O que significa análise de comportamento em segurança
Em segurança, a análise de comportamento é a prática de examinar a atividade digital observável das pessoas dentro de uma organização, funcionários, contratados, administradores, para entender o que é normal e perceber o que não é. A unidade de análise não é um arquivo ou mensagem isolado, mas padrões de atividade ao longo do tempo: quando as pessoas trabalham, quais aplicativos e sites usam, com quem se comunicam, quais dados tocam e com que intensidade.
A premissa: a maioria dos incidentes internos é precedida por mudanças observáveis de comportamento. Um funcionário se preparando para sair, uma conta tomada por um invasor externo, um usuário alcançando muito além de seu escopo habitual, cada um aparece primeiro como um desvio de um padrão estabelecido. A análise de comportamento é uma forma estruturada de perceber essas mudanças cedo, em vez de reconstruí-las depois de um incidente.
Como funciona a análise de comportamento
Seja conduzida por um analista ou por um mecanismo automatizado, a análise de comportamento segue um ciclo que se repete:
A saída não é um veredito, mas uma prioridade: uma lista ordenada de pessoas cuja atividade recente merece um olhar mais atento, com cada desvio ligado aos eventos que o sustentam.
- 1
Coleta
Dados de atividade são registrados de endpoints e canais: uso de aplicativos e web, e-mail e mensageria, operações com arquivos, conexões de dispositivos, impressão.
- 2
Linha de base
Um perfil de atividade normal é construído para cada usuário, função ou grupo, ao longo de um período longo o bastante para capturar o ritmo de trabalho.
- 3
Comparação
A atividade contínua é confrontada com a linha de base e com limiares de política, contagens e volumes que marcam um afastamento da norma.
- 4
Avaliação
Os desvios são classificados por categoria, potencial perda de dados, violação de política, sinais de deslealdade, e recebem um nível de risco que reflete gravidade e recorrência.
- 5
Resposta
O risco confirmado leva a alerta, investigação ou ação preventiva; achados descartados ajustam linhas de base e limiares.
Linhas de base e desvios
Uma linha de base é o perfil da atividade normal de um usuário, de um papel ou de um grupo, montado por um período longo o bastante para captar o ritmo de trabalho. Um desvio é um afastamento mensurável desse perfil. A mesma ação pode ser rotina para uma pessoa e sinal para outra, por isso uma regra fixa para todos deixa passar casos reais ou sobrecarrega a equipe com falsos alertas. Comparar cada pessoa com o próprio histórico e com colegas do mesmo cargo mantém o sinal útil. As linhas de base se apoiam nos dados já coletados de monitoramento de atividade de usuários, e os desvios são avaliados com base em padrões conhecidos de ameaças internas.
Revisar um desvio é tão importante quanto detectá-lo. Analistas verificam os eventos por trás de cada mudança sinalizada, e suas decisões voltam para a linha de base, de modo que um padrão inofensivo, como um relatório de fechamento mensal, deixa de gerar alertas.
- Horário de trabalho comparado ao expediente habitual da pessoa e ao ritmo da equipe
- Volume de mensagens, arquivos e downloads por hora, dia ou semana
- Aplicativos, sites e destinatários que a pessoa costuma usar
- Repositórios, compartilhamentos e sistemas que a pessoa costuma acessar
Análise de comportamento versus perfilagem psicológica
Em segurança, a análise de comportamento trata exclusivamente de ações observáveis nos sistemas corporativos: quais recursos foram acessados, o que foi enviado para onde, quando e em que volume. Ela não infere traços de personalidade, atitudes ou intenções, nem prevê o que uma pessoa poderia fazer fora dos sistemas de trabalho. A perfilagem psicológica é uma atividade diferente, com limites legais muito mais rígidos, e não é o que faz a análise de risco interno.
A distinção importa juridicamente: reguladores aceitam o monitoramento de atividade relacionada ao trabalho quando é proporcional, transparente e limitado a uma finalidade, ao passo que avaliar personalidades ou vidas privadas é um tratamento sensível que a maioria dos marcos restringe ou proíbe. Um programa defensável nomeia os indicadores que acompanha; não caracteriza a pessoa por trás deles.
Mais uma fronteira: a análise de comportamento de usuários e entidades (UEBA) é a categoria tecnológica que automatiza a análise de comportamento com modelos estatísticos; a análise de comportamento em si é a prática mais ampla, exercida tanto por analistas quanto por mecanismos automatizados.
