O que é a deteção e resposta a ameaças (TDR)?

Para abordarem ciberameaças e outros problemas de segurança, muitas organizações configuram um centro de operações de segurança (SOC), que é uma função ou equipa centralizada responsável por melhorar a postura de cibersegurança de uma organização e prevenir, detetar e responder a ameaças. Além de monitorizar e responder a ciberataques contínuos, um SOC também faz um trabalho proativo para identificar ciberameaças emergentes e vulnerabilidades organizacionais. A maioria das equipas de SOC, que podem ser externas ou internas, operam 24 horas por dia, sete dias por semana.

O SOC utiliza informações sobre ameaças e tecnologia para descobrir tentativas de falhas, falhas levadas a cabo ou em curso. Assim que for identificada uma ciberameaça, a equipa de segurança irá utilizar ferramentas de deteção e resposta a ameaças para eliminar ou mitigar o problema.

Normalmente, a deteção e resposta a ameaças inclui as seguintes fases:
 

• Deteção. As ferramentas de segurança que monitorizam pontos finais, identidades, redes, aplicações e clouds contribuem para a existência de riscos e potenciais falhas de segurança. Os profissionais de segurança também utilizam técnicas de investigação cibernética para descobrir ciberameaças sofisticadas que contornam a deteção.
• Investigação. Assim que um risco é identificado, o SOC utiliza IA e outras ferramentas para confirmar que a ciberameaça é real, determinar como aconteceu e avaliar que recursos da empresa são afetados.
• Contenção. Para impedirem a propagação de um ciberataque, as equipas de cibersegurança e as ferramentas automatizadas isolam os dispositivos, identidades e redes infetados dos restantes recursos da organização.
• Erradicação. As equipas eliminam a causa principal de um incidente de segurança com o objetivo de expulsar completamente o ator malicioso do ambiente. Também mitigam vulnerabilidades que possam colocar a organização em risco de um ciberataque semelhante.
• Recuperação. Depois de as equipas estarem razoavelmente confiantes da remoção de uma ciberameaça ou vulnerabilidade, colocam todos os sistemas isolados novamente online.
• Relatório. Dependendo da gravidade do incidente, as equipas de segurança irão documentar e informar os líderes, os executivos e/ou administradores sobre o que aconteceu e como foi resolvido.
• Mitigação de riscos. Para impedirem que uma falha semelhante aconteça novamente e melhorarem respostas futuras, as equipas irão estudar o incidente e identificar as alterações a fazer ao ambiente e aos processos.

A identificação de ciberameaças tornou-se cada vez mais difícil, uma vez que as organizações expandiram a sua pegada na cloud, ligaram mais dispositivos à Internet e transitaram para uma área de trabalho híbrida. Os atores maliciosos aproveitam esta área de superfície alargada e a fragmentação nas ferramentas de segurança com os seguintes tipos de táticas:
 

• Campanhas de phishing. Uma das formas mais comuns de os atores maliciosos infiltrarem uma empresa é ao enviarem e-mails que uma empresa é ao enviar e-mails enganadores que levam os funcionários a transferir código malicioso ou a fornecer as suas credenciais.
• Malware. Muitos ciberataques implementam software concebido para danificar computadores e sistemas ou recolher informações confidenciais.
• Ransomware. Sendo um tipo de malware, os atacantes de ransomware fazem de sistemas e dados críticos reféns, ameaçando divulgar dados privados ou roubar recursos na cloud para minerar bitcoin até que seja paga um resgate. Recentemente, o ransomware operado por humanos, no qual um grupo de ciberatacantes ganha acesso a toda a rede de uma organização, é um problema cada vez maior para as equipas de segurança.
• Ataques denial-of-service (DDoS) distribuído. Ao utilizar uma série de bots, os atores maliciosos perturbam um site ou serviço ao inundá-lo com tráfego.
• Ameaça interna. Nem todos os ciberataques vêm de fora de uma organização. Também existe o risco de pessoas de confiança com acesso a dados confidenciais poderem prejudicar inadvertida ou maliciosamente a organização.
• Ataques baseados em identidade. A maioria das falhas envolve o comprometimento de identidades, ou seja, quando os ciberatacantes roubam ou adivinham credenciais de utilizador e as utilizam para obter acesso aos sistemas e dados de uma organização.
• Ataques de Internet das Coisas (IoT). Os dispositivos IoT também são vulneráveis a ciberataques, especialmente os dispositivos legados que não possuem os mesmos controlos de segurança integrados que os dispositivos modernos.
• Ataques à cadeia de fornecimento. Por vezes, um ator malicioso visa uma organização ao adulterar software ou hardware fornecido por um fornecedor terceiro.
• Injeção de código. Ao explorar vulnerabilidades na forma como o código de origem lida com dados externos, os cibercriminosos injetam código malicioso numa aplicação.

Deteção de ameaças
Para anteciparem o aumento dos ataques de cibersegurança, as organizações utilizam a modelação de ameaças para definir requisitos de segurança, identificar vulnerabilidades e riscos e priorizar a remediação. Com cenários hipotéticos, o SOC tenta entrar na mente dos cibercriminosos para poder melhorar a capacidade da organização de prevenir ou mitigar incidentes de segurança. A estrutura MITRE ATT&CK® é um modelo útil para compreender técnicas e táticas de ciberataque comuns.

A defesa multicamada requer ferramentas que forneçam monitorização contínua em tempo real do ambiente e de potenciais problemas de segurança. As soluções também têm de se sobrepor, para que, se um método de deteção for comprometido, um segundo detete o problema e notifique a equipa de segurança. As soluções de deteção de ciberataques utilizam vários métodos para identificar ameaças, incluindo:
 

• Deteção baseada em assinatura. Muitas soluções de segurança analisam software e tráfego para identificar assinaturas exclusivas associadas a um tipo específico de malware.
• Deteção baseada no comportamento. Para ajudar a capturar ameaças cibernéticas novas e emergentes, as soluções de segurança também procuram ações e comportamentos comuns em ciberataques.
• Deteção baseada em anomalias. A IA e a análise ajudam as equipas a compreender os comportamentos típicos dos utilizadores, dispositivos e software, para que possam identificar algo invulgar que possa indicar uma ciberameaça.

Embora o software seja crítico, as pessoas desempenham um papel igualmente importante na deteção de ciberataques. Para além de triarem e investigarem alertas gerados pelo sistema, os analistas utilizam técnicas de investigação de ciberameaças para procurarem proativamente indicadores de comprometimento, ou investigam táticas, técnicas e procedimentos que sugiram uma potencial ameaça. Estas abordagens ajudam o SOC a descobrir e parar rapidamente ataques sofisticados e de difícil deteção