Camada de controle de acesso

A Camada de Controle de Acesso do senhasegura é baseada em papéis de permissão.

O senhasegura disponibiliza papéis que facilitam a concessão de superpoderes aos administradores, assim como o uso de funções técnicas para diferentes tipos de usuário.

Quando o usuário tem acesso a um módulo ou possui permissão de executar uma ação, isso significa que o senhasegura já validou que este usuário está associado a um papel que lhe concede esses poderes.

Um papel pode conceder ao usuário os seguintes poderes:

• Quais módulos ele poderá acessar

• Operar ações relacionados ao módulo

• Quais recursos do módulo o usuário poderá listar

• Ver detalhes de um registro relacionado ao módulo

Imagine que um usuário possa consultar todas as credenciais e dispositivos registrados no senhasegura , porém não pode registrar novos ou excluir os que já existem. Será necessário observar e tomar cuidado para atribuir ao usuário as permissões corretas para evitar um abuso de privilégios.

Como algumas operações dizem respeito a certos perfis de usuário, o que dificulta a atribuição direta, o senhasegura entrega uma lista de 25 Papéis pré-cadastrados com modelos de acesso que reforçam o principio do privilégio minimo.

Ou seja, cada papel irá receber apenas as permissões que condizem com sua responsabilidade.

Cada Papel é nomeado como uma posição ou responsabilidade que uma pessoa tem.

Ao atribuir permissões ao Papel, e mais tarde atribuir estes papéis a um usuário, somos capazes de gerenciar de forma muito mais prática as operações do senhasegura utilizando apenas os 25 Papéis que o senhasegura fornece em sua instalação padrão. O administrador simplesmente relaciona os usuários aos papéis desejados para que o usuário tenha acesso aos módulos, telas e operações relevantes.

Papéis Padrão

Agora que você está ciente de como as entidades que compõem as camadas de controle de acesso senhasegura funcionam e estão relacionadas, vamos introduzir os 25 papéis padrão da senhasegura.

• System Administrator: Acesso administrativo a todos os módulos e Orbit

• System User: Usuário básico com acesso a todos os módulos

• System Auditor: Acesso para auditores a todos os módulos

• Read only: Acesso apenas para leitura a todos os módulos

• DSM Administrator: Gerencia todos os recursos do módulo DSM

• Cloud Administrator: Gerencia todos os recursos do módulo Cloud

• Information Administrator: Gerencia todos os recursos de informação

• Behavior Administrator: Gerencia todos os parâmetros do User Bahavior

• Domum Administrator: Gerencia todos os parâmetros, grupos e fornecedores do Domum

• Domum Operator: Papel responsável para solicitar acesso para funcionários e usuários de terceiros

• Domum Operator - Third-party: Papel responsável para solicitar acesso para usuários de terceiros

• Domum Third-party user: Área de trabalho de terceiros

• Domum Basic internal user: acesso básico para usuários internos no Domum. Com esse papel os usuários podem iniciar sessões, visualizar senhas e criar credenciais.
  

• Task Manager Administrator: Gerencia todos os recursos do módulo Task Manager

• Executions Administrator: Gerencia todos os recursos do sistema de Execuções

• go Administrator: Gerenciar todos os recursos do sistema senhasegura.go 

• go Auditor: Acesso do auditor ao sistema senhasegura.go 

• Scan Discovery Administrator: Gerenciar todos os recursos do Discovery

• Certificates Administrator: Gerenciar todos os recursos do módulo Certificate Manager

• Certificates Approver: Papel responsável para aprovar uma solicitação relacionadas com o módulo Certificate Manager

• Certificates Operator: Papel responsável para solicitar ações relacionadas com o módulo Certificate Manager

• PAM Administrator: Gerencia todos os recursos do PAM

• PAM Operator: Gerenciar os recursos do PAM como dispositivos, credenciais, sessão e parâmetros de controle de acesso

• PAM User: Usuário padrão do PAM, capaz de ver as credenciais e iniciar sessões

• PAM Auditor: Acesso dos auditores ao PAM

• PAM Approver: Papel responsável por aprovação da credencial e da sessão

Permissões

Acesse o menu Configurações ➔ Gestão de Usuários ➔ Permissões para visualizar as permissões existentes no sistema e suas respectivas funções:

A2A

Comportamento

Certificates

Change Audit

Cloud

Discovery

Domum Remote Access

DevOps Secret Manager

Execuções

Go Endpoint Manager

Informação

PAM Core

Provisioning

Configurações

Task Manager

Controle de Acesso

Configurações

Controle de Acesso

Configurações

Cloud

PAM Operator - Multitenant

Para o usuário operador do PAM em cenários de multitenant.

