Soluções · Acesso privilegiado
A credencial que ninguém ousa rotacionar é a que sustenta tudo.
Credenciais de administrador permanentes sobrevivem ao projeto, ao sistema e ao engenheiro que as emitiu. Com o HBX, o acesso é autorizado para um destino e uma janela, e depois não sobra nada vigente.
A chave que nunca expirou
Foi criada para destravar uma release. Sobreviveu a três reorganizações.
Alguém precisava que um job noturno atualizasse o banco de dados contábil, então criou uma conta de administrador com uma senha que não muda. Isso foi há vários anos. Hoje ela está em um arquivo de configuração, em um repositório, em um runbook, em uma verificação de monitoramento e nos gerenciadores de senhas de quatro pessoas, duas das quais já saíram.
Não tem dono
O engenheiro que a emitiu mudou de equipe. A equipe que a herdou nunca soube que ela existia. Ela aparece na revisão de acessos como uma conta de serviço com um nome plausível, e é aprovada.
Rotacioná-la exige uma janela de mudança
Ninguém consegue listar tudo o que a usa, então ninguém consegue prever o que vai quebrar. A rotação é agendada, adiada e acaba reclassificada como um risco que se aceita por escrito todo ano.
Um cofre só muda o problema de lugar
Guardar segredos em um cofre é uma melhoria real em relação a um arquivo de configuração, mas o cofre continua entregando um segredo que pode ser copiado, e a custódia termina na retirada. O que o mantiver enquanto trabalha pode vazá-lo.
Todo controle que se possa colocar em volta de uma credencial permanente (um cofre, uma política de rotação, uma gravação do que foi feito, uma fila de aprovações) se apoia na suposição de que a credencial existe e alguém vai guardá-la. Essa suposição é a parte que vale a pena atacar.
O que o HBX muda
Nenhuma senha permanente para roubar. Cada acesso termina sozinho.
O HBX Access autoriza a solicitação. O conector, dentro da sua rede, cria um login temporário no destino, restrito a essa janela, e o remove quando a janela termina. Depois, não sobra nada para rotacionar.
A expiração não é uma política
A janela faz parte da autorização, não é uma regra aplicada por cima. O conector remove o login quando ela termina, então nada precisa perceber que o tempo acabou.
Restrita a um único destino
Não a um ambiente, nem a um papel que por acaso alcança quarenta máquinas. O que se autoriza é o sistema indicado na solicitação, e o acesso que o conector cria cobre exatamente isso.
Associada a um nome
O privilégio é concedido a quem está pedindo, agora, com a identidade que o seu diretório já respalda. A conta compartilhada que todo mundo empresta deixa de ser necessária.
Os sistemas que não podem mudar
Seus sistemas mais antigos recebem o mesmo controle que os mais novos, sem nada instalado neles.
Um conector fica ao lado do sistema, dentro da rede privada, e se conecta para fora. O sistema não é publicado, não precisa abrir nada no firewall e não depende de um programa de firmware para se tornar alcançável.
Nada para instalar no equipamento
Não há agente para instalar em equipamentos que não aceitam um, nem atualização para um recurso que o fabricante nunca criou. O conector faz o último trecho.
Pessoas e software, o mesmo motor
Um operador recebe um console: HBX Human Access. Uma automação recebe o seu próprio acesso temporário: HBX Agent Access. Uma única decisão de política por trás dos dois.
Diga o nome da credencial que você vem evitando.
Meia hora sobre essa conta: o que depende dela, o que acontece se ela for rotacionada e como fica o mesmo trabalho quando depois não sobra nada vigente.
As pessoas recebem um console → HBX Human Access. Os agentes recebem o seu próprio acesso temporário → HBX Agent Access.