Revogação em 4,2 segundos: anatomia de uma contenção
Medimos o caminho da anomalia até a revogação total em todos os sistemas que um agente poderia alcançar. É aqui que os segundos vão, e por que eles importam.
Contenção é um problema de latência
O valor da revogação é medido em segundos, porque o valor de um atacante é medido em segundos. Entre o momento em que você decide que um agente está comprometido e o momento em que seu acesso desaparece em todo lugar, ele ainda pode agir. Essa janela é o jogo inteiro.
Instrumentamos o caminho completo — detectar, decidir, propagar, confirmar — e o reduzimos a uma mediana de 4,2 segundos até a revogação total em cada sistema a jusante para o qual o agente detinha uma credencial.
Para onde vão os segundos
A detecção não está nos 4,2 segundos; isso é problema do seu monitoramento e varia. Nosso cronômetro começa na ação de revogar. A maior parte do orçamento é propagação: dizer a cada emissor e gateway para rejeitar essa identidade, e confirmar que o fizeram.
Credenciais de curta duração ajudam enormemente aqui. Como os tokens já expiram em minutos, a revogação só precisa ser mais rápida que o TTL restante e bloquear a reemissão. Não há uma chave de um ano para caçar em sistemas esquecidos.
Revogue primeiro, investigue depois
O princípio de design é que a contenção deve ser barata o suficiente para ser o seu primeiro movimento, não o último recurso. Se revogar um agente é uma operação cuidadosa e multi-equipe, as pessoas hesitam — e é nessa hesitação que o atacante está apostando.
Uma ação invalida a identidade, as credenciais e os escopos do agente de uma só vez, e registra tudo no log de auditoria. Você contém agora e reconstrói depois, com registro, em vez de debater no momento enquanto o relógio corre.
- #revogação
- #resposta a incidentes
- #contenção
More field notes
O problema de 80:1: a identidade de máquina agora é o perímetro
Para cada humano na sua equipe existem cerca de oitenta identidades de máquina agindo em seu nome. Quase nenhuma tem um dono. Essa proporção é todo o problema de segurança.
Daniel Osei · Engenheiro de Segurança
6 min de leitura