Latest / Entre Chaves / Snippet #16 Como o Microsoft Entra ID resolve a autenticação distribuída

Transcript

Snippet #16 Como o Microsoft Entra ID resolve a autenticação distribuída · Entre Chaves

• 0:08
  Meu nome é Karine Mendes, sou uma desenvolvedora na DTI.
• 0:13
  E vem aqui hoje falar um pouquinho para vocês sobre o
• 0:16
  Microsoft em Android. Bom, ele é anteriormente é
• 0:19
  conhecido como oeidier Active directory, né?
• 0:21
  A Microsoft fez um airbranding em 2023 e agora tá aí como o
• 0:26
  Android. Ele é um serviço responsável por
• 0:29
  autenticação, autorização e gestão de identidades dentro do
• 0:33
  ecossistema da Microsoft. A ideia era deixar de ser visto
• 0:36
  como um diretório do Ager e passar a ser uma plataforma de
• 0:39
  identidade. Se a gente parar pra pensar nas
• 0:41
  estratégias tradicionais de segurança, elas simplesmente não
• 0:44
  acompanham. Mas o cenário atual antigamente
• 0:47
  é existia um conceito muito claro, quem estava dentro da
• 0:50
  rede corporativa era confiável. Hoje o trabalho, por exemplo,
• 0:54
  home Office, seria cada vez mais comum.
• 0:56
  O trabalho remoto ele é mais comum, não necessariamente eu
• 0:59
  acesso somente na empresa, né? Os os, os meus serviços.
• 1:03
  Então você está dentro da rede, não significa mais estar seguro.
• 1:07
  Hoje é muito mais comum estar utilizando múltiplos provedores
• 1:11
  de nuvem e até mesmo diversas aplicações SAS.
• 1:14
  Então os sistemas, eles não estão dentro do trata center da
• 1:18
  empresa apenas, né? Então aí não faz sentido eu só
• 1:20
  proteger a minha infraestrutura interna.
• 1:23
  Nós temos também que as nossas arquiteturas hoje elas são
• 1:26
  fortemente baseadas em APIs. A gente tem diversas APIs que
• 1:30
  estão sempre comunicando entre si e aí a gente precisa depender
• 1:34
  de uma autenticação forte e que seja baseado na identidade.
• 1:37
  É importante a gente saber quem está chamando, não só de onde
• 1:40
  que está vindo a chamada. O que a gente tem em comum é a
• 1:44
  identidade do nosso usuário. Tendo em civista os ataques,
• 1:47
  eles também perceberam isso, né? Então, as credenciais, elas são
• 1:50
  um vetor de ataque muito forte. Então, se o nosso problema agora
• 1:54
  é identidade. A segurança, ela também precisa
• 1:57
  começar pela identidade. E aí é nesse ponto que o
• 1:59
  Microsoft entra. Ele, ele vem com uma ideia muito
• 2:02
  forte da gente estar controlando a nossa, a nossa identidade, de
• 2:06
  forma centralizada. Ele é responsável por estar
• 2:08
  controlando quem pode acessar, quais recursos, em quais
• 2:12
  condições e com qual nível de confiança.
• 2:15
  Ele vai funcionar com um ecossistema que cobre diferentes
• 2:18
  tipos de identidades. E aí quando eu tô falando desses
• 2:20
  tipos de identidade, tem as identidades de usuários, que são
• 2:24
  nossos funcionários, são parceiros.
• 2:26
  São clientes, mas além disso, a gente também tem as aplicações e
• 2:29
  serviços como identidades. Eles também precisam estar se
• 2:33
  autenticando de forma segura. E aí a gente tem 2 conceitos,
• 2:37
  né, que são os services principos, onde a gente tem
• 2:41
  aplicações que não necessariamente são da action,
• 2:44
  né? Onde a gente registra essa
• 2:45
  aplicação lá dentro do entra. Então ele vai estar integrando
• 2:48
  com o sistema externo e aí ele vai gerar credenciais pra gente
• 2:52
  pra que a gente possa estar autenticando nossas aplicações.
