No fim de 2023, um fornecedor de segurança em nuvem revelou que um agente de ameaça havia obtido acesso ao seu sistema de suporte ao cliente, especificamente a ferramenta que seus engenheiros de suporte usavam para acessar os locatários dos clientes na resolução de problemas. O atacante havia comprometido credenciais de engenheiros de suporte e usado a própria infraestrutura legítima de suporte remoto do fornecedor para acessar ambientes de clientes. Do ponto de vista do cliente, os eventos de acesso pareciam completamente normais: um engenheiro de suporte se conectava pela ferramenta de suporte padrão do fornecedor, a partir de uma faixa de IP conhecida, em horário comercial, autenticava-se corretamente e executava ações compatíveis com atividades de suporte. O atacante usou o acesso para coletar dados dos ambientes dos clientes, detalhes de configuração e, em alguns casos, credenciais de clientes armazenadas nesses ambientes. A violação foi descoberta semanas depois por meio de sinais indiretos, anomalias em sistemas posteriores, e não nos próprios logs de acesso do fornecedor. O log de acesso de cada cliente mostrava um acesso de suporte legítimo. O comprometimento estava na identidade do engenheiro de suporte, e não em qualquer aspecto do acesso que o log teria sinalizado como incomum.
O que são, de fato, os cenários de comprometimento de identidades de fornecedores?
O comprometimento de identidades de fornecedores é a categoria de ataque em que um agente de ameaça obtém o controle das credenciais de um funcionário do fornecedor, ou compromete a infraestrutura de gestão de identidades do fornecedor, e usa essas credenciais para acessar ambientes de clientes pelos caminhos de acesso legítimos do fornecedor. Diferentemente dos ataques diretos aos ambientes de clientes, o comprometimento de identidades de fornecedores é difícil de detectar porque o acesso que produz é autenticado, autorizado e compatível com os padrões de acesso que a identidade comprometida geraria legitimamente. Os controles de segurança que detectam acessos não autorizados (alertas de falha de autenticação, detecção de IP desconhecido, anomalias de horário de acesso) são em grande parte ineficazes contra acessos que passam pela autenticação, vêm de faixas de IP conhecidas e ocorrem em horário comercial normal.
A superfície de ataque para o comprometimento de identidades de fornecedores é diversa e se ampliou significativamente à medida que os ambientes dos fornecedores ficaram mais complexos. Um agente de ameaça que queira comprometer o acesso de um fornecedor aos ambientes de clientes tem vários caminhos: aplicar phishing aos engenheiros de suporte do fornecedor para obter suas credenciais, comprometer o provedor de identidade do fornecedor por meio de vulnerabilidades ou ataques à cadeia de suprimentos, explorar fragilidades na implementação de MFA do fornecedor, comprometer a própria infraestrutura de acesso remoto do fornecedor ou atacar o pipeline de CI/CD do fornecedor para inserir credenciais que dão acesso à plataforma. Cada caminho tem assinaturas de detecção e mitigações diferentes, mas todos produzem o mesmo resultado: credenciais válidas de acesso legítimo do fornecedor ao cliente sendo usadas por um atacante.
O raio de impacto em vários clientes é o que torna o comprometimento de identidades de fornecedores categoricamente diferente do comprometimento direto de um cliente. Um atacante que compromete diretamente o ambiente de um cliente tem acesso aos dados desse cliente. Um atacante que compromete a identidade de um engenheiro de suporte do fornecedor pode ter acesso a todos os ambientes de clientes que a função desse engenheiro alcança: dezenas ou centenas de clientes simultaneamente. A infraestrutura de suporte ao cliente do fornecedor, projetada para a eficiência operacional, concentra o acesso do atacante em uma escala que, por comprometimento direto, exigiria atacar cada cliente separadamente.
- Roubo de credenciais de engenheiros de suporte do fornecedor: phishing, credential stuffing ou engenharia social contra funcionários com amplo acesso aos ambientes de clientes
- Comprometimento do provedor de identidade do fornecedor: ataque ao IdP para forjar asserções de identidade ou criar novas identidades privilegiadas
- Contorno do MFA em contas de fornecedores: fadiga de MFA, troca de SIM ou phishing em tempo real que burla o MFA dos funcionários do fornecedor
- Comprometimento da infraestrutura de acesso remoto: ataque à ferramenta de suporte ou à plataforma de acesso remoto do fornecedor, e não a credenciais individuais
- Comprometimento da cadeia de suprimentos das ferramentas do fornecedor: comprometimento das ferramentas que os engenheiros do fornecedor usam para acessar ambientes de clientes
Por que isso importa
O comprometimento de identidades de fornecedores é relevante para TPRM porque representa a ameaça de acesso que os controles de segurança do lado do cliente estão menos preparados para detectar. Os clientes podem monitorar padrões de acesso incomuns vindos dos sistemas do fornecedor. Mas não conseguem distinguir com facilidade uma identidade de fornecedor comprometida de uma legítima quando o acesso comprometido usa a mesma ferramenta, a mesma faixa de IP e o mesmo perfil comportamental geral do acesso de suporte legítimo. A capacidade de detectar o comprometimento de identidades de fornecedores precisa existir do lado do fornecedor (na detecção de anomalias de identidade, no monitoramento de sessões e na postura de segurança dos funcionários do próprio fornecedor), e não do lado do cliente.
