Tecnologia de Decepção

A tecnologia de engano planta ativos, credenciais e dados falsos por toda a rede para atrair invasores e fazê-los se revelar. Qualquer interação com uma isca é, por definição, suspeita, pois usuários legítimos não têm motivo para tocá-la.

As defesas tradicionais tentam manter os invasores do lado de fora. O engano parte do princípio de que alguns conseguirão entrar e transforma o ambiente contra eles:

• As iscas desperdiçam o tempo e o esforço do invasor.
• Todo contato gera um alerta de alta confiabilidade.
• As equipes de defesa aprendem as técnicas do invasor.

Um sistema-isca é um único sistema falso projetado para ser sondado ou atacado. Ele não tem finalidade de produção, portanto qualquer conexão indica reconhecimento ou comprometimento.

Uma rede-isca é uma rede com vários sistemas-isca que imita um ambiente realista, completo com servidores, serviços e tráfego. Ela estuda a movimentação do invasor entre os sistemas, e não apenas um único ponto de contato.

Um dado-isca não é um sistema, mas um dado falso: uma credencial falsa, um registro de banco de dados falso ou uma chave de interface de programação de aplicações monitorada. Se algum dia for usado, você saberá que alguém acessou dados que não deveria ter acessado.

Marcadores canário são gatilhos incorporados: um documento especial, endereço da web ou nome DNS que envia um sinal de retorno quando aberto. Coloque-os em pastas confidenciais; um invasor que navegar pelo compartilhamento acionará o alarme.

A maioria das ferramentas de segurança sobrecarrega as equipes com alertas e falsos positivos. O engano inverte essa situação: quase não há motivo legítimo para interagir com uma isca, portanto seus alertas têm alta fidelidade e merecem investigação.

Depois de obter um ponto de apoio inicial, os invasores se movimentam lateralmente para encontrar alvos valiosos. Iscas colocadas ao longo de caminhos prováveis, como compartilhamentos administrativos falsos e nomes de máquina tentadores, detectam essa movimentação cedo, muitas vezes antes que os ativos reais sejam alcançados.

As iscas devem ser claramente separadas dos sistemas reais para nunca interromper os negócios, mas realistas o suficiente para enganar os invasores. Um bom engano se integra ao ambiente pela nomenclatura e pela localização, enquanto permanece totalmente isolado e monitorado.

O engano gera algumas questões:

• A indução ao crime geralmente não é uma preocupação, pois você está defendendo sua própria rede, mas atrair invasores é uma área cinzenta em algumas jurisdições.
• Nunca use iscas para contra-atacar.
• Documente o programa e envolva a área jurídica.

O engano é uma camada de detecção e inteligência, não um substituto para a prevenção. Combine-o com barreiras de proteção, EDR e monitoramento. Seu ponto forte é detectar invasores que já conseguiram escapar de outros controles.

A tecnologia de engano volta a rede contra os invasores:

• Sistemas-isca são sistemas falsos; redes-isca são redes falsas.
• Dados-isca e marcadores canário são dados falsos que alertam quando acessados.
• A interação com iscas gera alertas de alta fidelidade.
• Use o engano como camada de detecção junto com a prevenção.