PAM 
Você pode considerar um cofre centralizado como a fonte oficial para cada segredo, mas os segredos podem perder a sincronização silenciosamente à medida que são copiados
Atualizado em 31 de agosto de 2026.
O Gerenciamento de Acesso Privilegiado (PAM) é um subconjunto do Gerenciamento de Identidade e Acesso (IAM) que aborda especificamente o controle de acesso para usuários que trabalham com os sistemas e dados mais confidenciais de uma organização, como profissionais de TI, segurança da informação e DevOps. Entre outras tarefas, o PAM aplica o princípio do menor privilégio, que concede aos usuários o nível mínimo de acesso a sistemas e dados de que precisam para realizar seu trabalho.
Tradicionalmente, o PAM se concentrou em usuários humanos privilegiados, mas, à medida que as organizações adotam IA e automação, o PAM agora deve se estender também a usuários de máquinas. À medida que os ataques cibernéticos aumentam em frequência, intensidade e impacto financeiro, mais organizações estão adicionando soluções de PAM às suas pilhas de tecnologias de segurança. No entanto, avaliar e selecionar a opção mais adequada pode ser um desafio com tantos produtos de PAM concorrentes disponíveis.
Vamos examinar os nove principais recursos de gerenciamento de acesso privilegiado de que você realmente precisa para proteger sua organização.
1. Segurança baseada em nuvem, de confiança zero e conhecimento zero
Embora os ambientes de dados organizacionais de hoje sejam fortemente ou até inteiramente baseados em nuvem, muitos produtos de PAM “modernos” foram desenvolvidos originalmente para infraestruturas locais, com recursos de nuvem inseridos à força posteriormente. Os produtos PAM que não foram desenvolvidos na nuvem não aproveitam plenamente os recursos da nuvem, como a capacidade de aumentar e reduzir automaticamente os recursos da nuvem conforme necessário (escalonamento automático), a segurança de confiança zero e a criptografia de conhecimento zero.
Produtos que não são de conhecimento zero são inerentemente menos seguros porque o provedor de serviços tem acesso aos dados confidenciais do usuário. Provedores que não são de conhecimento zero armazenam dados em um formato legível ou têm a capacidade de descriptografar os dados do usuário. Se seus sistemas forem violados, os invasores podem potencialmente acessar esses dados confidenciais. Por outro lado, os provedores de conhecimento zero não podem ler os dados do usuário – mesmo que ocorra uma violação – porque os dados são criptografados e apenas o usuário possui as chaves.
Além de evitar violações de dados confidenciais de usuários por agentes de ameaças externas ou agentes internos mal-intencionados, a criptografia de conhecimento zero mantém os dados confidenciais fora do alcance de reguladores governamentais. Os dados armazenados pelo provedor estão sujeitos às leis locais e poderiam ser acessados ou monitorados sem o consentimento do usuário, e governos ou órgãos reguladores podem solicitar acesso aos dados do usuário. Uma empresa que não usa criptografia de conhecimento zero pode ser legalmente obrigada a fornecer dados de usuários em resposta a tal solicitação. Se uma organização utiliza criptografia de conhecimento zero, ela não consegue atender a tais solicitações porque simplesmente não pode descriptografar os dados do usuário.
Por fim, o conhecimento zero cria confiança entre provedores de serviços e seus clientes. As organizações devem confiar em seu provedor de serviços para tratar e proteger seus dados com responsabilidade.
Em um ambiente de conhecimento zero, essa confiança é mais fácil de ser concedida porque o provedor de serviços não pode acessar informações confidenciais do usuário – não importa o que aconteça.
Como a plataforma de confiança zero e conhecimento zero do KeeperPAM é desenvolvida para ambientes em nuvem
Ao contrário de muitos de nossos concorrentes, KeeperPAM® não é um produto on-premises ao qual recursos de nuvem foram adicionados posteriormente. O KeeperPAM foi desenvolvido na nuvem, para a nuvem, usando a arquitetura de segurança de conhecimento zero do Keeper. Isso significa que ninguém além do usuário final pode visualizar as senhas, os arquivos ou outros dados armazenados em seu Cofre do Keeper – nem seu administrador local, nem mesmo os próprios funcionários do Keeper. A infraestrutura do Keeper intermedeia as conexões, e conexões ponto a ponto criptografadas de ponta a ponta são criadas do navegador do usuário até a infraestrutura de destino.
