O que conta como suporte amovível
O suporte amovível é definido pela possibilidade de ser desconectado, e não pela tecnologia. Conta qualquer armazenamento que possa ser retirado de um computador e conectado a outro, sem ferramentas nem privilégios de administrador. O termo está dentro da categoria mais ampla de dispositivo de transferência de dados, mas é mais restrito: não inclui interfaces que movem dados sem um elemento de armazenamento portátil.
Telefones e câmeras também entram nessa categoria quando o sistema os monta como armazenamento. Os tipos mais comuns estão na tabela abaixo.
| Tipo de dispositivo | Onde está o risco | Uso típico |
|---|---|---|
| Pen drive USB | Cabe no bolso, é barato e fácil de esconder | Cópias rápidas entre máquinas |
| HD externo ou SSD | Guarda arquivos grandes e conjuntos inteiros de dados | Backups e transferências em volume |
| Disco óptico | Gravável e invisível para controles de rede | Arquivamento, em queda de uso |
| Cartão de memória | Fácil de esquecer em câmeras e notebooks | Fotos, arquivos e armazenamento de dispositivos |
| Celular ou câmera | Montado como armazenamento via MTP ou PTP | Sincronização e transferência de arquivos |
Vazamentos, malware e perda
Na saída, o suporte amovível é um canal de exfiltração deliberado. Um pen drive gravado em um computador corporativo não gera tráfego de rede que um proxy ou um gateway de e-mail consiga inspecionar, e copia na velocidade total da interface. Por isso ele é o último passo clássico quando um funcionário sai da empresa.
Na entrada, a mesma porta importa riscos. Mídias trazidas de fora, como discos pessoais, mídias de parceiros ou dispositivos de origem desconhecida, podem levar malware para um endpoint. Dispositivos forjados chegam a se passar por teclados ou adaptadores de rede. A porta que exporta dados também importa o que estiver no suporte.
A perda não depende de má intenção. Um dispositivo pequeno que circula todos os dias é facilmente esquecido em um trem ou em uma sala de reunião. Se ele guarda dados sensíveis sem criptografia, a perda é um evento de divulgação, e muitos regimes regulatórios tratam isso como incidente notificável. Apagar arquivos ou formatar não garante a remoção dos dados, então o descarte exige sanitização de mídia ou destruição física.
Como um vazamento por suporte acontece
O agente mais comum é uma ameaça interna, e não um atacante externo, e a sequência é curta:
- 1
Conexão
Um suporte não aprovado é conectado a uma estação de trabalho.
- 2
Cópia
Os arquivos são gravados no suporte em volume, muitas vezes em minutos.
- 3
Saída
O suporte deixa o prédio, fora do alcance de qualquer filtro de rede.
- 4
Uso
O conteúdo chega a um concorrente, a um comprador ou ao público.
Abordagens de controle comparadas
Nenhuma medida isolada cobre todos os casos. O bloqueio de portas, o controle de dispositivos com auditoria e o controle de gravação por conteúdo respondem a perguntas diferentes, por isso funcionam melhor juntos:
| Abordagem | Impede dispositivos não aprovados | Inspeciona o conteúdo dos arquivos | Registra cada gravação |
|---|---|---|---|
| Somente bloqueio de portas | |||
| Lista de dispositivos permitidos com auditoria | |||
| Controle de gravação por conteúdo |
Como isso aparece no Anexet
No controle de USB e de unidades externas, o administrador define regras de dispositivos para cada perfil de agente. A aba Devices and drives ativa a auditoria de uso, a auditoria de operações de arquivos em dispositivos de armazenamento e o controle de gravação por conteúdo, para que cada canal seja ajustado separadamente.
1 / 2
Erros comuns
A maioria dos programas que falham cai nos mesmos poucos erros.
O bloqueio total no primeiro dia é a forma mais rápida de fazer o controle de dispositivos ser desligado.
- Bloquear todas as portas no primeiro dia, e o trabalho de rotina para, levando funcionários a buscar contornos
- Presumir que um suporte é inofensivo porque nunca toca a rede
- Tratar um pen drive perdido como problema de hardware, em vez de vazamento de dados que pode exigir notificação
Por onde começar
Começa-se pelos dados cujo vazamento causaria mais dano e, depois, pelos canais que de fato são usados para tirá-los da empresa. Políticas escritas para todos os arquivos de uma vez acabam bloqueando o trabalho e são desativadas.
O controle de suportes removíveis é uma camada do DLP de endpoints. Os dados também saem por e-mail, upload na web, nuvem e mensageiros, então uma única regra de classificação de dados deve valer para todos os canais.
Leitura adicional: Sistemas DLP — o que são e como funcionam; Como prevenir o acesso não autorizado ao seu computador.
A maior parte dos vazamentos por suporte parece um dia de trabalho comum, uma cópia de cada vez.
Anexet TeamComo a Anexet resolve isto
No Anexet, a mídia removível é regida pelo controle de dispositivos no agente de endpoint, combinado com inspeção de conteúdo para que a aplicação seja precisa em vez de genérica:
Como o produto é implantado on-premise, as cópias capturadas dos arquivos transferidos e os registros das operações de dispositivo permanecem dentro da própria infraestrutura da organização.
O que é tratado como removível
pens USB, discos rígidos externos, unidades óticas e de disquete, e qualquer dispositivo que o sistema operativo identifique como armazenamento amovível, incluindo telemóveis e câmaras ligados como dispositivos multimédia.
Bloqueio e listas de permissões
os dispositivos nas portas USB, COM e LPT são regidos por regras de lista de permissões ou de bloqueio baseadas em parâmetros do dispositivo (tipo, atributo, valor), com políticas separadas para acesso e para escrita.
Interceptação de operações de arquivo
cada escrita em armazenamento externo é auditada com nome do ficheiro, tamanho e o processo que a iniciou, e as cópias sombra dos ficheiros transferidos são capturadas para revisão na consola.
Controle sensível a conteúdo
as escritas em unidades externas podem ser avaliadas por conteúdo: tesauros de segurança, bases de hashes, bibliotecas de impressões digitais e rótulos de sensibilidade. Assim, as transferências legítimas prosseguem e as sensíveis são bloqueadas.
Anexet DLP
Saiba mais