TAD amplia defesa das empresas contra ciberataques

[Romildo de Paula Leite]

Novo serviço chega ao mercado com o objetivo de descobrir vulnerabilidades nos ambientes corporativos e apontar aprimoramentos em curto, médio e longo prazo para Empresas de todos os portes. Este serviço nasceu completamente agnóstico de tecnologias ou fabricantes, portanto pode ser realizado em qualquer infraestrutura tecnológica empresarial comercial ou industrial.

Os ataques de ransomware têm se tornado cada dia mais comuns e, com ele, a preocupação das empresas com eventuais vulnerabilidades em seus ambientes. Com as estratégias de segurança sendo implementadas em camadas, é complicado para os gestores definir em que ponto os investimentos feitos em cada uma ficam maiores que os eventuais prejuízos. Para facilitar essa tarefa, muitos têm recorrido ao TAD (Targetted Attack Discovery), ou serviço avançado de descoberta de ataques.

Relativamente novo no mercado, o serviço foi criado para atender demandas imediatas. O head de soluções corporativas da Kaspersky no Brasil, Renato Moura, explica que se trata de um serviço muito sofisticado que vai ao nível do DNA da infraestrutura da empresa, identificando sinais de contaminação. “O resultado final é um ultra diagnóstico de segurança, capaz de apontar se qualquer componente que esteja em rede, ou tenha interação com a internet, está contaminado de alguma forma”, explica.

Segundo o executivo, a criação do serviço é uma resposta ao crescimento dos ataques de ransomware. De acordo com dados da Kaspersky, empresas latino-americanas sofrem, em média, quatro mil ataques de ransomware diariamente. Estes ataques vem sofrendo uma mudança em seu perfil, eles têm caído em volume, mas estão se tornando cada vez mais direcionados e lucrativos, com a criação de ataques específicos para instituições latino-americanas públicas ou privadas.

Um exemplo é o ChileLocker, que recebeu o nome do primeiro país que registrou seus ataques em agosto de 2022. Essa família de ransomware latino tem a capacidade de roubar credenciais salvas em navegadores, mapear servidores e dispositivos na rede para criptografá-los e evitar a detecção do antivírus por meio de uma função que permite o agendamento da execução do ransomware. Até o momento, o ChileLocker foi detectado apenas no Chile e na Colômbia.

Outra característica marcante é a profissionalização dos cibercriminosos, que hoje estão organizados em quatro perfis: os operadores de ransomware, que são grupos locais responsáveis por executar o ataque à vítima; os intermediários (Initial Access Brokers) que também são criminosos com conhecimentos genéricos, mas que têm habilidades de comprometer a segurança das organizações e vendem esses acessos ilegais aos operadores; os afiliados, indivíduos com alto grau de conhecimento técnico em invadir redes corporativas e que podem executar um ataque por completo (sem depender dos perfis anteriores); e os criadores de ransomware, que detém altíssimo conhecimento técnico, mas preferem compartilhar seu conhecimento (como um serviço) em troca de uma porcentagem nos lucros dos ataques bem-sucedidos.

Análise profunda

Diante da crescente organização dos criminosos, e da impossibilidade de acompanhar a evolução dos ataques criados por eles, cabe os gestores conhecer suas vulnerabilidades. “Na prática, ninguém conhece bem todas as vulnerabilidades de sua infraestrutura. Na mesma medida, os inimigos são conhecidos até certo ponto, porque nenhuma empresa dá conta de estar à frente das ameaças. Essa é a dificuldade das empresas: não conhecemos bem nem um, nem outro. O hacking avançou mais que a capacidade das empresas se defenderem porque o orçamento dos atacantes aumentou mais que o das áreas de segurança”, afirma Moura.

Ele lembra que o TAD foi criado para reduzir o que ele chama de desproporção. Na prática trata-se de um trabalho de consultoria a ser executado em um prazo de um a dois meses. A primeira etapa é uma análise prévia da superfície, seguida de uma orientação para que a empresa faça a coleta dos logs que serão analisados para identificação de tudo o que acontece e aconteceu do ponto de vista de vulnerabilidades de segurança ocorridas ou potenciais, identificando rastros de qualquer tipo de ameaça cibernética: comportamentos suspeitos, ligações, atividades relacionadas a funcionários alvo, atividades preparatórias para contaminação via Ransomware, etc.