Indicadores comportamentais típicos
A maioria desses padrões aparece primeiro como uma mudança em relação à linha de base da própria pessoa. Ferramentas automatizadas de UEBA os sinalizam, e os analistas decidem o que cada um significa.
| Indicador | Como aparece |
|---|---|
| Horários de trabalho incomuns | Atividade contínua bem fora da agenda habitual da pessoa ou da equipe |
| Anomalias de volume | Contagens de mensagens, arquivos ou downloads muito acima da linha de base |
| Preparação de dados | Arquivos espalhados reunidos em pacotes, renomeados ou consolidados antes de uma transferência |
| Troca de canal | Arquivos de trabalho para e-mail pessoal, mensageiros não autorizados ou armazenamento privado |
| Expansão de escopo | Repositórios ou compartilhamentos nunca usados antes, ou privilégios além das funções |
Como isso aparece no Anexet
No módulo Insider Threat Detection, cada incidente recebe um nível de risco e uma categoria, então o responsável pela segurança vê onde o risco se concentra antes de abrir um único evento.
1 / 2
Limites legais e éticos
Construída sobre o monitoramento de funcionários, a análise de comportamento é regida pelo direito do trabalho e pela proteção de dados. Na União Europeia e no Reino Unido, o RGPD exige base legítima, finalidade definida, proporcionalidade e transparência, os funcionários devem saber que o monitoramento existe e o que ele abrange, e comissões de trabalhadores podem precisar ser consultadas. Outras jurisdições estabelecem suas próprias regras de notificação; a minimização de dados vale em todos os lugares: colete o que a finalidade exige, e nada mais.
Salvaguardas práticas: uma política de monitoramento escrita e comunicada à equipe, registros comportamentais restritos a funções definidas, limites de retenção e uma separação clara entre análise de segurança e avaliação de desempenho. A linha legal corre entre observar a atividade nos ativos corporativos e a vigilância encoberta de indivíduos.
Por onde começar
Comece pelos dados cujo vazamento causaria mais dano e depois pelos canais que eles realmente usam. Um programa claro de gestão de riscos internos precisa de uma lista curta de indicadores que a organização consiga explicar à equipe.
Antes que um desvio vire conclusão, verifique os eventos por trás dele e o contexto do trabalho. Um desvio é uma pergunta a responder, não um veredito sobre a pessoa.
Leitura adicional: Profiling.
A pergunta útil não é quem parece incomum, e sim o que mudou no trabalho e por quê.
Anexet TeamComo a Anexet resolve isto
No Anexet, a análise de comportamento é entregue pelo mecanismo Risk Analysis: ele constrói um padrão comportamental para cada funcionário, atribui um nível de risco e mantém ambos atualizados à medida que incidentes ocorrem, assim o responsável pela segurança vê não só violações isoladas, mas como o comportamento muda ao longo do tempo.
Como o monitoramento comportamental toca o direito do trabalho, o mecanismo é construído para transparência: a análise roda em categorias definidas com níveis explícitos, inteiramente na infraestrutura on-premise do cliente, o fornecedor não tem acesso aos dados de monitoramento, e cada achado resulta em uma trilha de auditoria completa e atribuível, não em uma pontuação opaca.
Categorias de risco
os desvios são classificados em oito categorias prontas, incluindo Vazamento de dados, Ameaça interna, Deslealdade de funcionários, Comportamento incorreto, Violação da lei e Violação do horário de trabalho, além das categorias próprias da organização.
Níveis e tendências de risco
cada incidente recebe a pontuação Alta, Média ou Baixa; cada usuário carrega um valor total e um valor de risco não revisado, e os gráficos de tendência são reconstruídos automaticamente conforme o comportamento muda.
Detecção de desvios
regras estatísticas de segurança marcam afastamentos de volumes normais, por exemplo, contagens de mensagens ou transferências de arquivos acima de um limiar dentro de uma hora, dia ou semana.
Notificações por limiar
o gerenciador de Notificações envia um alerta por e-mail ou Telegram quando o risco de um usuário, na categoria e no período escolhidos, cruza um limiar configurado.
Do sinal à investigação
um desvio marcado leva à linha do tempo de atividade do usuário e ao grafo de relações, de modo que pode ser examinado e adicionado a uma investigação estruturada com uma trilha de auditoria completa e atribuível.
Recurso de detecção de ameaças internas
Saiba mais