Dois perfis de intruso de dados
O termo abrange dois perfis de agente que, para os sistemas de controle de acesso, parecem idênticos. Equipes de segurança costumam agrupar os dois sob ameaça interna, porque o dano começa com um acesso que já havia sido concedido.
O insider que abusa dos direitos. Um colaborador, prestador de serviço ou parceiro de negócios já tem direitos legítimos e os usa além da finalidade prevista. Por exemplo, consulta fichas de clientes ou pacientes por curiosidade, acumula arquivos de projeto antes de pedir demissão ou copia uma base de clientes para um futuro empregador.
O agente externo com credenciais. Um atacante externo, ou o seu malware, opera com credenciais roubadas, mas válidas: uma senha obtida por phishing, uma chave de API vazada ou uma sessão sequestrada. Para as defesas de perímetro, isso parece um usuário legítimo. Tecnicamente, é.
Como age um intruso de dados
A maioria dos intrusos de dados segue um padrão reconhecível em quatro etapas.
- 1
Reconhecimento
Descobrir onde estão os dados valiosos.
- 2
Ampliação de acesso
Solicitar ou roubar direitos adicionais.
- 3
Coleta
Reunir arquivos em pacotes compactados ou em pastas na nuvem.
- 4
Exfiltração
Tirar os dados por e-mail, upload para a nuvem, aplicativos de mensagens ou mídias removíveis.
Sinais comportamentais de alerta
O intruso de dados usa direitos legítimos em canais legítimos, por isso os sinais mais fortes são comportamentais, e não técnicos. É esse o papel da análise de comportamento. Os intrusos cuidadosos trabalham devagar: transferências pequenas espalhadas por semanas, dentro do horário normal e misturadas à rotina. Fique atento a:
- acesso a repositórios sensíveis que o usuário nunca havia aberto;
- horários, locais ou dispositivos incomuns;
- volumes anormais de cópia, impressão ou arquivamento;
- uso repentino de nuvem pessoal, webmail ou pen drives USB;
- atividade de preparação perto de uma data de saída conhecida (pedido de demissão, fim de contrato, dispensa).
Por que são difíceis de detectar
Firewalls e ferramentas antimalware servem para barrar a entrada não autorizada. O intruso de dados já está dentro e é autorizado, por isso essas ferramentas não veem nada de anormal. A detecção exige duas coisas: um perfil do que é normal para cada usuário e a análise do conteúdo que está sendo movido, e não apenas do canal. Essa verificação de conteúdo é o núcleo da prevenção contra perda de dados (DLP).
| Mecanismo | O que verifica | Eficácia contra o intruso |
|---|---|---|
| Firewall e antimalware | Entrada não autorizada | Fraca: o intruso é autorizado |
| Análise de comportamento (UEBA) | Atividade em relação à linha de base do usuário | Identifica desvios da rotina |
| Análise de conteúdo (DLP) | Quais dados saem e por qual canal | Pode bloquear ou pôr em quarentena |
Impacto
Um intruso de dados bem-sucedido causa roubo de dados, exposição regulatória em normas como GDPR, HIPAA e PCI DSS, perda de propriedade intelectual e investigações longas. O prejuízo costuma superar o de violações externas, porque o acesso de confiança encurta o caminho até os dados mais valiosos.
Como isso aparece na Anexet
No console do Anexet DLP, eventos relacionados são consolidados em incidentes. A partir de um incidente, o administrador pode abrir a atividade desse usuário ou adicionar o evento a uma apuração.
Por onde começar
Comece mapeando quais dados sensíveis cada função pode acessar e por quais canais esses dados podem sair. Revisões de acesso que param em quem pode abrir uma pasta deixam passar o intruso que já pode abri-la. Feito esse mapa, a detecção de ameaças internas acrescenta a camada comportamental.
Os perfis de comportamento precisam de tempo para ficar confiáveis, então vale analisar os primeiros alertas com o gestor direto antes de tirar qualquer conclusão sobre uma pessoa.
Leitura adicional: Como reconhecer um insider em uma empresa e prevenir suas atividades?.
Um intruso de dados raramente parece um intruso. Ele tem senha válida, crachá e um motivo para estar ali, por isso é o padrão de atividade que o denuncia.
Anexet TeamComo a Anexet resolve isto
A Anexet foi construída em torno da detecção exatamente desse perfil de agente: a pessoa que abusa do acesso legítimo a partir de dentro:
A arquitetura on-premise mantém os perfis comportamentais, o conteúdo capturado e os registros de apuração dentro da infraestrutura da própria organização: o que é significativo aqui, porque os dados coletados sobre um suspeito de intrusão são, eles mesmos, altamente sensíveis.
Análise comportamental (UBA)
a Anexet constrói uma linha de base da atividade normal de cada usuário e avalia os novos eventos em relação a ela, de modo que o desvio de um intruso de dados em relação à sua própria rotina se torne visível.
Detecção de anomalias
o primeiro acesso a dados sensíveis, volumes anormais de cópia, atividade fora do expediente e uso incomum de canais geram eventos de risco em vez de passarem como trabalho “autorizado” de rotina.
Incidentes
as anomalias relacionadas são consolidadas em incidentes, dando às equipes de segurança um ponto de partida em vez de um fluxo de registros desconexos.
Apuração
cada evento é registrado com o contexto completo: usuário, data e hora, canal e classificação de conteúdo: de modo que um incidente possa ser reconstruído de ponta a ponta como material do caso.
Aplicação ciente do conteúdo
quando a análise de comportamento sinaliza uma movimentação de risco, a análise de conteúdo do DLP (tesauros de segurança, bancos de hashes, impressões digitais, rótulos de sensibilidade) avalia o que está sendo transferido por e-mail, web, nuvem, mensageiros, USB, impressão e área de transferência, e pode bloquear ou colocar a transferência em quarentena.
Anexet DLP
Saiba mais