A primeira análise é realizada pelo sistema especialista da companhia, gerando resultados – muitos deles automatizados – que indicam comportamentos suspeitos que serão analisados por especialistas da empresa. “Temos hackers do bem, com mais de 20 anos de experiência em rede e que fazem parte de uma equipe global. São brasileiros que leem e conhecem as ameaças existentes no Brasil”, explica Moura, lembrando que, caso seja encontrado o rastro de uma ameaça que esteja sendo pesquisada pela Kaspersky em qualquer lugar do mundo, o especialista responsável pela pesquisa será envolvido.

Em média, cada especialista da companhia acompanha 50 grupos diferentes de hackers e os ataques desenvolvidos por eles. Essa pesquisa, que ajuda a entender estas ameaças e criar defesas contra elas, muitas vezes duram meses. Mesmo que alguns indicadores sejam identificados, a vacina não é publicada até que o conjunto completo seja identificado. “As descobertas parciais não são divulgadas, mas se forem encontradas durante o TAD, nós podemos e iremos atuar na defesa de ameaças. Com isso impedimos que uma novíssima ameaça que ainda está sendo investigada venha a causar um problema de segurança para o cliente”, explica.

Ao final, a execução do TAD se divide em seis etapas:

• Análise de inteligência de ameaça – obtém um snapshot da superfície de ataque da empresa, pesquisa Dark/Deep-Web e identifica fraquezas em sua infraestrutura;
• Coleta de dados – coleta de dados em workstations, servidores, rede, firewall;
• Análise de dados – determina os tipos de incidentes encontrados e avalia seu impacto na infraestrutura;
• Rápida resposta a incidentes – traz recomendações preliminares para evitar ataques em vias de serem realizados ou em curso;
• Relatório final – um relatório detalhado com o resultado da análise dos dados, a descrição de todos os ataques encontrados e as recomendações para cada um deles.
• Acompanhamento e orientação para implementação das sugestões de segurança

Deste forma, o relatório final dá à empresa que contratou o serviço um quadro resumo com os incidentes de segurança encontrados. “Geralmente encontramos ameaças sofisticadas, algumas médias e páginas de ameaças de baixo impacto. Para cada uma, identificamos qual o host, qual o usuário da rede, os caminhos do arquivo e demais indicadores, permitindo que o cliente possa remediar imediatamente”, explica, lembrando que, ao final do processo, a empresa saberá se foi invadida, se foi contaminada, se há algum risco que os endpoints não vão detectar e se há risco de incidentes graves de segurança.

Sem citar nomes, Moura conta a experiência de algumas empresas que realizaram o TAD em seus ambientes. Um exemplo é o de uma empresa de engenharia com mais de 5 mil funcionários e uma infraestrutura de TI complexa. Após a análise, foram encontradas infecções por APT (Ameaças Persistentes Avançadas), por backdoors e comprometimentos na infraestrutura de TI da companhia. Em outro caso, uma instituição governamental encontrou infecções de malware, infecções por APT, infraestrutura comprometida e um minerador de criptomoeda instalado em seu servidor. Em uma grande empresa multinacional líder global do seu setor, listada na bolsa de valores, nós identificamos e impedimos que um ataque Ransomware fosse deflagrado.

Mais que identificar potenciais ataques, as vulnerabilidades identificadas pelo serviço permitem que as empresas organizem melhor suas estratégias. “O fato é que esse tipo de diagnóstico faz um bem enorme para as empresas e é recomendado para toda empresa grande. Isso as protege de maneira rápida e indica o que deve ser feito, permitindo que elas pensem suas estratégias com base no status de sua infraestrutura”, afirma.

Moura lembra que o serviço foi criado pela Kaspersky há dois anos e que é recomendável que ele seja executado anualmente, dando tempo para que as empresas possam colocar as orientações em prática. Ele é especialmente indicado para empresas em processos de aquisição, grandes corporações e, claro, empresas que tenham suspeitas de ameaças ou que queiram dormir tranquilas sabendo que sua infraestrutura está livre de contaminações.

“Temos um pacote em que o serviço pode ser contratado por três anos, incluindo aí serviços de consultoria para a correção das ameaças encontradas”, explica, lembrando que os especialistas da Kaspersky também fazem o acompanhamento das correções realizadas pelos times internos dos clientes.

“Este serviço existe para que as Empresas não sejam vítimas de um incidente de segurança grave, não se vejam refém nem de atacantes, e nem das suas inúmeras consequências que perduram por anos. É como um bom check-up anual de saúde, tem que fazer.”

Quer saber mais sobre o serviço avançado de descoberta de ataques da Kaspersky? Clique aqui e o conheça em detalhes.

Brandpost por: Kaspersky

https://itforum.com.br/posts/brandspaces/tad-amplia-defesa-das-empr...

Para participar de nossa Rede Têxtil e do Vestuário - CLIQUE AQUI