• 2:55
  E daí? Que a gente define quais são as
• 2:57
  permissões específicas que ele vai ter e quais são os acessos
• 3:00
  que ele vai ter, entre outros serviços, né?
• 3:02
  Então a gente passa a se autenticar usando a identidade
• 3:05
  dele, não uma senha. E a gente tem o menos ardente
• 3:08
  que vai um passo além disso, quando a gente está se referindo
• 3:11
  mais a recursos da Ager, né? A própria Ager gerenciando
• 3:15
  automaticamente a identidade da aplicação.
• 3:18
  Nesse caso, a gente não tem mais uma senha para estar
• 3:21
  armazenando. A gente não tem nenhuma, nenhum
• 3:24
  tipo de credencial fixo, né? Por ser um gerenciamento feito
• 3:27
  aí automaticamente pela EJA, o sistema, ele simplesmente vai
• 3:30
  solicita um token temporário pro entra e aí ele permite uma
• 3:33
  comunicação segura sem essas cadenciais fixas, né?
• 3:36
  Além disso, a gente tem que pensar também, e quando eu tenho
• 3:40
  mais de uma de um ambiente cloud, como é que funciona, né?
• 3:44
  O entra, ele vem com essa ideia da gente, tá?
• 3:47
  É centralizando nossos acessos, então a gente.
• 3:50
  Consegue gerenciar os acessos para esses ambientes caldos
• 3:52
  diferentes. Vamos supor que eu use a EJA e
• 3:54
  que eu use AWS, né? E além disso, a ideia também é
• 3:57
  eu estar podendo selecionar melhor como vai ter vai ser o
• 4:01
  meu acesso dentro desse ambiente, né?
• 4:03
  Porque não necessariamente eu acessar AW, significa que eu
• 4:06
  posso acessar qualquer recurso lá dentro, né?
• 4:09
  Então é poder estar segmentando o meu acesso de acordo com o que
• 4:13
  o usuário de fato precisa e faz sentido estar acessando.
• 4:16
  E aí também não é apenas conceder acesso, é também.
• 4:20
  Controlar esse acesso ao longo do tempo, o entra, ele permite
• 4:23
  que a gente faça revisões periódicas e que a gente
• 4:26
  controle os privilégios administrativos também, né?
• 4:29
  Ao longo do tempo. Hoje em dia a gente faz revisões
• 4:31
  de acessos e a ideia é estar evitando permissões excessivas.
• 4:34
  Mas quais são as ferramentas, né?
• 4:36
  Como é que a gente garante que esse acesso ele continue seguro?
• 4:40
  Algumas das ferramentas que eles trazem são a autenticação de
• 4:43
  multifatores. Onde eu diria que diferia um
• 4:46
  primeiro nível aí de proteção a senha sozinha.
• 4:49
  Hoje ela não é considerada segura, ela não é.
• 4:52
  É suficiente, né? Então aí a gente bota camadas.
• 4:55
  É a mais de segurança no meu, no meu acesso.
• 4:58
  A gente tem um acesso condicional.
• 5:01
  Onde a gente pode estar aplicando políticas baseadas em
• 5:05
  contexto? Onde a gente passa a analisar em
• 5:07
  que contexto esse acesso está sendo realizado, qual que é a
• 5:10
  localização do meio do área, qual que é o dispositivo que
• 5:14
  está realizando esse acesso, qual que é o nível de risco que
• 5:18
  pode estar apresentando ou até mesmo qual que é o tipo de
• 5:20
  aplicação que eu estou tentando acessar, né?
• 5:22
  E daí a gente tem também a proteção de identidade, onde o
• 5:26
  entra e analisa sinais de risco automaticamente.
• 5:29
  Então ele faz essa análise de risco.
• 5:32
  E aí se vê que é uma coisa que não faz sentido.