2. Controle de acesso granular e aplicação de políticas
O controle de acesso granular ajuda as organizações a criar um ambiente seguro, eficiente e em conformidade, limitando o acesso exatamente ao que os usuários ou sistemas precisam. Geralmente, é combinado com o Controle de Acesso Baseado em Funções (RBAC) e o acesso de menor privilégio (também conhecido como privilégio estritamente necessário, ou JEP), em que as permissões de acesso a sistemas e dados se baseiam na função do funcionário, com o objetivo final de garantir que os usuários possam acessar somente os recursos necessários para realizar suas tarefas – e nada mais. Como o controle de acesso granular, o RBAC e o menor privilégio/JEP são pilares de ambientes modernos de segurança de confiança zero, é imperativo que sua solução de PAM ofereça suporte a eles.
O acesso Just-in-Time (JIT) é outro recurso importante para garantir o acesso privilegiado seguro. O JIT concede a usuários ou sistemas acesso temporário e com tempo limitado a recursos apenas quando precisam deles para realizar tarefas específicas. Isso significa que o acesso é:
- Provisionado sob demanda: ativado quando solicitado ou acionado por um evento específico.
- Com limite de tempo: automaticamente revogado após um período predefinido ou assim que a tarefa for concluída.
- Sensível ao contexto: pode incorporar condições como função do usuário, localização, dispositivo ou postura de segurança.
Ao conceder acesso apenas quando necessário e revogá-lo automaticamente, o JIT é um passo crucial em direção ao Privilégio Permanente Zero (ZSP): uma abordagem na qual nenhum usuário ou sistema mantém acesso permanente. Esse princípio é especialmente importante à medida que as organizações estendem o PAM para identidades de máquina.
Como o KeeperPAM impõe o acesso granular e o privilégio permanente zeroO KeeperPAM pode fornecer acesso JIT a qualquer infraestrutura ou sistema de destino sem expor credenciais. Assim que o acesso expirar, as credenciais podem ser rotacionadas automaticamente. Ao implementar os princípios de JIT e de menor privilégio/JEP, o KeeperPAM reduz privilégios permanentes, mitigando vulnerabilidades de segurança e reduzindo o risco de permissões excessivas. |
3. Gerenciamento, monitoramento e gravação de sessões
No contexto do gerenciamento de acesso privilegiado, o gerenciamento, o monitoramento e a gravação de sessões são recursos essenciais que oferecem supervisão, controle e responsabilização sobre as atividades de usuários privilegiados. Esses recursos garantem que as ações realizadas por contas privilegiadas sejam cuidadosamente rastreadas, registradas e revisadas para mitigar os riscos associados ao seu acesso elevado.
O gerenciamento de sessões envolve o controle de sessões de usuários privilegiados, incluindo iniciar, manter e encerrar o acesso a sistemas sensíveis. Certifique-se de que sua solução PAM tenha as seguintes capacidades:
- Início da sessão: facilita conexões seguras e com tempo limitado a sistemas de destino.
- Controle de acesso: aplicação de políticas como limites de tempo ou uso de dispositivos específicos durante as sessões.
- Encerramento de sessão: encerramento automático de sessões com base em inatividade ou violações de política.
- Monitoramento de sessões: rastreamento em tempo real das atividades dos usuários durante sessões privilegiadas que permite à equipe de TI e de segurança visualizar quais ações estão sendo realizadas, frequentemente por meio de painéis em tempo real ou mecanismos de compartilhamento de tela.
- Gravação de sessão: captura e armazenamento de registros detalhados e, muitas vezes, reprodução semelhante a vídeo de sessões privilegiadas. As gravações normalmente incluem teclas digitadas, comandos executados, telas visualizadas e muito mais.
