O AAPM baseado em agentes oferece uma solução segura e flexível para entrega, rotação e consumo de segredos utilizando um agente implantado localmente. O Agente Segura atua como um intermediário essencial em ambientes onde a integração direta via API não é viável, como redes isoladas (air-gapped), DMZ ou redes altamente segmentadas, possibilitando a recuperação e o gerenciamento de credenciais com total rastreabilidade.
O agente garante que aplicativos, serviços e scripts sempre utilizem segredos atualizados, aplica o acesso Just-In-Time (JIT) e pode operar sem privilégios contínuos quando necessário, aumentando significativamente a segurança.
Principais Funcionalidades
- Implantação local do agente: agente leve e de plataforma cruzada que suporta Windows, Linux e contêineres.
- Comunicação Segura com o cofre: canal seguro, criptografado e autenticado mutuamente com o cofre Segura.
- Entrega de credenciais Just-In-Time (JIT): as credenciais estão disponíveis apenas no momento de execução, nunca armazenadas persistentemente.
- Rotação e renovação automáticas: o agente busca automaticamente novas credenciais ao detectar rotação ou expiração.
- Modo offline/isolado: funciona em ambientes sem conexão com a internet ou segmentados; possui cache seguro opcional.
- Auditoria e conformidade: todas as ações do agente são registradas e estão disponíveis para sistemas de SIEM (Security Information and Event Management) e SOAR (Security Orchestration, Automation, and Response).
Casos de Uso
- Aplicativos Legados em DMZ: Entrega segura de credenciais para aplicativos em segmentos de rede restritos, onde chamadas diretas à API não são permitidas.
- Ambientes Isolados/Industriais: Rotação de credenciais para dispositivos SCADA/OT, IoT e industriais através do agente.
- CI/CD e Automação: Injeção de segredos em scripts de compilação/ferramentas de implantação usando ganchos (hooks) do agente.
- Infraestrutura Crítica: Aplicação de rotação de credenciais e eliminação de segredos codificados em servidores críticos.
Funções do Agente
Registro e autenticação
- O agente se registra e autentica com o cofre Segura.
- Processo de autenticação pode envolver tokens, certificados ou autenticação mútua.
Solicitação de credenciais/segredos
- Aplicativos e scripts solicitam segredos por meio da API local do agente ou da CLI (Command Line Interface).
- A resposta inclui credenciais que são imediatamente utilizáveis e descartáveis após o uso.
Gatilhos de rotação de credenciais
- O agente suporta rotação de credenciais programada, sob demanda ou acionada por eventos.
- Configuração de políticas de rotação para cumprir requisitos de segurança específicos.
Caching seguro (ppcional)
- O agente pode temporariamente armazenar em cache os segredos com TTL (Time-To-Live) estrito e proteção na memória.
- O cache melhora a performance ao minimizar chamadas frequentes ao cofre, mantendo um alto nível de segurança.
Configuração e implantação
Preparação do ambiente
- Verificação de requisitos de sistema: confirme que o host suporta a execução do agente Segura.
- Instalação do agente: siga as instruções específicas de instalação para a sua plataforma (Windows, Linux ou contêiner).
Configuração do agente
- Autenticação: configure o método de autenticação do agente com o cofre Segura.
- Endpoints locais: defina os endpoints locais para que os aplicativos possam solicitar segredos.
- Política de cache: se optar por utilizar o cache, defina a política de TTL conforme as necessidades de segurança da sua organização.
Integração com Aplicativos e Scripts
- API local: mostre como os aplicativos podem realizar solicitações HTTP locais para obter credenciais.
- CLI: Forneça exemplos claros de como integrar a CLI do agente em scripts de automação.
Rotação e auditoria
- Eventos de rotação: configure e teste os eventos de rotação para garantir a atualização contínua das credenciais.
- Logs de auditoria: acesse e revise os logs gerados pelo agente para monitoramento e conformidade.
Melhores Práticas
- Segurança de token: armazene e gerencie os tokens de autenticação de forma segura, preferencialmente em um local protegido.
- Testes de integração: realize testes de integração em ambientes de desenvolvimento antes de implantar em produção.
- Monitoramento contínuo: monitore regularmente os logs de auditoria para detectar qualquer comportamento anormal.
- Atualizações e patches: mantenha o agente Segura atualizado com as últimas versões e patches de segurança.