O que conta como anomalia comportamental
Uma anomalia é um desvio de um padrão esperado, grande o suficiente, ou incomum o suficiente no seu contexto, para justificar atenção. A expectativa vem de uma linha de base: um modelo do normal construído a partir do histórico da própria pessoa, do seu grupo de pares na mesma função e do comportamento esperado para essa função.
Nem toda anomalia é maliciosa. Prazos, viagens de negócios e novos projetos também geram desvios legítimos. Por isso, a detecção produz pistas, e não veredictos. A confirmação acontece durante a investigação, e os sinais que importam estão descritos em indicadores de ameaça interna.
| Tipo | Exemplo |
|---|---|
| Anomalia pontual | Upload de 2 GB por um usuário que normalmente move megabytes |
| Anomalia contextual | Arquivos de projeto abertos às 3 h num fim de semana |
| Anomalia coletiva | Reunir arquivos, renomear extensões, compactar e depois uma grande transferência |
Detecção de anomalias, análise de comportamento e UEBA
Os termos estão relacionados, mas não são intercambiáveis. A análise de comportamento é a metodologia mais ampla: estudar como as pessoas usam os sistemas corporativos, definir o que é normal e interpretar os desvios. Analistas e softwares a praticam.
A detecção de anomalias comportamentais é a tarefa técnica específica dentro dela: marcar automaticamente atividades que atendem a critérios de desvio definidos em relação a uma linha de base. A análise de comportamento de usuários e entidades (UEBA) é a categoria de produto que automatiza todo o processo. Em resumo, a análise de comportamento faz as perguntas, a detecção de anomalias é o gatilho e a UEBA automatiza o ciclo.
Métodos de detecção: limiar, estatístico, aprendizado de máquina
Três famílias de métodos dominam. A maioria das implantações combina as três.
Nenhuma abordagem é estritamente superior. As regras de limiar são transparentes, mas rígidas. Os modelos estatísticos acrescentam contexto pessoal e de pares. O aprendizado de máquina encontra padrões mais sutis, mas é mais difícil de explicar e ajustar. Muitos programas começam com limiares e estatística, porque cada alerta pode ser justificado a auditores. Só acrescentam aprendizado onde a sensibilidade extra vale a opacidade.
| Abordagem | Como funciona | Pontos fortes | Limitações |
|---|---|---|---|
| Regras de limiar | Limites fixos de atividade por período, ex.: 50 mensagens por hora | Simples de configurar, entender e auditar | Estáticas e cegas ao contexto; um limite, salvo divisão por grupo |
| Detecção estatística | Compara a atividade à distribuição de pessoa ou grupo de pares | Adapta-se a cada usuário e função; percebe desvios graduais | Exige histórico; sensível à sazonalidade e a linhas de base contaminadas |
| Aprendizado de máquina | Modelos aprendem o normal e medem o desvio de ajuste | Detecta desvios sutis e multidimensionais | Opaco; exige dados e especialização; difícil de explicar |
Falsos positivos e fadiga de alertas
Falsos positivos são o principal problema operacional. Eles surgem de mudanças legítimas que a linha de base ainda não absorveu, como prazos, viagens, reorganizações ou picos sazonais. Também surgem de detectores ajustados de forma excessivamente rígida.
As linhas de base, construídas por meio de perfilamento, acrescentam ruído próprio. O cold start acontece quando um funcionário novo não tem histórico, e a detecção passa a depender dos padrões dos pares. O drift ocorre quando projetos e horários mudados fazem um modelo desatualizado marcar atividade comum.
O custo se acumula em fadiga de alertas. Os analistas deixam de confiar nos alertas, e os desvios reais se perdem no ruído.
Conter o problema é um processo. Ajuste os limiares conforme a variação normal medida. Acrescente contexto de grupo de pares, para que padrões de toda a equipe não sejam marcados membro a membro. Alimente as regras com resultados benignos. Confirme sinais fracos com evidência independente, como verificar o que foi de fato transferido, antes de escalar.
Da anomalia à ação
A detecção só se paga quando o resultado muda uma decisão. Um desvio sinalizado vai para a triagem dentro de uma investigação de incidentes de segurança, onde um analista segue três passos.
- 1
Confirmar a gravidade
O analista avalia o quão séria é a anomalia.
- 2
Reunir contexto
Verifica o que foi acessado, o que foi enviado e de onde.
- 3
Decidir
Encerra o caso, continua monitorando ou interfere.
Como fica no Anexet
Os dois mecanismos de limiar aparecem no console como regras estatísticas e notificações por valor de risco; ambos fazem parte do recurso de detecção de ameaças internas.
1 / 2
Limites legais e documentação
Como a técnica se apoia no monitoramento de funcionários, ela opera dentro de limites legais. Na maioria das jurisdições, incluindo a LGPD, o monitoramento exige finalidade definida, proporcionalidade e transparência em relação aos funcionários.
Um programa defensável documenta o que as linhas de base medem, quem vê os achados e por quanto tempo os registros são mantidos.
Leitura adicional: Como um oficial de segurança identifica um insider usando o sistema DLP?.
A linha de base mostra como é o normal. Um alerta só faz sentido quando alguém o confere contra essa norma.
Anexet TeamComo a Anexet resolve isto
No Anexet, a detecção de anomalias comportamentais apoia-se em dois mecanismos baseados em limiares: as regras de segurança estatística, que disparam quando a atividade de um usuário ou da rede excede limites numéricos configurados, e o motor de Risk Analysis, que transforma incidentes disparados em padrões comportamentais por usuário, com níveis e tendências de risco. A detecção roda em limiares configurados pelo analista, e não em modelos autodidáticos; toda regra é explícita, auditável e ajustável.
A arquitetura on-premise mantém os dados comportamentais e as pontuações de risco dentro da infraestrutura da organização; cada achado termina numa trilha de auditoria completa e atribuível, e não numa pontuação opaca.
Regras de segurança estatística
uma regra dispara quando uma contagem de atividade cruza um limite definido dentro de uma hora, dia calendário, semana ou período personalizado, por exemplo, mais de 50 mensagens instantâneas em uma hora, por usuário ou na rede inteira.
Oito categorias de risco
os incidentes são classificados em oito categorias pré-construídas: ameaça interna, vazamento de dados, deslealdade de funcionários, comportamento incorreto, atividade improdutiva, violação da lei, gastos de recursos da empresa e violação do horário de trabalho, além de categorias personalizadas.
Níveis e tendências de risco
cada incidente recebe pontuação Alta, Média ou Baixa; cada usuário carrega um valor total e um valor de risco não revisado, e os gráficos de tendência são reconstruídos automaticamente conforme o comportamento muda.
Notificações de limiar
o gerenciador de notificações pode alertar por e-mail ou Telegram assim que o risco de um usuário numa categoria escolhida cruza um limiar configurado.
Recurso de detecção de ameaças internas
Saiba mais