O gerenciamento, o monitoramento e a gravação de sessões ajudam a prevenir atividades maliciosas, permitindo que as equipes de segurança intervenham caso ações suspeitas ou não autorizadas sejam detectadas durante uma sessão privilegiada. Eles reduzem ameaças internas ao coibir o uso indevido de privilégios e fornecer evidências para investigações forenses caso ocorram incidentes. O gerenciamento de sessões, especialmente a gravação de sessão, também é fundamental para a conformidade. Muitos padrões do setor e estruturas regulatórias (p. ex., HIPAA, PCI DSS e GDPR) exigem o rastreamento, a documentação e a geração de relatórios sobre as atividades de usuários privilegiados para proteger dados confidenciais.
Certifique-se de selecionar uma solução PAM que ofereça suporte a tunelamento e Bring Your Own Tools (BYOT). O tunelamento refere-se à capacidade de encaminhar e gerenciar com segurança comunicações ou interações com sistemas remotos por meio de um intermediário ou proxy sem exigir acesso direto ao sistema de destino. Isso é particularmente importante em soluções de PAM porque viabiliza a comunicação segura e criptografada entre o dispositivo do usuário e o sistema de destino; encaminha todas as comunicações por meio de um gateway ou proxy PAM, o que aplica RBAC e permite o gerenciamento de sessões; e oferece suporte a vários protocolos (p. ex., SSH, RDP, HTTPS) para permitir que os usuários gerenciem diversos ambientes com segurança.
O BYOT é um recurso em soluções abrangentes de PAM que permite que os usuários usem com segurança suas ferramentas e aplicativos preferidos para interagir com sistemas, em vez de depender apenas das ferramentas fornecidas pela plataforma PAM. Por exemplo, ele permite que administradores de sistemas usem seu cliente SSH favorito, como PuTTY ou Terminal, para se conectar a um servidor por meio da plataforma PAM. Isso acomoda fluxos de trabalho que exigem ferramentas especializadas ou preferências do usuário, mantendo a segurança e a governança.
Como o KeeperPAM fortalece o gerenciamento de sessões privilegiadasAs ferramentas de Gerenciamento de Sessões Privilegiadas (PSM) do KeeperPAM usam cofre de segredos, JIT/JEP e gravação e reprodução de sessões remotas para garantir que credenciais e infraestrutura críticas estejam protegidas. Por meio da gravação de sessões e do registro de teclas pressionadas, a atividade do usuário durante conexões e em sites protegidos pode ser gravada para fins de revisão, conformidade ou segurança. Isso garante interações adequadas e reduz ameaças internas e fraudes. As ações do usuário dentro do Cofre do Keeper também são registradas, e as do Keeper Módulo de Relatórios e Alertas Avançados (ARAM), um complemento corporativo pago, permite que as organizações emitam alertas sobre atividades suspeitas, como falhas no login, alterações nas políticas administrativas, compartilhamento de registros e mudanças no ciclo de vida do usuário, além de criar relatórios de auditoria personalizados com base em eventos para análises de conformidade. KeeperAI® aprimora isso aplicando detecção automatizada de ameaças e anomalias para identificar atividades privilegiadas suspeitas e gerar resumos de sessões para acelerar a revisão. Com o ARAM ativado, as organizações podem enviar eventos de auditoria para a sua ferramenta existente de Gerenciamento de Informações e Eventos de Segurança (SIEM) para uma análise mais sofisticada. O Keeper oferece suporte a qualquer SIEM que aceite syslog push, além de integrações prontas para uso para muitos, incluindo Splunk, Datadog, Azure e LogRhythm. O KeeperPAM oferece aos desenvolvedores a opção de acessar sistemas — eles podem usar o Keeper para acessar recursos ou criar túneis TCP criptografados para acessar sistemas usando suas ferramentas preferidas, como bancos de dados ou emuladores de terminal. O KeeperPAM também oferece isolamento de navegador remoto (RBI), que isola a atividade de navegação na web do usuário de seu dispositivo local, executando-a em um ambiente virtual isolado, como um sandbox ou máquina virtual, em um servidor remoto. O conteúdo da web é renderizado no servidor remoto, portanto scripts maliciosos, malware ou exploits não conseguem atingir o dispositivo do usuário. |
4. Gerenciamento de privilégios de endpoint
O gerenciamento de privilégios de endpoint (EPM) é um subconjunto do PAM que remove direitos permanentes de administrador local e aplica o menor privilégio em endpoints. Em vez de permitir que os usuários atuem como administradores locais permanentes, o EPM permite que eles operem como usuários padrão e eleva privilégios apenas para executar as ações específicas que exigem direitos elevados, por um tempo limitado e com uma trilha de auditoria completa. O EPM é importante porque o PAM e o EPM protegem pontos diferentes em um ataque; o PAM governa quem pode acessar seus sistemas mais críticos, enquanto o EPM governa o que um usuário pode fazer em um endpoint. A remoção de direitos administrativos locais permanentes limita as opções de um invasor, mesmo em um dispositivo que ele já controle, reforçando a importância tanto do PAM quanto do EPM.
