Por Vinicios Amaral, Cyber Security Analyst
Na coluna Palavra do Especialista, profissionais de diferentes áreas da idwall compartilham sua expertise.
A idwall está crescendo rápido, muito rápido. Dobramos de tamanho em apenas alguns meses! Este crescimento se concretiza com o aumento do volume de dados que trazemos para nossos sistemas, número de clientes e usuários internos.
Como sou um profissional de segurança, observo que os vetores de ataques, exposição e ameaças também aumentaram. Por alguma razão, toda vez que penso na suposição e na eminência de sofrermos um ataque cibernético eu lembro do vídeo do “Ó o bicho vindo, muleque”, onde o sujeito joga Dead Space 2 e se desespera quando os alienígenas aparecem de repente.
Neste post gostaria de falar sobre uma das formas que estamos trabalhando para nos proteger dos “bichos” digitais.
O que você vai conferir:
Como protegemos nosso ecossistema de ameaças
A missão do time de segurança da informação é manter o ambiente de nossos produtos seguro, para que, de forma constante e ininterrupta, possamos estabelecer relações de confiança com nossos clientes. Isto, de forma prática traduzida para o time de especialistas da idwall, envolve analisar bilhões de registros e logs em busca por anomalias, desvios e comportamentos que possam colocar em risco nossos sistemas.
Os riscos, claro, podem ser desde um ataque DDOS, ou a subtração não autorizada de dados que consideramos confidenciais e sensíveis. Esta análise é feita por meio de algumas ferramentas que em conjunto chamamos de SIEM.
O que é o SIEM?
Security Information and Event Management é o significado da sigla SIEM ou no português seria o Gerenciamento e Correlação de Eventos de Segurança. Esse é o nome dado a ferramentas que reúnem logs de sistemas operacionais, sistemas de segurança, plataformas em nuvem, APIs, entre muitos outros.
Ao reunir esses logs, a ferramenta tem a capacidade de organizá-los de maneira inteligente para que as análises dos mesmo possam ser feitas automaticamente ou manualmente por um analista. Procurar por evidências de ataque nos registros e logs manualmente é muito demorado e ineficiente, dessa forma o SIEM se tornou uma ferramenta de valor inestimado, utilizada por organizações de quase todos os tamanhos e que procuram um ambiente seguro.
Este tipo de acessório oferece os benefícios de se ter identificação aprimorada dos logs e um tempo de resposta rápida por meio da agregação e normalização de dados. Adicionalmente os SIEMs modernos possuem capacidade de auxiliar na correlação de eventos, uso de machine learning e auxiliar na busca por anomalias.
As ferramentas SIEM têm diversas funcionalidades para auxiliar na resposta a incidentes de segurança e quando usadas eficientemente podem preveni-los.
Tudo o que é feito dentro dos sistemas da idwall gera um log e o mesmo passa a ser monitorado e analisado. Os logs enviados podem conter informações sobre:
- tentativas de acessos sem as devidas credenciais;
- ataques por meio do envio de scripts;
- downloads de arquivos por pessoas não autorizadas;
- upload de arquivos maliciosos;
- previsão e detecção de anomalias relacionadas a APT (Advanced Persistent Threat)
- e muito mais.
Devido às funcionalidades de detecção de ameaças, monitoramento, auditoria e conformidade, o tempo de resposta a qualquer um desses incidentes pode ser muito mais rápido e efetivo. Assim, é possível evitar que dados sejam vazados, que sistemas sejam sequestrados e evitar outros tipos de problemas que possam diminuir nossa capacidade de fazer negócios.
Além de alertas, detecção, monitoramento, visibilidade através de dashboards, também é possível gerar relatórios para análises de novas ameaças, identificar vulnerabilidades dentro de um sistema, prever ataques futuros e garantir que configurações foram feitas de maneira correta. As funcionalidades são diversas e podem ser exploradas de muitas maneiras.
Sabendo que todos os logs podem ser enviados para o SIEM, analisados, normalizados e processados pela ferramenta para detectar comportamentos anormais ou possíveis ataques cibernéticos, estes registros têm pouco valor se não forem utilizados.
Logo, todas estas maravilhas só são utilizadas em sua capacidade máxima se tivermos uma equipe treinada, forte e independente. Analistas de segurança da idwall devem ser criativos e antenados sobre as formas mais recentes de ataques para poder preveni-los.
Observabilidade é crucial
O termo observabilidade tem sido utilizado dentro da TI há algum tempo, mas o que exatamente é ele? Esse termo se originou da teoria de controle, que mede o quão bem é possível entender os estados internos de um sistema a partir de suas saídas, no caso do SIEM essas saídas são os logs ou registros gerados.
Isso nos leva a entender que a observabilidade é um superconjunto de monitoramento, ou seja, se um sistema é observável, ele pode ser monitorado. Para a Idwall, todo o seu ambiente pode e deve ser observado. A capacidade de observação oferecida por um SIEM vai muito além de um simples monitoramento. Com a complexidade de micro serviços e ambientes em nuvem, como é o da Idwall, o uso da observabilidade garante uma compreensão melhor de todo o ecossistema, corrigindo problemas mais rapidamente.
Em um ambiente onde se aplica a observabilidade é possível ir dos efeitos à causa. Por fim, ela nos diz o quê, onde e por quê. Ataques de phishing e ransomware, por exemplo, podem ser rapidamente identificados e isolados quando se tem uma equipe vigilante e sistemas que geram os alertas de forma clara e inequívoca.
Nas últimas semanas vimos uma empresa gigante do ramo de análises médicas ser vítima de uma ataque que a deixou inoperante por alguns dias. Notícias como estas fazem com que o nosso senso de “awareness” ou vigilância seja aumentado de modo a reforçar os controles, comunicação e dispositivos de segurança para que algo similar não aconteça conosco.
Ó os bicho vindo, muleque
Eu provavelmente lembrei do vídeo do “bicho vindo, muleque” porque é uma demonstração clara da falta de preparo do rapaz em face aos desafios do jogo. Felizmente, ferramentas como SIEM, usadas por profissionais capacitados, podem auxiliar na defesa contra ameaças e prevenção de ataques.
A idwall investe boa parte de seu faturamento em ferramentas, soluções, tecnologias e pessoas. Estes investimentos produzem bons resultados ao nos tornarmos mais confiáveis e seguros para prover serviços aos nossos clientes. Venha fazer parte deste time – temos vagas :)