• 5:35
  Ele pode estar exigindo um fator a mais de auto indicação ou até
• 5:39
  mesmo bloquear o meu acesso. Então a segurança ela passa a
• 5:42
  ser adaptativa. Além disso, a gente tem o PE,
• 5:45
  que é o privilegity, é dance mentement.
• 5:48
  Onde não é interessante todos os nossos acessos sejam sempre
• 5:51
  permanentes, né? Às vezes pode ser que eu precise
• 5:54
  de um acesso muito pontual, pode ser uma, por exemplo, uma
• 5:56
  demanda urgente que surgiu que eu preciso acessar um sistema
• 5:59
  novo, mas não necessariamente eu vou continuar atuando nisso, né?
• 6:01
  É uma coisa pontual. Então o PIN, ele permite que eu
• 6:05
  crie privilégios, que eles são ativados somente quando
• 6:08
  necessários, então pode ser que eu precise desse acesso e aí eu
• 6:10
  vou lá, e esse acesso ele fica ativo durante 24 horas e depois
• 6:13
  automaticamente ele é removido. Então ele evita que AA gente dê
• 6:17
  um acesso pontual. Esqueça.
• 6:18
  E aí, com o tempo, as pessoas vão acumulando acessos que eles
• 6:21
  não deveriam ter. E, além disso, é possível até
• 6:23
  mesmo automatizar acessos para estarem revisando.
• 6:28
  Se esses acessos fazem, fazem sentidos, né?
• 6:30
  E aí pode ser tanto um processo 100% automatizado, onde eu crio
• 6:34
  uma regra onde eu tenho um acesso determinado que ele não
• 6:39
  faz sentido, um usuário de uma determinada categoria TE daí
• 6:42
  automaticamente eu já tiro ou eu posso fazer essa análise e daí
• 6:46
  mandar um responsável, né? Ele recebe uma notificação onde
• 6:50
  ele vai analisar se de fato esse acesso faz sentido, então ele
• 6:53
  mantém. Ou se ele vai lá e retira, né?
• 6:55
  Então pode ser feito. Tem uma parte manual aí No No no
• 6:59
  final do processo, ou ser todo feito automaticamente.
• 7:02
  E o que que ele traz aí, então, para um negócio, no final, pode
• 7:06
  dizer que ele traz uma redução. De riscos de segurança, grande
• 7:10
  parte dos incidentes hoje ele está, eles estão relacionados
• 7:13
  com credenciais, comprometidos, né?
• 7:14
  Então, quando a gente traz aí camadas a mais segurança, ações
• 7:18
  para evitar que isso aconteça, a gente diminuiu constante de
• 7:21
  chamados, né? Quantidade de carga aí de
• 7:23
  trabalho para o nosso, nossa equipe de ti internamente,
• 7:26
  melhor experiência para o usuário, por exemplo, aí com o
• 7:28
  acesso unificado, né, a gente consegue ter uma melhor parte aí
• 7:32
  de segurança e conformidade, a gente consegue estar acessando o
• 7:35
  login de acesso, ter uma melhor aí rastreabilidade.
• 7:38
  A gente consegue estar fazendo essas revisões dos acessos.
• 7:41
  Além disso, a gente pode também criar automações de ciclo de
• 7:45
  vida, né? Que podem facilitar também o dia
• 7:47
  a dia. E aí o importante é que a base
• 7:49
  de tudo isso é a confiança zero. O conceito, né?
• 7:53
  Que o entra aí de trás, é nunca confiar implicitamente, sempre
• 7:57
  estar verificando. A ideia é que ele vem com uma
• 7:59
  solução de autenticação e também se torna um Pilar estratégico de
• 8:03
  segurança, governança e transformação digital, que é uma
• 8:06
  coisa muito importante aqui para a gente.
• 8:08
  Bom, me fala aí, o que que você achou, gostou?
• 8:11
  Espero que tenha gostado e até a próxima.