Como o Keeper Endpoint Privilege Manager aplica o princípio do menor privilégio em endpointsKeeper Endpoint Privilege Manager aplica políticas de acesso de menor privilégio em endpoints Windows, macOS e Linux. Ele elimina direitos administrativos locais permanentes e fornece elevação JIT tanto para usuários quanto para processos. Quando uma política requer aprovação, a solicitação do usuário é encaminhada a um administrador do Keeper e gerenciada por meio do Console de administração ou do Keeper Commander CLI. Se nenhuma aprovação for exigida, o agente do Keeper permite automaticamente a elevação, e a autenticação multifator (MFA) pode ser exigida antes que uma ação prossiga. Isso oferece às organizações controle centralizado e baseado em políticas sobre os privilégios de endpoints sem desacelerar os usuários. |
5. Governança de identidade não humana (NHI)
Uma identidade não humana (NHI) é uma identidade digital pertencente a uma máquina ou software em vez de um ser humano, incluindo contas de serviço, chaves de API, tokens, certificados, scripts de automação e agentes de IA. Cada NHI usa credenciais para se autenticar e agir sem um humano conduzindo cada etapa. As NHIs são importantes porque se tornaram silenciosamente a maior população de identidades na maioria das organizações, muitas vezes superando em muito os usuários humanos. No entanto, elas raramente são governadas com o mesmo rigor que as contas humanas, que costumam ser centralizadas em um único provedor de identidade (IdP). As NHIs são descentralizadas por natureza porque são criadas dinamicamente em plataformas em nuvem, e essa proliferação torna difícil inventariá-las e ainda mais difícil governá-las. Como muitas NHIs não têm um proprietário claramente atribuído, elas tendem a durar mais do que os sistemas que as criaram e a permanecer como credenciais facilmente exploráveis, não monitoradas e com permissões excessivas.
Como o KeeperPAM governa os NHIsPor meio do Keeper Secrets Manager, o KeeperPAM protege NHIs e identidades humanas em uma única plataforma de conhecimento zero, para que credenciais como chaves de API, tokens e senhas de contas de serviço fiquem criptografadas e acessíveis apenas a identidades autorizadas. O Keeper automatiza a descoberta de contas e credenciais em ambientes corporativos e, em seguida, as armazena centralmente em cofre e as rotaciona de acordo com os princípios de segurança de confiança zero. O Universal Secrets Sync espelha segredos rotacionados para serviços como o AWS Secrets Manager e o Azure Key Vault, de modo que os usuários downstream sempre recebam a credencial atual sem acesso permanente. O resultado é visibilidade e controle centralizados sobre as identidades de máquina, algo de que as ferramentas tradicionais de IAM tendem a carecer. |
6. Governança de IA agêntica
A governança de IA agêntica se concentra em controlar quais agentes autônomos de IA têm permissão para ser executados em seus endpoints, reconhecendo-os, decidindo se eles têm permissão para executar ações e auditando suas atividades. É uma das categorias de NHI que mais cresce e introduz riscos que o PAM legado nunca foi projetado para lidar. Os assistentes de codificação de IA e outros agentes de IA são cada vez mais iniciados e executados com os mesmos privilégios do usuário que os iniciou, muitas vezes com pouca ou nenhuma supervisão sobre cada ação realizada. Decidir quais agentes são sancionados, quais são bloqueados e quais exigem aprovação antes de serem executados é um aspecto fundamental do PAM e do EPM modernos.