Este usuário é capaz apenas de cadastrar e gerenciar dispositivos e credenciais do seu tenant.

Permite que o usuário gerencie dispositivos e credenciais de seu próprio tenant (para cenários multitenant).

• Permitir selecionar múltiplas credenciais no relatório para desabilitar em massa todas as credenciais selecionadas
• Permitir selecionar múltiplas credenciais no relatório para habilitar em massa todas as credenciais selecionadas
• Permitir selecionar múltiplas credenciais no relatório para editar em massa todas as credenciais selecionadas

Requisitos

• PAM.PrivilegedAccounts.Credentials.Delete
• PAM.PrivilegedAccounts.Credentials.Write

Estas permissões deverão ser concedidas por padrão aos perfis de System Administrator, PAM Administrator e PAM Operator.

Auditoria

Gerar eventos no relatório Audit Tracking, para as seguintes ações em massa realizadas em Credenciais:

• Alteração de credenciais em massa
• Desativação de credenciais em massa
• Inativação em massa da credencial do dispositivo

Syslog

Os eventos do Audit Tracking também devem ser ecoados para o Syslog, os logs do SIEM:

• Alteração de credenciais em massa
• Desativação de credenciais em massa
• Desativação em massa da credencial do dispositivo

No menu PAM → Credentials → All para as ações em massa,

• Editar credenciais,
• Ativar credenciais
• Desativar credenciais

Approval Workflow

• PAM Core
• Bulk Actions
  • All requests
  • My requests
  • Pending approvals
• Domum Remote Access
• Certicate Manager
• Task Manager
• DevOps Secret Manager
• Cloud IAM
• GO Endpoint Manager
• Dicovery
• Executions
• Settings

Criação de novos papéis

Os papéis entregues pelo senhasegura são adequados para que o administrador possa distribui-los os usuários. Mas às vezes pode ser necessário que um usuário receba menos acesso do que os papéis registrados oferecem.

Uma divisão apropriada de responsabilidades é refletida nos privilégios de acesso concedidos aos usuários torna-se necessária para a execução adequada, eficiente e segura das atividades do senhasegura , para isso utilizamos o conceito de Segregação de Funções (SoD).

Vamos usar como exemplo um consultor que precisa observar apenas os relatórios operacionais do módulo Certificate Manager sem poder realizar ações.

Neste caso, não recomendamos que os papéis System Administrator, Certificates Administrator e PAM Auditor sejam atribuídos. Isso seria um grande risco para a empresa, já que lhe concederia mais acesso que o necessário.

Vamos então criar um novo Papel para este usuário.

1. Vá para o menu Configurações ➔ Gestão de usuários ➔ Papéis para listar as funções registradas

2. Através da ação de relatório, acesse o formulário de registro e registre uma nova função denominada Auditoria de certificados

3. Descreva o objetivo deste papel

4. Vá para a aba Permissões

5. Adicione as permissões que este papel poderá realizar
   Você poderá filtrar as permissões por: Tipo, Módulo e até Descrição.
   No caso deste exemplo as permissões que serão adicionadas serão:
   
   

   • CertificateManager.Dashboards.View: Ver dashboards do Certificate Manager

   • CertificateManager.Reports.List: Listar todos os relatórios e eventos relacionados a certificados

   • CertificateManager.Reports.View: Ver todos os relatórios e eventos relacionados a certificado

   • Para que as permissões sejam concedidas corretamente se atente ao tipo de cada:

     • List: Permissões para listagem em relatórios

     • View: Permissões para exibição de detalhes de operações

     • Write: Permissões para configuração, cadastro e alteração de registros do sistema

     • Delete: Permissões para inativação de registros do sistema

     • Action: Esse tipo concentra ações de operações administrativas específicas de cada módulo

6. Na guia Usuários adicione os usuários que devem ser associados a este papel. Caso o usuário que deseja associar ainda não esteja criado, você pode pular essa etapa

7. Clique em Salvar

Clonando Papéis existentes

Você também pode criar um novo Papel baseado em um Papel já existente. No relatório de Papéis, cada registro possui uma ação Clonar. Ao clicar nesta ação, o senhasegura criará um novo registro baseado no Papel selecionado.

Este novo papel poderá ser editado pelo Administrador, adicionando ou removendo permissões e usuários.