A dimensão da resposta operacional é igualmente significativa. Quando um comprometimento de identidade de fornecedor é descoberto, a resposta exige que o fornecedor revogue imediatamente todas as credenciais possivelmente comprometidas, determine quais ambientes de clientes foram acessados, reconstrua a linha do tempo de acesso de cada cliente afetado e dê apoio à investigação de resposta a incidentes de cada cliente. Trata-se de um enorme esforço operacional que depende de o fornecedor ter registro abrangente de sessões, atribuição de contas individuais e capacidade de resposta a incidentes para apoiar dezenas de investigações simultâneas de clientes. Fornecedores sem essas capacidades produzem as divulgações de incidentes de “escopo desconhecido” que reguladores e clientes consideram mais preocupantes.
Onde a maioria das equipes erra
A falha mais recorrente é presumir que o monitoramento de acesso do lado do cliente basta para detectar o comprometimento de identidades de fornecedores. O monitoramento do cliente detecta padrões de acesso incomuns. O comprometimento de identidades de fornecedores produz padrões de acesso habituais: o atacante opera a identidade comprometida como ela normalmente seria operada, pelo menos no início. A capacidade de detectar essa ameaça está nos controles de segurança de identidade do fornecedor, e não no monitoramento de acesso do cliente.
- Presumir que o monitoramento do lado do cliente detecta o comprometimento de identidades de fornecedores
- Não avaliar a postura de segurança de identidade do fornecedor: como o fornecedor protege as credenciais dos próprios funcionários
- Nenhuma capacidade de detecção de anomalias do lado do fornecedor avaliada
- Raio de impacto em vários clientes não considerado: escopo do comprometimento por meio do acesso de suporte do fornecedor
- Capacidade de resposta a incidentes do fornecedor não avaliada: capacidade de apoiar investigações simultâneas de vários clientes
Como é uma boa prática
Programas maduros de segurança de identidade de fornecedores protegem as credenciais dos engenheiros de suporte com MFA resistente a phishing, monitoram anomalias comportamentais na atividade dos engenheiros de suporte que distinguam o comportamento de um atacante do uso legítimo, implementam a gravação de sessão de todos os acessos aos ambientes de clientes para viabilizar a investigação pós-comprometimento e mantêm playbooks de resposta a incidentes projetados especificamente para o cenário de comprometimento de identidade que afeta vários clientes.
- MFA resistente a phishing para toda a equipe com acesso aos ambientes de clientes: FIDO2/WebAuthn para os engenheiros de suporte
- Análises comportamentais sobre a atividade dos engenheiros de suporte: linha de base dos padrões normais de acesso aos ambientes de clientes, com alertas sobre desvios
- Gravação de sessão de todos os acessos de clientes: registro completo de cada sessão em ambientes de clientes
- Detecção de viagem impossível e de sessões simultâneas do lado do fornecedor: alertas quando credenciais da equipe do fornecedor são usadas simultaneamente a partir de vários locais
- Playbook de resposta a incidentes de comprometimento de identidade com vários clientes: procedimentos de resposta definidos para o cenário de violação que afeta vários clientes simultaneamente
Ferramentas
MFA resistente a phishing: FIDO2/WebAuthn, YubiKey, Microsoft Entra
O MFA em hardware resistente a phishing para os engenheiros de suporte do fornecedor elimina o vetor de phishing de credenciais, que é o caminho mais comum para o comprometimento de identidades de fornecedores. As chaves de hardware não podem ser capturadas por proxies de phishing em tempo real, porque a autenticação fica vinculada criptograficamente ao domínio legítimo. Para profissionais de TPRM, exigir MFA resistente a phishing especificamente para a equipe do fornecedor com acesso aos ambientes do cliente é o controle de maior impacto contra o risco de comprometimento de identidades de fornecedores.
Detecção de ameaças de identidade: Microsoft Entra ID Protection, Okta ThreatInsight
As plataformas de detecção de ameaças de identidade monitoram o comportamento de login em busca de anomalias (viagem impossível, sessões simultâneas, dispositivo desconhecido, padrões de comportamento atípicos) e geram sinais de risco que podem acionar autenticação reforçada ou o encerramento da sessão. Para profissionais de TPRM, perguntar se a plataforma de identidade do fornecedor tem detecção de ameaças em tempo real especificamente para a equipe que acessa ambientes de clientes é uma pergunta específica sobre a capacidade de detectar comprometimentos de identidade.
