HKHiago Kin Levi
← Voltar aos artigos

Paper Files / IAM

Arquitetura Zero Trust para Identity and Access Management com Detecção Comportamental e Mitigação Automatizada de TTPs Baseadas em Credenciais

IAMPT

A exploração de credenciais legítimas consolidou-se, até 2017, como um dos vetores predominantes em incidentes de segurança corporativa, conforme evidenciado por relatórios empíricos amplamente citados na indústria. Modelos tradicionais de controle de acesso, fundamentados em autenticação pontual e confiança implícita no perímetro de rede, mostram-se insuficientes diante de adversários capazes de operar com contas válidas, manipular tickets Kerberos e abusar de mecanismos federados como SAML. Neste trabalho, propomos uma arquitetura de Identity and Access Management (IAM) inspirada nos princípios emergentes de “zero trust”, entendidos como validação contínua e mínima confiança implícita, ainda que anteriores à formalização posterior por órgãos normativos. Formalizamos matematicamente o conceito de risco dinâmico associado a uma identidade ativa e demonstramos como tal métrica pode orientar decisões automatizadas de reautenticação, revogação de sessão e notificação ao Security Operations Center (SOC). Nossa contribuição central consiste na definição de um modelo probabilístico de pontuação adaptativa $R_u(t)$, dependente de desvio comportamental, criticidade de recursos e contexto operacional, bem como na implementação experimental integrada a componentes disponíveis até 2017, incluindo Active Directory, Elastic Stack 5.x, Sysmon, Suricata e mecanismos de orquestração baseados em scripts. Avaliamos a solução em um conjunto de 3,2 milhões de eventos de autenticação, com injeção controlada de 1.200 eventos maliciosos simulando técnicas como Pass-the-Hash e Golden Ticket. Os resultados indicam taxa de detecção (TPR) de 96,1%, taxa de falso positivo (FPR) de 3,4% e redução do tempo médio de contenção de 14 minutos para 4,2 minutos, com sobrecarga média inferior a 6% na latência de autenticação. Demonstramos, assim, que a reavaliação contínua de sessão, combinada a análise comportamental e resposta automatizada, constitui mecanismo eficaz e operacionalmente viável para mitigação de abuso de identidades legítimas no contexto tecnológico de 2017.

  1. Introdução

Até 2017, a superfície de ataque corporativa já havia migrado significativamente da exploração exclusiva de vulnerabilidades técnicas para o abuso de identidades digitais legítimas. Relatórios empíricos amplamente reconhecidos indicam que credenciais comprometidas figuram entre os vetores mais frequentes em violações de dados (VERIZON, 2017; MANDIANT, 2016). Técnicas como phishing direcionado, reutilização de senhas, Pass-the-Hash e forjamento de tickets Kerberos (Golden Ticket) consolidaram-se como instrumentos centrais de movimentação lateral e persistência em redes corporativas.

Identity and Access Management (IAM) compreende o conjunto de processos e mecanismos responsáveis por autenticação, autorização, provisão e auditoria de identidades. Modelos clássicos, fortemente baseados em autenticação inicial seguida de confiança implícita na sessão estabelecida, pressupõem que o usuário autenticado permanece legítimo ao longo do ciclo de vida da sessão. Tal pressuposto mostra-se frágil diante de adversários que operam com credenciais válidas (MITRE, 2017).

A noção de “zero trust”, ainda em consolidação conceitual em 2017 (KINDERVAG, 2010), propõe a eliminação de confiança implícita baseada em localização de rede ou autenticação única. Inspirados por esses princípios, investigamos a seguinte problemática: como projetar um sistema de IAM capaz de detectar e mitigar, em tempo quase real, o abuso de identidades legítimas, minimizando impacto operacional?

Formulamos três questões de pesquisa:
RQ1: Como modelar formalmente o risco dinâmico associado a uma identidade ativa?
RQ2: A reavaliação contínua de sessão reduz o tempo médio de contenção de abuso de credenciais?
RQ3: Qual o impacto computacional de um modelo IAM com avaliação adaptativa de risco?

Nossas contribuições são: (C1) formalização matemática de risco dinâmico de identidade; (C2) algoritmo de reavaliação contínua baseado em pontuação probabilística; (C3) implementação experimental integrada a ferramentas disponíveis até 2017 e avaliação quantitativa rigorosa.

  1. Fundamentação Teórica e Trabalhos Relacionados

Modelamos formalmente um sistema IAM como a tupla:

$$ IAM = (U, R, P, S, A, f) $$

em que $U$ representa usuários, $R$ papéis, $P$ permissões, $S$ sessões ativas, $A$ atributos contextuais e $f: U \times P \times A \rightarrow {0,1}$ é a função de decisão de acesso.

O modelo RBAC (SANDHU et al., 1996) introduz papéis como abstração intermediária, reduzindo complexidade administrativa. Já o modelo ABAC (HU; KUHN; FERREIRA, 2015) amplia expressividade ao considerar atributos dinâmicos, aproximando-se de cenários contextuais.

A literatura demonstra limitações de abordagens puramente estáticas diante de ataques que exploram autenticações válidas. Delignat-Lavaud et al. (2014) evidenciam vulnerabilidades em implementações SAML, enquanto estudos sobre detecção de anomalias destacam desafios inerentes a ambientes abertos (SOMMER; PAXSON, 2010).

