Menos privilégios, mais segurança
No cenário atual de segurança cibernética, há uma busca constante pela segurança perfeita, pela “bala de prata” que resolve todos os problemas. Entretanto, em cibersegurança não existe uma solução única para todas as necessidades. A melhor estratégia defensiva é pensar como um atacante, conforme o ditado: “O ataque é a melhor defesa”. CEOs, CTOs e CISOs estão sempre à procura de soluções que ofereçam o melhor ROI, TCO e desempenho técnico.
Ao contratar soluções como EDR (Endpoint Detection and Response), muitos ganhos são alcançados. No entanto, ao discutir o princípio de segurança, devemos prestar atenção especial ao conceito de “privilégio”. Este é um ponto crítico para os atacantes, e sem as devidas proteções, soluções como EDR podem não ser suficientes.
Como os Privilégios Facilitam os Ataques
Em um ciclo de ataque típico, o invasor compromete o endpoint de um colaborador comum, que muitas vezes tem o status de administrador local. Este colaborador pode não estar adequadamente protegido, permitindo que o cracker escale privilégios e mova-se lateralmente pela rede, ganhando mais poder para prosseguir com o ataque.
Para alcançar a tranquilidade desejada pelos executivos, é necessário adotar uma abordagem complementar que envolva o gerenciamento adequado de privilégios.
Microsoft Blocked: Um Caso Recente de Malware
Recentemente no Reddit, muitos usuários da plataforma começaram a relatar que se depararam com a tela do Windows travada, contendo o texto “Microsoft Blocked” entre o avatar e o campo de texto para senhas.
A verdade é que estamos falando de um Malware, um software malicioso que tem o objetivo de atacar a conta pessoal daquele computador e para isso a remove totalmente.
Obviamente que, a vítima não acordou e simplesmente estava com o computador criptografado, visto que se trata de um Ransomware, mas sim havia sido infectada ou permitido o ataque por meio de algum vetor. Quando falamos de Segurança Cibernética, devemos lembrar que os atacantes estão cada vez mais rápidos e cometendo menos erros, com o advento da IA e motores que a modificam para o uso de hacking/cracking.
Portas de Entrada para Malware
- Browser/Navegador
- Scareware (Software malicioso que exibe mensagens falsas de segurança, assustando o usuário para instalar programas inúteis ou pague por soluções inexistentes.)
- Adware (Programa que exibe anúncios indesejados (geralmente em excesso) no dispositivo do usuário, muitas vezes comprometendo a experiência ou a privacidade.)
- Pop-up scam (Golpe que utiliza janelas pop-up para enganar usuários, geralmente com mensagens alarmantes ou ofertas fraudulentas, incentivando cliques que podem levar a malware ou roubo de informações.)
E ao obter acesso por algum dos vetores acima, considerando que o atacante tem o privilégio de um administrador local, nada o impedirá de desabilitar drivers, alterar chaves, registros e outros componentes que soluções como EDR monitoram, o exemplo vale para qualquer controle de segurança que mediante um privilégio pode ser desabilitado.
Números e estatísticas
Comprometimento de Contas Privilegiadas
Cerca de 34% das violações relacionadas à identidade envolvem o comprometimento de contas de usuários privilegiados. Essas contas, que oferecem acesso de alto nível a sistemas críticos, são frequentemente o alvo principal dos atacantes.
63% dos tomadores de decisão de segurança reconhecem que o acesso de alta sensibilidade, especialmente para administradores de TI, não está suficientemente protegido.
Crescimento das Ameaças e Técnicas de Ataque
Houve um aumento de 95% na exploração de ambientes em nuvem em 2022, destacando a crescente sofisticação dos invasores que buscam movimentação lateral e escalonamento de privilégios nos ambientes em nuvem.
A Microsoft relata o bloqueio de 1.000 ataques de senha por segundo, o que evidencia a escala massiva de ataques direcionados a identidades, principalmente de usuários sem autenticação multifator (MFA).
Consequências das Violações
O custo médio de uma violação de dados relacionada ao comprometimento de identidade ou acesso foi de US$ 4,45 milhões em 2023, com credenciais roubadas ou comprometidas contribuindo significativamente para esses custos.
Diante desses achados, é crucial que as organizações implementem modelos de acesso com privilégio mínimo, fortaleçam a gestão de acessos privilegiados a endpoints e entendam que pensar como um atacante é a chave para o sucesso da segurança e resiliência cibernética.
Qual a solução?
A solução é adotar uma abordagem específica que proporciona o privilégio mínimo, controle de aplicações, elevação de privilégio e combate ao ransomware.
Além disso, devemos adotar uma postura crítica e pensar sempre como um atacante para podermos entender lógicas de ataques e possíveis vetores frágeis que temos dentro de nossa empresa, levando o pensamento proativo como base.
Fortalecendo os controles de segurança que já temos como EDR, DLP com camadas extras de segurança para cada etapa de uma cadeia de ataque.
É hora de considerar a Segurança dos Privilégios de Endpoint, Servidores e aplicações com CyberArk EPM.
CyberArk EPM (Endpoint Privilege Management)
O gerenciamento de privilégios é uma peça fundamental na construção de uma postura de segurança robusta, e o CyberArk EPM é uma ferramenta poderosa para atingir esse objetivo. Ao implementar o princípio do privilégio mínimo com eficiência, a solução ajuda as organizações a reduzirem riscos, garantirem conformidade e protegerem seus endpoints contra uma gama cada vez maior de ameaças. Em um mundo onde menos privilégios significam mais segurança, o CyberArk EPM oferece o equilíbrio perfeito entre proteção, usabilidade e produtividade.
