Protocolo pós-perímetro: o que sobra quando a borda deixa de existir

A borda deixou de ser um lugar e virou uma suposição. Este estudo acompanha doze meses de registros de acesso em ambientes onde o perímetro não existe mais, e tenta separar o que é controle do que é costume.

O que os registros mostram

A primeira surpresa é banal: a maior parte dos acessos iniciais não usa falha nova. Usa credencial válida, em horário plausível, a partir de um endereço que já apareceu antes.

• Credencial válida reutilizada em serviço secundário

• Sessão longa que sobreviveu à troca de senha

• Token de integração sem prazo de validade

Método

Os dados vêm de três ambientes distintos, anonimizados na origem. O recorte é de eventos de autenticação bem-sucedida seguidos de ação administrativa em até 24 horas.

Coleta

A coleta usa apenas o que já era registrado. Nada foi instrumentado a mais, justamente para medir o que uma equipe comum conseguiria enxergar.

SELECT usuario, origem, count(*)
FROM autenticacoes
WHERE sucesso AND admin_em_24h
GROUP BY 1, 2
ORDER BY 3 DESC;

Limites

Três ambientes não fazem amostra. O que segue vale como hipótese de trabalho, não como estatística.

Um controle que ninguém revisa é um hábito com nome melhor.

O que fazer com isso

A conclusão prática é pouco heroica: revisar acessos de terceiros rende mais do que comprar mais uma camada de detecção.