Resumo Técnico: Evolução do Risco de Privilégio para Identidades Não Humanas

1. Declaração do Problema

A governança atual de Gestão de Identidade e Acesso (IAM) em nuvem baseia-se em auditorias de ponto no tempo (snapshots). Essas auditorias tratam a equivalência de permissões como uma relação estática: duas identidades são consideradas equivalentes se detêm funções idênticas em um momento específico. Esta abordagem falha em capturar a dinâmica temporal das Identidades Não Humanas (NHIs), como service principals, que frequentemente passam por ciclos de estados de permissão.

O artigo identifica uma lacuna crítica: uma NHI que atualmente detém uma função de baixo privilégio (ex: Reader) pode possuir um "envelope de permissão" que inclui estados de alto privilégio (ex: Owner) alcançáveis através de transições operacionais observadas. Se essas transições formam uma "catraca" (ratchet) unidirecional (a escalação é fácil, a desescalação é difícil ou exige passar por privilégios mais altos), o escore de risco do snapshot é uma subestimação severa do risco real. As ferramentas existentes (ex: AWS Zelkova, Microsoft Entra) verificam a semântica de políticas ou rastreiam mudanças, mas não modelam a alcançabilidade temporal de perfis de permissão ou a equivalência estrutural de perfis de permissão em evolução.

2. Estrutura Metodológica

O artigo propõe uma estrutura de três camadas que decompõe a equivalência de permissão em componentes estruturais e temporais, utilizando teoria dos grafos para modelar a evolução das NHIs.

2.1 Equivalência Estrutural via Fibração

Em qualquer snapshot $t$, o grafo de permissões IAM é comprimido usando fibração de grafos (Boldi e Vigna).

• Fibras: As NHIs são agrupadas em "fibras" com base em perfis de permissão idênticos (conjuntos de pares de atribuição de funções).
• Invariante: O Risco de Autorização Ponderado (WAR) é um invariante de fibra; todas as NHIs na mesma fibra compartilham o mesmo escore de risco naquele snapshot.
• Limitação: A equivalência estrutural é estática e não pode prever a convergência ou divergência futura dos perfis de permissão.

2.2 Partição de Linhagem

Para rastrear a evolução, o artigo introduz uma partição de linhagem que organiza as transições de fibras em compartimentos estáveis.

• Transições: As fibras sofem mutações, fusões, divisões, criações e dormência.
• Assimetria: A partição rastreia fusões (reduzindo o número de blocos), mas absorve divisões (uma única fibra que se divide em filhos herda o bloco de linhagem do pai).
• Equilíbrio: A partição de linhagem converge para um estado estável onde os blocos não mais se fundem, fornecendo uma base persistente para análise temporal.

2.3 Equivalência Temporal via Circuitos de Privilégio

Dentro de uma linhagem estável, a evolução das fibras é modelada como um grafo de transição de fibras.

• Circuitos de Privilégio: Definidos como Componentes Fortemente Conectados (SCCs) no grafo de transição. Dois estados de fibra são temporalmente equivalentes se forem mutuamente alcançáveis dentro de um SCC.
• Envelope de Permissão: A união de todos os estados de permissão em um circuito. O risco de qualquer NHI no circuito é o nível de privilégio máximo dentro desse envelope.
• Classificação de Três Tipos:
  1. Monólito (M): Estado de fibra único; estático.
  2. Oscilador (O): Todas as transições são reversíveis (arestas bidirecionais); ciclagem limitada.
  3. Catraca (R): Contém pelo menos uma aresta irreversível (escalação direcionada); a desescalação pode exigir uma reescalação transitória. Este é o risco de governança mais crítico.

2.4 Impressão Digital Topológica (Invariante Primorial)

Para comparar estruturas de circuitos entre janelas e NHIs, o artigo define um invariante primorial.

• Codificação: Ciclos elementares são enumerados (algoritmo de Johnson). Cada aresta recebe um fator racional baseado em sua direção (bidirecional vs. direcionada) e gradiente de privilégio (subida, descida, plano), mapeado para famílias de primos disjuntas.
• Vetor-R: A lista ordenada desses invariantes serve como uma impressão digital topológica única, permitindo a correspondência exata de estruturas de circuitos sem a necessidade de teste de isomorfismo de grafos.