Desafios de governança
O desafio de governança do risco de comprometimento de identidades de fornecedores é a limitação da avaliação. Os clientes não conseguem avaliar diretamente a postura de segurança interna dos engenheiros de suporte do fornecedor quanto à gestão individual de credenciais, à suscetibilidade a phishing ou à segurança de endpoints. Os controles que protegem contra o comprometimento de identidades de fornecedores pertencem ao próprio fornecedor, e avaliá-los exige perguntas sobre práticas internas de segurança que vão além do que a maioria dos questionários de TPRM alcança.
- Exigir MFA resistente a phishing para toda a equipe do fornecedor com acesso aos ambientes do cliente: requisito contratual
- Perguntar sobre a detecção de anomalias de identidade do lado do fornecedor: o fornecedor detecta quando credenciais de suporte são usadas de forma anômala?
- Perguntar sobre a gravação de sessão do lado do fornecedor para os acessos aos ambientes de clientes
- Perguntar sobre o procedimento de resposta a incidentes de comprometimento de identidade que afeta vários clientes
- Incluir a postura de segurança de identidade do fornecedor na classificação de risco: fornecedores com amplo acesso a vários clientes recebem classificação mais alta para este cenário
Se você faz parte de uma equipe pequena
Faça aos seus fornecedores de serviços gerenciados e de suporte duas perguntas que tratam especificamente do cenário de comprometimento de identidade. Primeira: se as credenciais de um dos seus engenheiros de suporte fossem comprometidas e um atacante as estivesse usando para acessar ambientes de clientes, o que detectaria isso? Especificamente, qual detecção de anomalias comportamentais existe sobre a atividade de acesso da sua equipe de suporte aos ambientes de clientes? Segunda: os seus engenheiros de suporte usam MFA resistente a phishing, especificamente chaves de hardware FIDO2, para a própria autenticação, ou usam notificações push ou MFA por TOTP, que podem ser burlados por phishing em tempo real? Essas duas perguntas avaliam a capacidade de detecção e a superfície de ataque do cenário de risco de identidade de maiores consequências.
- Perguntar o que detecta o uso de credenciais de suporte de fornecedores comprometidas em ambientes de clientes
- Perguntar se os engenheiros de suporte usam MFA resistente a phishing
- Perguntar sobre a gravação de sessão de todos os acessos aos ambientes de clientes
- Perguntar sobre o procedimento de resposta a incidentes para violações que afetam vários clientes
O que exigir
Pergunte diretamente:
“Se um agente de ameaça comprometesse as credenciais de um dos seus engenheiros de suporte e estivesse acessando ambientes de clientes com essa identidade, qual capacidade de detecção identificaria isso? Especificamente, quais análises comportamentais existem sobre a atividade de acesso da sua equipe de suporte aos ambientes de clientes?”
“Toda a equipe que acessa ambientes de clientes usa MFA resistente a phishing, especificamente chaves de hardware FIDO2, em vez de notificações push ou métodos TOTP que podem ser burlados por phishing em tempo real?”
O que esperar como evidência
- Descrição das análises comportamentais sobre os acessos da equipe de suporte a clientes
- Confirmação da implantação de MFA resistente a phishing para a equipe com acesso a clientes
- Confirmação da gravação de sessão para os acessos aos ambientes do cliente
- Procedimento de resposta a incidentes de comprometimento de identidade que afeta vários clientes
Um fornecedor que responde com “o acesso é controlado e monitorado” deve ser questionado especificamente sobre o que seria diferente no log de acesso se o atacante descrito no cenário de abertura estivesse operando. Se a resposta honesta for “inicialmente, nada pareceria diferente”, a detecção depende de algo além do monitoramento dos logs de acesso, e esse algo precisa ser identificado e confirmado.
Como comprovar
- Documentação do requisito de MFA resistente a phishing para fornecedores com acesso aos ambientes do cliente
- Registros de avaliação da segurança de identidade de fornecedores
- Avaliação da capacidade de resposta a violações que afetam vários clientes
- Confirmação da gravação de sessão para os acessos do fornecedor
Principal conclusão
O comprometimento de identidades de fornecedores produz acesso legítimo: o atacante tem a credencial certa, autentica-se corretamente e opera pelo canal aprovado. O monitoramento de acesso do cliente vê exatamente o que deveria ver quando o engenheiro de suporte do fornecedor se conecta. A detecção precisa acontecer do lado do fornecedor: na detecção de anomalias que percebe que o padrão de acesso do engenheiro de suporte mudou, no sinal de viagem impossível disparado quando a mesma credencial é usada a partir de dois países, na gravação de sessão que registra o que o “engenheiro de suporte” de fato fez durante a sessão. A postura de segurança de identidade do fornecedor é a defesa contra esse cenário. Perguntar sobre ela não é paranoia. É a avaliação que a violação da Okta deixou evidente que estava atrasada.