Indicadores de Ameaças Internas

Um alerta de segurança clássico é um evento: o firewall bloqueou uma conexão, um login falhou cinco vezes ou um arquivo malicioso foi colocado em quarentena. O evento é claro e autossuficiente.

As ameaças internas raramente produzem eventos tão nítidos. Deixam um rastro de ações que, isoladamente, são legítimas. Um funcionário que esta semana baixa 50% mais arquivos do que o habitual, acessa um projeto fora do seu departamento e envia dados para uma conta pessoal na nuvem às 23h não dispara nenhum alerta isolado. Juntos, porém, esses indicadores são significativos.

Por isso os programas de ameaças internas trabalham com indicadores, sinais comportamentais que compõem um quadro de risco, e não com eventos isolados. O trabalho analítico consiste em combinar indicadores e acompanhar a sua escalada ao longo do tempo.

Os indicadores se dividem em cinco grupos. Outros sinais são a atividade em torno de demissões ou reorganizações, as violações de política que se agravam com o tempo e as dificuldades financeiras.

As regras que disparam com um único indicador, como «alertar quando qualquer usuário enviar algo para a nuvem», geram uma avalanche de falsos positivos. Numa organização grande, acontecem todos os dias milhares de envios legítimos para a nuvem. Tratar cada um como alerta dessensibiliza os analistas e faz com que as ameaças reais se percam no ruído.

Os programas maduros usam os indicadores como dados de entrada da pontuação de risco, e não como alertas autônomos. Isso reduz os falsos positivos, concentra a atenção dos analistas e protege a privacidade dos funcionários ao evitar uma vigilância sem direção.

Nenhum indicador isolado confirma uma ameaça. Um programador que fica até tarde para concluir um projeto, um comercial que envia uma proposta para o e-mail pessoal a fim de trabalhar no fim de semana ou um administrador de TI que acessa os servidores à noite para manutenção realizam atividades legítimas que também podem corresponder a padrões de indicadores.

A pontuação de risco combina vários indicadores para separar o sinal do ruído. O resultado é uma pontuação de risco priorizada por usuário, não um alerta binário. Os analistas examinam primeiro os casos de pontuação mais alta, para estabelecer contexto e intenção, e só depois decidem a resposta.

1. 1

   Frequência e escalada

   Um indicador isolado é de risco baixo; repetido e crescente, pesa mais

2. 2

   Combinação

   Fraco isoladamente, forte quando vários ocorrem juntos

3. 3

   Desvio da linha de base

   Normal para um usuário pode ser anormal para outro

4. 4

   Peso do contexto

   Ganha peso com saída, mudança de função ou medida disciplinar

Os indicadores sugerem risco; os fatos comprovados demonstram dano. Um programa maduro usa os indicadores para priorizar investigações e, ao longo delas, reúne constatações verificadas antes de agir. Agir apenas com base em indicadores leva a acusações infundadas, e esperar por fatos comprovados sem acompanhar os indicadores significa detectar as ameaças somente depois do dano.

• Os indicadores são padrões de conduta que justificam uma apuração. São probabilísticos: um indicador não prova que exista uma ameaça.
• Os fatos comprovados são atividade verificada que demonstra uma violação efetiva da política ou um dano, como uma exfiltração confirmada, um acesso não autorizado documentado ou uma fraude demonstrada.

O motor de análise de risco da Anexet atribui uma pontuação a cada usuário em categorias de risco predefinidas. O gestor de categorias abaixo mostra essas categorias com os níveis de risco padrão.

Comece pelos sinais de detecção de ameaças internas que afetam os dados cujo vazamento causaria mais dano, e depois acrescente canais e comportamentos, um grupo por vez.

Uma lista curta de sinais bem calibrados é mais fácil de revisar do que uma lista longa de alertas que ninguém lê.

Leitura adicional: Como um oficial de segurança identifica um insider usando o sistema DLP?; Como reconhecer um insider em uma empresa e prevenir suas atividades?.