Registrando usuário

Para criar um usuário, clique no botão de ação rápida Usuário, e na tela aparecerão os seguintes passos:

1. Defina um nome de usuário. Este nome é a representação do usuário nas outras telas

2. Defina o username de usuário

3. No campo senha:

4. Deixe o campo da senha em branco se o serviço de e-mail foi definido

5. Digite manualmente a senha enquanto o serviço de e-mail não estiver definido

6. O campo Ignorar multifator de autenticação? indica se este usuário não tem obrigação de se registrar e usar o token MFA OTP ao usar a senhasegura

   Cuidado

   Este campo não está disponível se o usuário atual estiver tentando alterar sua própria conta e só aparece durante a edição de um usuário.

7. Confirme se o status do usuário está ativo no campo Status

8. Confirmar que o usuário administrador tem acesso a Orbit através do campo Acesso ao Orbit

9. Na aba Papéis, selecione os papéis que devem ser atribuídos a este usuário.
Como exemplo, imagine que este usuário deva apenas consultar credenciais e realizar sessões remotas, nesta tela deverá ser adicionado o papel PAM User.

10. Na aba Grupos de acesso, selecione o grupo de acesso que ele fará parte, ou seja, o limite de credenciais que o usuário poderá interagir

11. Salvar usuário com o botão Salvar

Agora é necessário realizar esta validação do usuário. Peça ao usuário que possui esta conta para acessar o senhasegura e fazer o primeiro login. Ele será solicitado a alterar a senha temporária, de acordo com os critérios de segurança padrão.

Esquecer um usuário

senhasegura fornece um mecanismo para garantir o direito de ser esquecido, ao ser notificado por um usuário que deseja que seus dados sejam removidos da aplicação.

Além disso, se solicitado pelo usuário senhasegura pode fornecer um relatório completo dos dados que foram coletados dele, como por exemplo:

• Nome

• Telefone

• E-mail

• Lista de acessos com IP, navegador, localização e horário

Este relatório pode ser extraído como uma ação da tela do usuário.

Sempre que um relatório é emitido ou um usuário é esquecido os alertas são enviados ao Syslog e as notificações por e-mail também podem ser registradas.

Para esquecer um usuário vá ao relatório de usuário do sistema em: Configurações ➔ Gestão de usuários ➔ Usuários, encontre o registro do usuário que deseja esquecer, na coluna Ação clique na opção Esquecer usuário.

Formulário de usuários

 

Importar usuários

1. Para importar usuários para senhasegura , vá para o menu: Configurações ➔ Usuários do sistema ➔ Importação em lote.

2. Clique no botão Escolher arquivo para selecionar o arquivo a ser importado, selecione o arquivo desejado e clique no botão Abrir.

3. Clique no botão Import Users para concluir a importação.

Tokens

Qualquer usuário pode configurar sua própria conta para usar a autenticação em duas etapas. Você também pode forçar todos os usuários a usá-lo em ações específicas.

Você pode ver quantos usuários estão usando a autenticação em duas etapas e cancelar tokens no relatório Configurações ➔ Autenticação ➔ multifator de autenticação.

Inativar um usuário

Para inativar um usuário, siga as seguintes etapas:

1. Vá ao relatório de usuários através do menu Configurações ➔ Usuários do sistema ➔ Usuários

2. Filtre o relatório com o filtro desejado e localize o registro do usuário a ser inativado

3. Clique no botão de ação Alterar

4. No formulário do usuário, altere a chave Estado para Inativo

5. Salve o registro no botão Salvar

Auditoria

Os relatórios de auditoria do sistema de permissão são divididos em relatórios que ajudam a identificar as permissões que um usuário tem, e relatórios que ajudam a identificar as mudanças que ocorreram no sistema de permissão.

Assim, o administrador será capaz de identificar falhas de segurança que ocorreram ou ainda são vulneráveis.

Através do módulo Relatórios, você terá acesso a vários relatórios de auditoria do senhasegura. Neste livro, nos concentraremos apenas nos relatórios pertinentes a Camada de Controle de Acesso.

No menu Permissões você tem acesso aos seguintes relatórios:

• Papéis por usuário:

  • Verifique a quais papéis foram atribuídos para cada usuário

  • Mesmo usuários inativos são considerados

  • O filtro pode ser baseado no usuário, no papel ou em ambos

• Permissões por usuário:

  • Verificar quais permissões foram concedidas para cada usuário

  • O filtro pode ser baseado no usuário, permissão ou ambos

• Logs de auditoria:

  • Ver histórico das modificações feitas nos papéis

  • Você pode identificar qual usuário realizou a modificação quando a realizou, e que mudança foi feita

  • Filtrar por período, usuário e operação

• Permissões de migração:

  • Consultar quais papéis foram adicionados, mantidos ou removidos em comparação ao sistema de permissionamento de versões anteriores do senhasegura 

  • O filtro pode ser baseado no código de usuários, permissão ou status