Como o Keeper Endpoint Privilege Manager governa agentes de IAO Keeper Endpoint Privilege Manager inclui um tipo de política de IA agêntica, aplicado pelo agente do Keeper, que determina se um agente de IA tem permissão para ser executado em um endpoint monitorado. Ele reconhece agentes como Agentes Conhecidos, que são identificados por assinatura, ou Agentes Possíveis, que são detectados por um mecanismo heurístico comportamental que pontua processos com base em sua similaridade com um agente de IA. Os administradores podem permitir automaticamente agentes autorizados, negar outros ou reter um agente para aprovação do administrador antes que sua execução seja permitida. As políticas podem ser introduzidas primeiro no modo Monitor para validar o escopo, e cada agente controlado é registrado, oferecendo às equipes de segurança uma linha de base de auditoria completa da atividade dos agentes de IA. |
7. Suporte a passkeys
Passkeys são um método de autenticação moderno e resistente a phishing projetado para substituir as senhas tradicionais. Elas são um tipo de sistema de login sem senha que utiliza criptografia de chave pública para aprimorar a segurança e a facilidade de uso. As passkeys estão sendo adotadas por grandes empresas de tecnologia, incluindo Apple, Google e Microsoft, e contam com o suporte da FIDO Alliance. À medida que se tornam mais difundidos, espera-se que reduzam drasticamente os ataques cibernéticos relacionados a senhas, tornem as experiências online mais seguras e fáceis de usar e transformem a verificação de identidade digital ao padronizar métodos seguros e fáceis de usar.
Ao adotar passkeys, as organizações podem aumentar significativamente a segurança, reduzindo as complexidades associadas ao gerenciamento tradicional de senhas – portanto, certifique-se de que sua solução de PAM ofereça suporte a elas.
Como o KeeperPAM simplifica a autenticação sem senha com passkeys
O KeeperPAM armazena passkeys, senhas e arquivos para todos os funcionários em todos os dispositivos. Quando combinado com a integração de SSO, o KeeperPAM permite que seus usuários desfrutem de uma experiência perfeita e sem senhas.
8. Gerenciamento de credenciais e rotação automatizada
A rotação automática de senhas e o armazenamento em cofre são recursos das soluções modernas de PAM que aprimoram a segurança e o gerenciamento de contas privilegiadas ao automatizar o manuseio de senhas e armazená-las com segurança.
A rotação automatizada de senhas altera automaticamente as senhas de contas privilegiadas em intervalos especificados ou após cada uso. O processo é regido por políticas predefinidas e não requer intervenção manual. A rotação automática de senhas reduz o risco de acesso não autorizado devido a credenciais comprometidas ou desatualizadas, garante que nenhum usuário mantenha acesso persistente a contas privilegiadas e atende a requisitos regulatórios, como PCI DSS e HIPAA, que exigem a rotação de senhas.
O armazenamento de senhas em cofre refere-se a armazenar com segurança credenciais de contas privilegiadas em um repositório centralizado e criptografado (o “cofre”). Os usuários ou sistemas devem se autenticar na solução PAM para recuperar senhas para acessar recursos. O acesso ao cofre é restrito com base em políticas como RBAC, e as credenciais podem ser recuperadas para sessões específicas e ficam ocultas do usuário. Isso elimina o armazenamento disperso de credenciais confidenciais em sistemas ou dispositivos pessoais, integra-se a políticas de controle de acesso para restringir quem pode recuperar ou usar senhas específicas e registra cada acesso ao cofre, fornecendo visibilidade sobre o uso de credenciais.
Em geral, as práticas recomendadas de segurança cibernética desaconselham o compartilhamento de senhas. Idealmente, todos os usuários devem ter logins exclusivos para cada sistema e aplicativo. No entanto, na prática, isso nem sempre é realista, por isso é importante garantir que sua solução de PAM permita que seus usuários compartilhem senhas com segurança. Além de contas compartilhadas, procure recursos como compartilhamento temporário (acesso com tempo limitado), compartilhamentos únicos e compartilhamentos autodestrutivos.
