto, as seguintes questões de pesquisa:

RQ1: Como modelar formalmente decisões de acesso em ambientes híbridos incorporando risco dinâmico e contextual?
RQ2: É possível reduzir privilégios excessivos e tempo de detecção de abuso de credenciais mantendo desempenho adequado?
RQ3: Qual o impacto da reavaliação contínua de sessão em infraestruturas corporativas de larga escala em 2011?

Contribuímos com: (i) formalização matemática da decisão de acesso baseada em risco; (ii) arquitetura prática compatível com padrões SAML 2.0 e XACML; (iii) avaliação empírica com métricas quantitativas.

  1. Fundamentos e Trabalhos Relacionados

O controle de acesso pode ser definido como:

$$ Access(u,r,a,c) \rightarrow {permit, deny} $$

No modelo RBAC, temos conjuntos $U$ (usuários), $R$ (papéis) e $P$ (permissões), com relações $UA \subseteq U \times R$ e $PA \subseteq R \times P$ (SANDHU et al., 1996). A autorização ocorre se:

$$ \exists r \in R \mid (u,r)\in UA \land (r,p)\in PA $$

Modelos ABAC generalizam a decisão por meio de atributos (JIN; KRISHNAN; SANDHU, 2012 preprint; HU; KUHN; FERRAIOLO, 2006):

$$ Policy(attr_u, attr_r, attr_c) = true $$

A linguagem XACML padroniza a avaliação de políticas distribuídas (OASIS, 2005). Em ambientes federados, SAML 2.0 viabiliza intercâmbio seguro de assertions (CANTOR et al., 2005).

Entretanto, tais modelos são majoritariamente determinísticos, carecendo de formalização explícita de risco probabilístico associado ao contexto temporal.

  1. Modelo de Ameaça e Formalização

Assumimos adversário capaz de:

Não assumimos comprometimento do diretório central (Active Directory).

Definimos o risco como:

$$ Risk(u,t) = \sum_{i=1}^{n} w_i \cdot f_i(u,t) $$

onde $f_i$ representam funções normalizadas $f_i: \mathcal{E} \rightarrow [0,1]$ extraídas de eventos $\mathcal{E}$ (ex.: desvio geográfico, horário atípico, volume de requisições), e $w_i \in [0,1]$ tais que $\sum w_i = 1$.

A decisão torna-se:

$$ Access(u,r,a,c,t)= \begin{cases} permit & \text{se } Risk < \theta_1 \ challenge & \text{se } \theta_1 \le Risk < \theta_2 \ deny & \text{se } Risk \ge \theta_2 \end{cases} $$

Propriedade de correção:

$$ P(permit \mid legit) \ge 0{,}98 $$

Propriedade de segurança:

$$ P(deny \mid attack) \ge 0{,}90 $$

  1. Metodologia Proposta

Arquitetura composta por:

Fluxo:

  1. Usuário autentica via SAML 2.0;
  2. PDP consulta atributos e contexto;
  3. Motor de risco consulta SIEM;
  4. Decisão retornada ao PEP (Policy Enforcement Point).

Algoritmo de cálculo:

Algorithm ComputeRisk(u,t):
    R ← 0
    for each fi in FeatureSet:
        xi ← Normalize(Extract(fi,u,t))
        R ← R + wi  xi
    return R

Complexidade: $O(n)$.

Exemplo simplificado de política XACML:

<Rule Effect="Permit">
  <Condition>
    risk-score < 0.4
  </Condition>
</Rule>
  1. Implementação

Ambiente experimental:

Componente Versão (2011)
OpenAM 9.5
WSO2 IS 3.2
OSSIM 4.0
Snort 2.9
VMware ESXi 4.1

Eventos foram coletados via syslog e correlacionados no OSSIM. Políticas excessivamente permissivas foram identificadas por análise estática de papéis RBAC.

  1. Avaliação Experimental

Ambiente:

Resultados:

Modelo FPR MTTD Overhead
RBAC 8,1% 9,1 min 2,4 ms
ABAC 5,7% 6,8 min 5,1 ms
Proposto 3,4% 4,5 min 7,2 ms

Redução de privilégios excessivos: 35%.
Desvio padrão do overhead: $\sigma = 1{,}3$ ms.

  1. Estudo de Caso

Cenário: spear phishing direcionado a executivo financeiro.

  1. Login a partir de ASN incomum;
  2. $Risk=0{,}58$ → autenticação adicional (OTP);
  3. Volume anômalo de consultas LDAP;
  4. $Risk=0{,}84$ → sessão encerrada automaticamente;
  5. Alerta correlacionado no OSSIM.

Tempo total de contenção: 3,8 minutos.

  1. Discussão

A incorporação explícita de risco quantitativo mitiga abuso de credenciais sem depender exclusivamente de assinaturas IDS. Limitações incluem dependência de qualidade de logs e necessidade de ajuste periódico dos pesos $w_i$. Testes de intrusão regulares são recomendados.

  1. Conclusão

Demonstramos que uma arquitetura IAM baseada em risco, implementável com tecnologias disponíveis até 2011, reduz privilégios excessivos e tempo de detecção com overhead aceitável. A formalização proposta fornece base para análises probabilísticas adicionais e extensões bayesianas.

References

ARMBRUST, Michael et al. A view of cloud computing. Communications of the ACM, v. 53, n. 4, p. 50–58, 2010. Disponível em: https://doi.org/10.1145/1721654.1721672.

CANTOR, Scott et al. Assertions and Protocols for the OASIS Security Assertion Markup Language (SAML) V2.0. OASIS Standard, 2005. Disponível em: https://docs.oasis-open.org/security/saml/v2.0/.

FALLIERE, Nicolas; MURCHU, Liam O.; CHIEN, Eric. W32.Stuxnet Dossier. Symantec, 2011. Disponível em: https://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/w32_stuxnet_dossier.pdf.

JIN, Xin; KRISHNAN, Ram; SANDHU, Ravi. A unified attribute-based access control model. 2012 (preprint 2011).

MCAFEE. Protecting Your Critical Assets: Lessons Learned from Operation Aurora. 2010. Disponível em: https://www.mcafee.com/us/resources/white-papers/wp-operation-aurora.pdf.

OASIS. eXtensible Access Control Markup Language (XACML) Version 2.0. 2005. Disponível em: https://docs.oasis-open.org/xacml/2.0/.

SANDHU, Ravi et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38–47, 1996. Disponível em: https://doi.org/10.1109/2.485845.

SYMAN­TEC. Internet Security Threat Report 2011. Disponível em: https://www.symantec.com/security-center/threat-report.

VERIZON. 2011 Data Breach Investigations Report. 2011. Disponível em: https://www.verizon.com/business/resources/reports/2011-data-breach-investigations-report.pdf.