Exfiltração de dados versus vazamento de dados
Vazamento de dados é qualquer exposição não autorizada de dados, intencional ou acidental. Um funcionário que envia uma planilha para uma conta pessoal para trabalhar de casa causa um vazamento por descuido, não por má intenção.
Exfiltração de dados é a transferência deliberada e oculta de dados para um destino externo controlado por um atacante ou por um funcionário interno. Ela implica intenção: alguém retira os dados de modo que saiam sem ser notados.
Na prática, os métodos de detecção se sobrepõem bastante, porque ambos exigem monitorar a movimentação de dados e inspecionar o conteúdo. A diferença de intenção continua importante para a resposta a incidentes, ações jurídicas e a classificação de ameaças internas.
| Critério | Vazamento de dados | Exfiltração de dados |
|---|---|---|
| Intenção deliberada | ||
| Pode ser acidental | ||
| Monitoramento da movimentação e do conteúdo |
Métodos comuns de exfiltração
A exfiltração usa qualquer canal pelo qual os dados possam sair legitimamente de uma organização. Cada canal exige seu próprio controle, e o controle de dispositivos cobre os canais locais, como USB e impressão.
Os seis primeiros métodos são os mais comuns em incidentes reais. Os dois últimos são menos frequentes, mas mais difíceis de detectar.
| Canal | Como os dados saem |
|---|---|
| Canais de rede | Envios por HTTP/HTTPS, FTP, protocolos de tunelamento próprios; a criptografia oculta o conteúdo |
| Anexos ou links enviados a endereços externos, inclusive webmail | |
| Armazenamento em nuvem | Envios para contas pessoais, como Google Drive, Dropbox, OneDrive, Box, MEGA |
| Aplicativos de mensagens | Arquivos enviados por WhatsApp, Telegram, Signal, Slack, Teams ou chat web |
| Mídias removíveis | Cópias para pen drives, discos externos ou mídias ópticas |
| Área de transferência e tela | Texto colado em aplicativos não autorizados ou fotos da tela |
| Impressão | Documentos sensíveis impressos para remoção física |
| Esteganografia e abuso de protocolos | Dados ocultos em imagens ou áudios; tunelamento DNS/ICMP em pequenas quantidades |
Quem exfiltra dados
Três tipos de agentes exfiltram dados:
- Insiders maliciosos: funcionários ou terceirizados que roubam dados de propósito, como propriedade intelectual para um concorrente, listas de clientes, dados financeiros para fraude ou informações por motivos ideológicos, como denúncia ou ativismo.
- Contas comprometidas: atacantes externos que roubaram credenciais ou assumiram o controle de um dispositivo. Eles agem pelo acesso legítimo do funcionário, então a atividade parece autorizada. Por isso, insiders comprometidos entram no monitoramento de ameaças internas.
- Malware: trojans infostealer e ameaças persistentes avançadas (APTs) que coletam dados localmente e os enviam a um servidor de comando e controle.
Por que a exfiltração é difícil de detectar
A dificuldade central é que a exfiltração usa os mesmos aplicativos e canais do trabalho legítimo. Um funcionário que envia um arquivo para a nuvem às 14h pode estar compartilhando uma proposta com um cliente. A mesma ação às 2h da manhã, para uma conta pessoal, por alguém que já pediu demissão, é outra história. Nenhum sinal isolado é conclusivo, por isso a detecção combina as verificações abaixo e pontua o risco ao longo do tempo.
- Inspeção de conteúdo: os dados correspondem a padrões confidenciais, impressões digitais ou rótulos? Sobre essa verificação se apoia o bloqueio baseado em conteúdo.
- Contexto: quando, de onde e por quem: fora do expediente, localização incomum, funcionário em desligamento.
- Volume e padrão: um download em massa seguido de um envio externo é uma assinatura clássica.
Prevenção e resposta
Prevenção e resposta combinam cinco capacidades:
- 1
Aplicar políticas de DLP
Impedir que dados sensíveis saiam pelos canais controlados, com base na classificação do conteúdo.
- 2
Monitorar canais locais
Dar visibilidade sobre USB, área de transferência e impressão, que as ferramentas de rede não enxergam.
- 3
Mapear o comportamento normal
A análise comportamental (UEBA) constrói um perfil da atividade típica e sinaliza desvios.
- 4
Limitar o acesso
Acesso apenas ao necessário para o trabalho limita o dano de qualquer conta comprometida.
- 5
Investigar e preservar provas
Estabelecer quem, o quê, quando e onde, conter novas transferências e guardar as evidências para processos legais ou disciplinares.
Como isso aparece no Anexet
No console Anexet, um e-mail interceptado abre com uma aba de IA que lista possíveis ameaças, como ocultação de informações, e um resumo curto da conversa. A tela também informa que a saída da IA nem sempre é confiável, então o analista ainda lê a mensagem antes de agir. Mensagens sinalizadas podem ser adicionadas a um caso de investigação.
Por onde começar
Comece pelos dados cujo vazamento causaria mais dano e, depois, mapeie os canais que as pessoas realmente usam para movê-los. Regras que bloqueiam tudo no primeiro dia costumam ser desativadas, e aí nada mais é monitorado.
O módulo Anexet DLP funciona on-premise e cobre os canais descritos acima.
Leitura adicional: Sistemas DLP — o que são e como funcionam; Como um oficial de segurança identifica um insider usando o sistema DLP?.
A exfiltração raramente parece um ataque. Parece um envio comum numa tarde qualquer.
Anexet TeamComo a Anexet resolve isto
O módulo de DLP da Anexet foi projetado especificamente para detectar e bloquear a exfiltração de dados em todos os canais que um insider ou uma conta comprometida poderiam usar:
A arquitetura on-premise mantém todos os dados de detecção, o conteúdo capturado e os arquivos de investigação na infraestrutura da organização. Isso importa quando o próprio caso de exfiltração envolve dados sensíveis ou regulados que não deveriam ir para a nuvem de terceiros.
Políticas de bloqueio
As políticas de bloqueio atuam sobre 11 tipos de canal: HTTP(S), SMTP, FTP, MAPI, mensageiros, impressão, área de transferência, armazenamento externo, compartilhamentos de rede, processos e transferências de arquivos. As condições podem usar objetos de classificação de conteúdo, como correspondência de tesauro, hash, impressão digital ou rótulo de sensibilidade.
Captura nos endpoints
A interceptação no endpoint captura o conteúdo do arquivo na estação de trabalho antes que a criptografia o oculte. Isso dá visibilidade sobre uploads para a nuvem, transferências por mensageiros e canais locais (USB, área de transferência, impressão) que ferramentas apenas de rede não enxergam.
Análise de risco
O motor de Análise de Risco pontua os usuários em oito categorias de risco pré-configuradas. Ele combina sinais de vazamento com indicadores comportamentais, como padrões de horário e anomalias de volume, para priorizar casos de investigação.
Investigações
O módulo de Investigações constrói casos a partir dos eventos capturados. Os casos podem ser exportados para uso legal ou disciplinar.
Funcionalidade de Bloqueio de Transferência de Dados
Saiba mais