Ameaça Interna (Insider)

Ataques externos acionam as defesas de perímetro, como firewalls, detecção de intrusões e antivírus, projetadas para barrar agentes desconhecidos. As ameaças internas as contornam por completo: o agente já está dentro, possui credenciais válidas e sua presença na rede é esperada.

Perímetros tradicionais mantêm os de fora do lado de fora, mas não observam o que os de dentro fazem depois de entrar. Uma transferência discreta de arquivos para fora da empresa, a chamada exfiltração de dados, pode passar por todas as verificações de perímetro, porque quem a faz tem acesso autorizado aos dados.

Por isso, os programas de ameaça interna combinam controles técnicos, como monitoramento, prevenção de perda de dados e análise comportamental, com medidas organizacionais, como governança de acessos, treinamento e procedimentos de resposta a incidentes. Nenhuma ferramenta isolada resolve o problema.

Nem todos os insiders são iguais, e o risco de insider de cada grupo exige controles diferentes. Equipes de segurança costumam separar três tipos.

O insider malicioso abusa do acesso de propósito, por exemplo para roubar dados de um concorrente, cometer fraude ou sabotar sistemas após um aviso de demissão. O insider negligente causa dano por erro ou desatenção à política, como enviar dados de clientes para uma conta pessoal para trabalhar de casa.

O insider comprometido é um colaborador cujas credenciais foram roubadas ou cujo dispositivo foi dominado por um atacante externo. A atividade parece autorizada, mas parte de uma conta interna, por isso entra no monitoramento de ameaças internas.

Os programas de ameaça interna observam sinais comportamentais que distinguem a atividade nociva do trabalho normal. Entre os indicadores típicos estão:

• Anomalias de acesso a dados: download de muito mais dados do que a função exige, ou abertura de arquivos fora do escopo.
• Padrões de horário e local: atividade em horários ou lugares incomuns, ou pouco antes de um pedido de demissão.
• Uso indevido de canais: grandes envios para nuvem pessoal, impressão em massa ou cópias para USB.
• Violações de política: tentativas repetidas de contornar controles, desativação do monitoramento ou uso de shadow IT.
• Mudanças de comportamento: alterações súbitas no ritmo de trabalho, queda de produtividade ou insatisfação crescente.

As quatro abordagens funcionam juntas. O monitoramento de atividade dos usuários registra o que as pessoas fazem, e a análise de comportamento de usuários e entidades identifica desvios em relação aos padrões normais. O DLP mostra quais dados estão se movendo, e o SIEM relaciona os sinais entre si.

Nenhum indicador isolado confirma uma ameaça. Os programas usam pontuação de risco, que combina sinais ao longo do tempo, para decidir quais casos precisam de investigação humana.

1. 1

   Registrar a atividade

   O monitoramento registra programas iniciados, arquivos abertos, sites visitados e dados transferidos em cada estação de trabalho.

2. 2

   Comparar com o normal

   A análise de comportamento confronta cada ação com o padrão do próprio usuário e com as normas do seu grupo.

3. 3

   Acompanhar os dados

   O DLP mantém os dados sensíveis dentro de canais controlados, qualquer que seja a intenção da transferência.

4. 4

   Conectar os sinais

   O SIEM agrega registros de muitos sistemas, para que eventos relacionados sejam correlacionados e gerem alertas.

O motor de análise de risco do módulo Activity avalia os usuários em oito categorias prontas, entre elas Internal Threat e Data leak. A categoria Internal Threat cobre tanto ações deliberadas quanto não intencionais dos colaboradores.

1 / 2

• 
• 

Um programa maduro, descrito em gestão de risco de insider, é um processo definido, e não apenas um conjunto de ferramentas. Envolve a segurança de TI (monitoramento e detecção), o RH (eventos de pessoal e contexto comportamental), o jurídico (limites de privacidade e de direito do trabalho) e a diretoria (limiares de escalonamento).

Regras claras sobre o que é monitorado, por quê e com base em qual fundamento legal são essenciais para a eficácia e a conformidade. Em muitas jurisdições, o monitoramento de colaboradores é regulado e exige aviso prévio, finalidade legítima e proporcionalidade.

Comece pelas contas e pelos dados cuja má utilização causaria o maior dano, e depois mapeie os canais que eles realmente usam. Políticas escritas para cada arquivo de uma vez bloqueiam o trabalho comum e acabam desligadas.

Um programa de ameaça interna focado pode ampliar o escopo quando os primeiros resultados mostrarem quais sinais importam na prática.

Leitura adicional: Como reconhecer um insider em uma empresa e prevenir suas atividades?; Como um oficial de segurança identifica um insider usando o sistema DLP?.