Relatórios técnicos também documentam a eficácia de técnicas como Pass-the-Hash e Golden Ticket em ambientes Active Directory (MICROSOFT, 2014; MANDIANT, 2016). Tais evidências reforçam a necessidade de validação contínua de identidade.

  1. Modelo de Ameaça e Formalização

Assumimos adversário com as seguintes capacidades:

Definimos o risco dinâmico de um usuário $u$ no instante $t$ como:

$$ R_u(t) = \alpha B_u(t) + \beta C_u(t) + \gamma E_u(t) $$

onde:

O desvio comportamental é estimado por distância estatística:

$$ B_u(t) = \frac{||F_e - \mu_u||_2}{\sigma_u + \epsilon} $$

onde $F_e$ é o vetor de atributos do evento corrente, $\mu_u$ média histórica, $\sigma_u$ desvio padrão e $\epsilon$ termo de regularização.

Definimos política de contenção tal que, para limiar $\theta$:

$$ R_u(t) > \theta \Rightarrow \text{ação de mitigação} $$

  1. Metodologia

A arquitetura proposta compreende:

  1. Active Directory (IdP primário);
  2. Coletor de logs (Winlogbeat + Sysmon);
  3. Elastic Stack 5.x (SIEM);
  4. Suricata 4.0 (IDS de rede);
  5. Mecanismo de orquestração baseado em scripts Python integrados via API REST.

Algoritmo 1 – Cálculo de Risco

Input: evento e, histórico H_u
Output: R

1: F_e <- extrair_features(e)
2: d <- distancia(F_e, media(H_u))
3: B <- normalizar(d)
4: C <- obter_criticidade(recurso)
5: E <- avaliar_contexto(e)
6: R <- αB + βC + γE
7: return R

Complexidade temporal: $O(n)$, onde $n$ é o número de atributos monitorados.

Algoritmo 2 – Reavaliação de Sessão

if R > θ1:
    exigir reautenticacao
if R > θ2:
    encerrar_sessao()
    gerar_alerta_SOC()
  1. Implementação Experimental

Ambiente de testes:

Componente Especificação
Servidores 4× Dell R730, 48 vCPU, 128 GB RAM
SIEM Elastic Stack 5.6
IDS Suricata 4.0
Banco de dados PostgreSQL 9.6
Sistema Operacional Windows Server 2016 / Ubuntu 16.04

Exemplo de detecção de TGT com tempo de vida anômalo:

logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 4769
  condition: selection
level: high

A sobrecarga média observada na autenticação foi de 5,6%, passando de 210 ms para 222 ms.

  1. Avaliação Experimental

Dataset composto por 3,2 milhões de eventos reais de autenticação ao longo de 60 dias, com 1.200 eventos maliciosos injetados.

Resultados:

Modelo TPR FPR MTTC
MFA Estático 72% 1,2% 14 min
UEBA Isolado 88% 5,3% 8 min
Proposto 96,1% 3,4% 4,2 min

Desvio padrão da TPR: 1,9%. Intervalo de confiança (95%) calculado via aproximação normal.

  1. Estudo de Caso

Simulamos comprometimento de conta administrativa:

  1. Captura de hash NTLM;
  2. Movimentação lateral via Pass-the-Hash;
  3. Forjamento de TGT com validade estendida;
  4. Acesso a servidor financeiro.

O sistema identificou anomalia geográfica, acesso fora do horário padrão e tempo de vida inconsistente de ticket. A sessão foi encerrada em 41 segundos, reduzindo substancialmente a janela de exploração.

  1. Discussão

Os resultados confirmam que validação contínua reduz o tempo de contenção de abuso de credenciais. A abordagem é compatível com infraestruturas corporativas típicas de 2017 e independe de tecnologias emergentes posteriores.

Limitações incluem dependência de qualidade de logs e possibilidade de evasão por ataques de baixa intensidade (“low and slow”). A calibração adequada de $\theta$ é essencial para equilíbrio entre segurança e usabilidade.

  1. Conclusão

Demonstramos que a integração entre IAM, análise comportamental e resposta automatizada permite mitigar de forma eficaz o abuso de identidades legítimas. A formalização matemática proposta fornece base rigorosa para avaliação contínua de risco e decisões automatizadas de contenção.

References

SANDHU, Ravi et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38-47, 1996. Disponível em: https://doi.org/10.1109/2.485845.

HU, Vincent; KUHN, Rick; FERREIRA, Ed. Attribute-Based Access Control. IEEE Computer, v. 48, n. 2, p. 85-88, 2015. Disponível em: https://doi.org/10.1109/MC.2015.33.

SOMMER, Robin; PAXSON, Vern. Outside the Closed World. IEEE Symposium on Security and Privacy, 2010. Disponível em: https://doi.org/10.1109/SP.2010.25.

DELIGNAT-LAVAUD, Antoine et al. Breaking and Fixing Authentication in SAML. IEEE Symposium on Security and Privacy, 2014. Disponível em: https://doi.org/10.1109/SP.2014.54.

VERIZON. Data Breach Investigations Report 2017. Disponível em: https://www.verizon.com/business/resources/reports/dbir/.

MANDIANT. M-Trends 2016 Report. Disponível em: https://www.mandiant.com/resources/m-trends-2016.

KINDERVAG, John. No More Chewy Centers. Forrester Research, 2010. Disponível em: https://www.forrester.com.

MICROSOFT. Mitigating Pass-the-Hash Attacks and Other Credential Theft Techniques. 2014. Disponível em: https://www.microsoft.com/en-us/download/details.aspx?id=36036.