Qubole: a integração parou, mas o acesso também?
Uma integração desativada pode deixar relações de confiança que ainda merecem revisão. O caso Qubole ajuda a separar novas autenticações, sessões existentes e evidências de acesso a dados.
Read in EnglishPor Pentesty
O relato e a pergunta para a empresa
Na pesquisa de 9 de novembro de 2026, a Wiz relata credenciais associadas à Qubole usadas para assumir papéis de clientes entre 14 e 26 de outubro. O trabalho descreve coleta de segredos e dados S3. Muitos papéis já não tinham uso legítimo observado, mas continuavam aceitando aquela relação de confiança.
A pergunta operacional começa no inventário da empresa: qual integração precisava desse acesso, quem era responsável por ela e qual operação justificava cada permissão? A resposta deve identificar recursos concretos. Uma relação comercial encerrada e uma configuração técnica removida são acontecimentos diferentes, que precisam de responsáveis e registros próprios.
Descreva a confiança antes de alterá-la
A documentação da AWS distingue a política que permite assumir um papel das permissões que ele concede. O External ID ajuda a tratar o problema do intermediário confuso e não é considerado um segredo pela AWS. Ele precisa ser avaliado junto com o principal autorizado e as condições da relação.
Monte uma relação entre fornecedor, conta externa, papel, proprietário interno e finalidade atual. Identifique quais integrações têm atividade esperada e quais ficaram sem responsável. Antes de restringir um caminho ainda necessário, combine uma janela de mudança e uma alternativa operacional. O inventário deve permitir que outra pessoa confira a decisão e sua data. Dê ao registro uma data de revisão e um responsável pelas dependências não resolvidas, para que o próximo administrador consiga distinguir uma exceção intencional de uma integração esquecida e planejar o acompanhamento necessário.
Separe novas sessões das que já existem
A AWS documenta a revogação de permissões de sessões de papéis por meio de uma política de negação vinculada ao momento de emissão. O alcance afeta as sessões daquele papel e exige cuidado com usuários legítimos. Não trate a simples troca de uma credencial como prova de encerramento de todo acesso já emitido.
Em uma avaliação autorizada, use identidades e recursos sintéticos para registrar dois resultados: a tentativa de iniciar uma nova sessão e a tentativa de continuar uma sessão anterior. Defina o comportamento esperado com o administrador. Guarde o horário da alteração, a identidade de teste e as operações permitidas ou recusadas, sem armazenar seus segredos no relatório.
Identifique o que os registros conseguem demonstrar
A Wiz ressalta que eventos de gerenciamento do CloudTrail não identificam, sozinhos, objetos S3 lidos. São necessários registros adequados. Sem essa cobertura, a apuração precisa manter explícita a limitação sobre o conteúdo acessado.
Relacione cada sessão suspeita aos recursos alcançáveis e aos registros disponíveis durante o período relevante. Distinga listagem, consulta de configuração, leitura de conteúdo e mudança de permissões. Quando uma etapa não puder ser reconstruída, registre a lacuna e sua consequência para a decisão. Preserve as evidências existentes antes de iniciar alterações que dificultem a comparação.
Aceite a recuperação com um resultado verificável
Combine critérios de aceitação antes de executar a mudança. A equipe deve conseguir demonstrar a recusa do caminho retirado, a continuidade das funções aprovadas e a responsabilidade pelos acessos que precisam permanecer. Um resultado parcial pode exigir uma exceção temporária documentada, com prazo e responsável pela revisão.
A análise sobre segredos de aplicações complementa esse trabalho: substituir um segredo e revisar a autoridade da identidade são decisões relacionadas, mas diferentes. Se o papel alcançava outras credenciais, inclua seus responsáveis no plano. A avaliação deve registrar o que foi validado em vez de prometer que uma única alteração encerrou todas as possibilidades.
Transforme o inventário em uma rotina de saída
Inclua a retirada técnica no processo de encerramento de integrações. O responsável pelo serviço deve confirmar quais operações deixaram de ser necessárias; o administrador verifica o acesso efetivo; a equipe de segurança define quais evidências precisam ser preservadas. Esse acordo reduz a distância entre a decisão comercial e a configuração que continua em produção.
Repita a verificação quando houver mudança de fornecedor, finalidade ou permissões. O produto final é um registro datado do caminho autorizado, dos testes realizados e das limitações encontradas. Ele oferece uma base concreta para manter, restringir ou encerrar a integração, respeitando as necessidades do negócio e o escopo aprovado.
Perguntas frequentes
O External ID funciona como uma senha?
A AWS não o trata como segredo. Ele participa da condição de confiança e precisa ser considerado junto com o principal e as permissões do papel.
Retirar a integração encerra automaticamente sessões anteriores?
A aceitação precisa verificar esse resultado separadamente. A AWS oferece mecanismos de revogação de permissões de sessões, cujo alcance deve ser avaliado pelo administrador.
Ausência de leituras em eventos de gerenciamento prova ausência de acesso S3?
Não. A conclusão sobre objetos exige registros adequados de acesso ou eventos de dados; a cobertura ausente limita a apuração.
O exercício exige acessar uma conta da Qubole?
Não. A proposta usa o ambiente autorizado da própria empresa, identidades sintéticas e resultados esperados definidos com seus responsáveis.
Fontes e referências
Análise original da Pentesty, publicada em 10 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.