Como o KeeperPAM protege o armazenamento de credenciais
O KeeperPAM permite que os usuários compartilhem com segurança o acesso a contas sem expor credenciais. O acesso compartilhado pode ser por tempo indeterminado ou limitado, incluindo Compartilhamentos únicos e compartilhamentos que se autodestroem após um período especificado. Assim que o acesso expirar, as credenciais podem ser rotacionadas automaticamente. O KeeperPAM oferece às equipes de TI e segurança controle total sobre quais usuários podem compartilhar credenciais e arquivos. Ao garantir que apenas usuários autorizados possam iniciar compartilhamentos, as organizações podem evitar a perda de dados e cumprir com mais facilidade as normas de conformidade.
A arquitetura de segurança de conhecimento zero do KeeperPAM garante o armazenamento de senhas completamente seguro. O Keeper não pode acessar nada dentro dos cofres dos usuários, e nenhum tráfego é roteado pela rede do Keeper, garantindo total privacidade dos dados. Ninguém, nem mesmo os funcionários do Keeper, pode acessar ou descriptografar os dados do cofre do usuário.
A rotação automatizada de senhas do KeeperPAM permite que os administradores descubram, gerenciem e façam a rotação de credenciais para contas de serviço ou de administrador em todos os seus ambientes de dados corporativos. O recurso de armazenamento centralizado em cofre e rotação de senhas do Keeper se alinha ao modelo de confiança zero ao garantir que as credenciais não fiquem acessíveis de forma persistente e que todo o acesso seja verificado e monitorado.
9. Proteção de toda a organização, não apenas da TI
Alguns produtos de PAM no mercado hoje são projetados exclusivamente para proteger administradores de TI, profissionais de DevOps e outros usuários privilegiados. No entanto, é extremamente importante proteger todos os usuários de sua organização, não apenas aqueles com acesso privilegiado. Isso significa que seria necessário implantar tanto uma solução de PAM quanto uma solução geral de IAM – e depois gerenciar e manter ambos os produtos. Isso cria mais trabalho para suas equipes de TI e segurança e torna mais difícil garantir que as políticas e controles internos sejam aplicados de forma consistente em toda a sua base de usuários.
Como o KeeperPAM foi desenvolvido para proteger todos os seus usuáriosCom o KeeperPAM, tudo o que as organizações precisam fazer é implantar o Cofre do Keeper para todos os seus usuários para obter cobertura completa. O KeeperPAM oferece controle de acesso baseado em funções e de menor privilégio adaptado às funções de trabalho. Isso permite que as organizações simplifiquem o acesso dos usuários enquanto mantêm políticas de segurança robustas, reduzindo as tarefas administrativas para as equipes de TI e o atrito para os usuários finais. O KeeperPAM é fácil de usar para todos na sua organização. Não exige que os usuários tenham acesso com linha de visão à infraestrutura ou ao Keeper Gateway. Implante o Cofre Web do Keeper e o acesso ao cofre fica totalmente integrado ao navegador — sem necessidade de instalação no desktop. O gerenciamento de privilégios de endpoint utiliza um agente leve, implantado separadamente onde for necessário. |
Escolha o KeeperPAM como a solução de PAM da sua organização
O KeeperPAM é a primeira solução a levar funcionalidades essenciais de PAM para um cofre na nuvem que fornece acesso seguro a toda a sua base de usuários – não apenas ao seu departamento de TI. Como uma plataforma totalmente nativa da nuvem, o KeeperPAM consolida armazenamento em cofre, gerenciamento de segredos, gerenciamento de privilégios de endpoint, acesso de confiança zero e isolamento de navegador remoto em uma interface unificada — protegendo identidades humanas e de máquinas e até mesmo agentes de IA que operam em todo o seu ambiente.
Agende uma demonstração do KeeperPAM para saber mais sobre a abordagem proativa do Keeper para proteger o acesso e unificar o gerenciamento de todos os seus recursos críticos.