2.5 Metodologia Temporal de Janela

A estrutura emprega análise multiescala e varreduras de estabilidade:

• Multiescala: Analisar NHIs através de múltiplos tamanhos de janela ($h$) para distinguir catracas estruturais verdadeiras de artefatos dependentes da escala.
• Varredura de Estabilidade: Uma NHI é considerada "R-estável" se o padrão de catraca ocorrer repetidamente através de um limiar de tamanhos de janela.
• Backtesting: Um preditor é testado para ver se a observação precoce (em $h_{obs} = K \cdot b$) pode prever com precisão a R-estabilidade de longo prazo.

3. Principais Contribuições

1. Decomposição de Fibração/Temporal: Uma separação formal da equivalência de permissão em componentes espaciais (fibração) e temporais (baseados em SCC).
2. Classificação de Circuito de Privilégio: Uma taxonomia relevante para a governança (Monólito, Oscilador, Catraca) baseada na simetria de arestas no grafo de transição.
3. Invariante Primorial: Uma impressão digital topológica computável e decodificável de circuitos de privilégio que permite a comparação eficiente entre janelas e NHIs.
4. Compartimentalização de Linhagem: Um método para organizar a dinâmica de fibras em compartimentos estáveis, tornando a análise temporal bem definida.
5. Metodologia Preditiva: Uma abordagem de janela e multiescala que transforma a análise descritiva em uma ferramenta preditiva para detectar padrões de escalação persistentes.

4. Resultados Empíricos

A estrutura foi avaliada em um grande locatário Azure com ~31.000 NHIs ao longo de ~100 snapshots (aproximadamente 1 ano).

• Validação de Suposições:
  • Independência de Baseline: 99,2% das NHIs não-baseline convergiram para fibras de baseline, validando que as estruturas de linhagem são robustas à escolha da baseline.
  • Prevalência de Monólitos: 88,7% dos blocos de linhagem eram monolíticos, confirmando que a dinâmica temporal está confinada a uma minoria de linhagens complexas.
  • Equilíbrio: As contagens de linhagem estabilizaram-se em 8 snapshots (~2 semanas).
• Detecção de Circuitos:
  • Linhagem LA (Diversa): 132 NHIs mostraram circuitos de privilégio R-estáveis recorrendo em 18 de 21 tamanhos de janela.
  • Linhagem LB (Homogênea): 5 NHIs compartilhavam um vetor-R idêntico, indicando uma causa operacional comum (ex: template compartilhado).
  • Linhagem LC (Controle Negativo): Apesar de absorver outras 7 linhagens, continha zero circuitos de privilégio, provando que a consolidação estrutural não implica escalação temporal.
• Backtesting (Poder Preditivo):
  • Precisão: Em tamanhos de base 6 e 7, o preditor de observação precoce alcançou Precisão = 1.000 (zero falsos positivos).
  • Recall: Melhorou com a profundidade de observação (0.706 na base 5 para 0.812 na base 7).
  • Detecção de Artefatos: Os falsos positivos na base 5 foram localizados em uma única fibra e desapareceram em escalas mais grosseiras, demonstrando a capacidade do método de filtrar ruídos transitórios.

5. Significância e Alegações

O artigo afirma que a governança de IAM em nuvem é inerentemente espácio-temporal. A principal significância reside em expor padrões de escalação persistentes (catracas) que são invisíveis para a análise de ponto no tempo.

• Correção de Risco: O "envelope de permissão" fornece a atribuição de risco correta para NHIs em circuitos não-monolíticos, corrigindo a subestimação sistemática de risco em auditorias de snapshot.
• Viabilidade Operacional: A detecção precoce de circuitos do tipo catraca é viável com zero falsos positivos após observar um pequeno número de snapshots (ex: 21 snapshots em cadência semanal).
• Implicações de Governança:
  • Supressão de Alertas: Transições em circuitos Monólitos e Osciladores podem ser suprimidas do monitoramento, pois representam dinâmicas limitadas e reversíveis.
  • Estratégia de Desescalação: Desescalar duravelmente uma NHI em um circuito de catraca requer a desescalação de todo o circuito, não apenas do estado atual.
  • Foco em Absorvedores: A governança deve priorizar linhagens de "absorvedor dominante" onde a consolidação de permissões está ocorrendo ativamente.

Os autores declaram explicitamente que, embora o framework detecte propriedades de grafos bem definidas com alta precisão, a correlação direta entre esses "ratchets estruturais" e incidentes de segurança reais (ex: exploração) permanece uma conjectura que requer validação operacional futura. O trabalho reformula a governança em nuvem de uma verificação de conformidade estática para uma disciplina dinâmica e preditiva.