O princípio do privilégio mínimo envolve conceder aos usuários e sistemas apenas as permissões estritamente necessárias para executar suas funções. Isso significa que, por padrão, nenhum usuário deve ter permissões administrativas plenas ou acessar recursos críticos, a menos que isso seja absolutamente necessário. Ao restringir esses privilégios, a organização limita o impacto que um atacante poderia causar caso conseguisse comprometer uma conta ou um endpoint.
No entanto, gerenciar permissões de forma eficaz pode ser desafiador, especialmente em grandes ambientes corporativos com centenas ou milhares de endpoints. É aqui que o CyberArk EPM entra em cena.
As ameaças cibernéticas atuais evoluem constantemente, e muitas vezes exploram falhas em permissões mal gerenciadas. Sem o gerenciamento adequado de privilégios, ataques como ransomware e malware podem ter um impacto devastador, se aproveitando de contas com privilégios elevados para se espalharem rapidamente pela rede.
O CyberArk EPM age como uma barreira eficaz contra esses tipos de ataques, impedindo que contas de usuários comuns se tornem pontos de entrada para invasores. Observe que quando nos referimos a “Endpoints”, queremos dizer igualmente estações de trabalho e servidores, e virtual, no local ou em uma nuvem pública. Com políticas inteligentes e monitoramento contínuo, a solução consegue detectar e bloquear tentativas de elevação de privilégios, tornando os endpoints mais resilientes contra ameaças.
Como o EPM pode proteger sua empresa do Microsoft Blocked e outros diversos ataques?
Pensando no cenário do Malware acima, o CyberArk Endpoint Privilege Manager (EPM) pode fornecer proteção contra o cenário descrito com uma abordagem de privilégios mínimos e gerenciamento de aplicações.
As principais formas pelas quais o EPM pode ajudar
Redução de Privilégios: O EPM remove privilégios de administrador local dos usuários, evitando que malwares (como ransomware) ganhem acesso completo ao sistema. Mesmo que o malware comprometa o dispositivo, ele não terá permissões suficientes para fazer alterações críticas no sistema, como desabilitar drivers ou modificar chaves de registro.
Controle de Aplicações: O EPM pode aplicar políticas de controle de aplicativos, bloqueando a execução de software não autorizado. Isso inclui a capacidade de bloquear adware, scareware e pop-up scams, prevenindo que essas ameaças sejam instaladas e executadas no endpoint.
Elevação Just-in-Time: Se um processo legítimo precisar de privilégios administrativos, o EPM pode fornecer elevação just-in-time e controlada, garantindo que apenas os processos aprovados tenham permissões temporárias e apenas para tarefas específicas.
Isolamento de Scripts Maliciosos: O EPM monitora e bloqueia a execução de scripts maliciosos e atividades automatizadas que podem tentar modificar o sistema de forma silenciosa, como ransomware que tenta criptografar o dispositivo ou modificar o login.
Auditoria e Visibilidade: O EPM registra todas as tentativas de elevação e execução de aplicativos, o que permite monitorar comportamentos suspeitos antes que eles se transformem em incidentes graves.
Criação de HoneyPots para entender comportamentos, estratégias de atacantes em ambiente seguro e controlado. Para que, fossem posteriormente aplicadas camadas de segurança conforme o aprendizado obtido.
Em resumo, o CyberArk EPM impede que o malware atinja a capacidade de fazer mudanças críticas no sistema ao limitar os privilégios do usuário e aplicar controle estrito sobre o que pode ser executado no endpoint, tornando mais difícil para o atacante comprometer o sistema completamente.
Asper e CyberArk: A Parceria para Identidades Seguras
A Asper junto da CyberArk, acreditam veementemente no tema de Identidades seguras e em diversos níveis, um desses níveis é a segurança de privilégios de endpoint que surge para proporcionar e reforçar a segurança sobre o que um usuário pode e não pode fazer após receber acesso privilegiado ou não para um ponto final.
As unidades de Cyber Fusion Unit (CFU) Asper desempenham um papel crucial ao integrar e fortalecer o uso do CyberArk Endpoint Privilege Manager (EPM) em uma estratégia de segurança cibernética.
A CFU, que centraliza a coleta e análise de dados de segurança em tempo real, pode complementar o CyberArk EPM fornecendo uma visibilidade aprimorada sobre ameaças emergentes que tentam explorar privilégios elevados nos endpoints.
Essa unidade pode monitorar anomalias, identificar tentativas de escalonamento de privilégios e compartilhar informações de inteligência entre diferentes equipes de segurança, permitindo uma resposta rápida e coordenada contra ataques que visam a exploração de identidades e privilégios. Assim, a combinação do EPM com uma CFU oferece uma abordagem mais integrada para aplicar o princípio de privilégio mínimo, prevenindo ataques sofisticados e melhorando a defesa contra movimentações laterais na rede.
Unindo o poder da ferramenta CyberArk EPM a expertise técnica do CFU da Asper, temos entregáveis extremamente relevantes como reduzir o tempo de conhecimento de um ataque – MTTK (Mean Time to Know) e aceleram o MTTR( Mean Time to Resolve), mantendo assim a tríade CID viva e operante além do nome e marca da empresa estarem resguardados de ataques cibernéticos oriundos de acessos não autorizados mediante privilégios.
