RC

Fig 1.1 — IAM Context Visualization

Executive Summary

Os recentes incidentes envolvendo líderes de mercado como Okta e SailPoint demonstram uma fragilidade sistêmica na cadeia de fornecimento de Identidade. Não se trata apenas de falhas de produto, mas de um alerta sobre a concentração de risco em IdPs (Identity Providers) e ferramentas de IGA. Paralelamente, a explosão de Identidades Não Humanas (NHI) representa uma superfície de ataque expandida e mal gerenciada pela maioria das organizações. Este relatório analisa a necessidade urgente de pivotar a estratégia de IAM de uma abordagem centrada em ferramentas para uma arquitetura de resiliência de identidade, onde a confiança no fornecedor é verificada e o gerenciamento de segredos de máquina recebe a mesma prioridade que o acesso privilegiado humano.

Strategic Context

O mercado de IAM enfrenta um paradoxo: a adoção de Zero Trust está estagnada (88% das empresas relatam desafios) devido à falta de interoperabilidade e compartilhamento de sinais (CAEP/RISC), enquanto a superfície de ataque se expande via NHI. A postura agressiva da CyberArk em Machine Identity Security e a padronização de Passkeys pela Microsoft indicam uma maturação do setor, mas as vulnerabilidades no nível do navegador e nos próprios softwares de governança (SailPoint IdentityIQ) exigem uma reavaliação do modelo de confiança. O cenário macro dita que a identidade é o novo perímetro, mas esse perímetro está atualmente sitiado por dentro e por fora.

Technical Deep Dive

1. Supply Chain Risk: A extensão da brecha da Okta para todos os usuários de suporte expõe metadados críticos que facilitam ataques de Spear Phishing de alta fidelidade. Tecnicamente, isso exige uma revisão nos fluxos de autenticação federada e monitoramento de logs de auditoria. 2. Vulnerabilidade de Aplicação (CVE-2024-10905): A falha no SailPoint IdentityIQ permite acesso direto a artefatos no diretório da aplicação, potencialmente contornando controles de RBAC e expondo configurações sensíveis de governança. 3. NHI & Secrets Sprawl: Com APIs e microserviços, o volume de Service Accounts supera o de humanos (fator 10:1 ou mais). A falta de rotação automatizada de credenciais (static keys) e privilégios excessivos (over-provisioning) em identidades de máquina cria persistência para atacantes. 4. Passkey Attestation: Embora robustas contra phishing tradicional, implementações de Passkeys dependem da integridade do navegador. Malware com capacidade de ‘Hooking’ no browser pode interceptar o processo de atestado FIDO2.

Risk Assessment

Probabilidade: MUITO ALTA para ataques direcionados a NHI devido à baixa visibilidade atual. ALTA para exploração de vulnerabilidades não corrigidas em plataformas IGA on-prem. Impacto: CRÍTICO. O comprometimento de um IdP ou ferramenta de IGA concede ao atacante as ‘chaves do reino’, permitindo movimentação lateral irrestrita, exfiltração de dados e persistência via criação de identidades backdoor.

Strategic Recommendations

• Inventory & Discovery Imediato de NHI: Implementar ferramentas de varredura para identificar contas de serviço, chaves de API e certificados órfãos ou estáticos. Adotar a abordagem da CyberArk para contexto de identidade de máquina.
• Patching de Infraestrutura de IAM: Prioridade zero para aplicação de correções no SailPoint IdentityIQ (CVE-2024-10905) e revisão de configurações de exposição.
• Reforço na Verificação de Suporte: Educar administradores e usuários VIP sobre o risco elevado de engenharia social decorrente dos dados vazados da Okta; implementar verificação ‘out-of-band’ para resets de senha.
• Adoção de CAEP (Continuous Access Evaluation Protocol): Pressionar vendors para suporte a padrões de compartilhamento de sinais de risco em tempo real, reduzindo a dependência de sessões estáticas (JWTs de longa duração).