Detecção e indicadores iniciais

Os operadores de ransomware passam horas ou dias dentro de uma rede antes de criptografar. Esse tempo de permanência é a sua janela de detecção. Detectar a invasão durante o reconhecimento ou a movimentação lateral permite contê-la antes que qualquer arquivo seja bloqueado.

A detecção se concentra no comportamento, não apenas em assinaturas, porque os invasores abusam de ferramentas legítimas para permanecer discretos.

Os primeiros indicadores geralmente aparecem no perímetro e na camada de identidade:

• Autenticações bem-sucedidas a partir de localizações geográficas incomuns ou deslocamentos impossíveis
• Um aumento nas tentativas malsucedidas de RDP ou VPN, indicando força bruta
• Novas conexões externas a partir de servidores expostos à internet
• Um usuário relatando uma mensagem fraudulenta depois de clicar nela

Correlacionar os registros de identidade com os dados de rede revela esses sinais antes que o invasor se estabeleça.

Depois de entrar, os invasores mapeiam o ambiente. Essa atividade de descoberta deixa muitos rastros quando é monitorada.

Espalhar-se entre máquinas deixa rastros característicos:

• Uso de ferramentas de execução remota em muitas máquinas durante um curto período
• Contas privilegiadas se autenticando em máquinas com as quais normalmente nunca interagem
• Criação de novos serviços ou tarefas agendadas em vários dispositivos finais
• Padrões incomuns de acesso ao SMB ou a compartilhamentos administrativos

Uma única conta que de repente se autentica em dezenas de máquinas é um sinal forte para investigação imediata.

Antes de criptografar, os operadores tentam cegar suas defesas. As tentativas de desativar ferramentas de segurança são alertas altamente confiáveis.

• Interromper ou desinstalar serviços do EDR ou antivírus
• Desativar o registro ou limpar os registros de eventos
• Modificar a política de segurança ou adicionar exceções

Ative a proteção contra adulteração e gere um alerta para qualquer tentativa de desativar as defesas; administradores legítimos raramente fazem isso em massa.

Destruir as opções de recuperação é uma etapa quase universal antes da criptografia e um excelente gatilho de detecção em estágio avançado.

Grupos de dupla extorsão roubam dados antes de criptografá-los. Monitore o tráfego de saída para detectar preparação e transferência.

• Grandes transferências de saída para armazenamento em nuvem ou endereços IP desconhecidos
• Ferramentas de arquivamento comprimindo grandes conjuntos de dados de forma inesperada
• Novo uso de utilitários de transferência de arquivos a partir de servidores
• Picos de largura de banda de saída fora do horário de expediente

O monitoramento de saída e o DLP podem detectar a fase de roubo mesmo que as etapas anteriores não tenham sido identificadas.

A decepção oferece detecção barata e com alto poder de sinalização. Plante iscas que nenhum usuário legítimo jamais deveria acessar.

• Arquivos-canário em diretórios que geram alertas quando acessados ou modificados
• Credenciais de tokens-isca que disparam um alarme se forem usadas
• Compartilhamentos falsos de alto valor monitorados quanto a qualquer interação

Quando o software de extorsão criptografa arquivos em massa, ele atinge os arquivos-canário primeiro, fornecendo um alerta imediato e com pouco ruído.

A própria fase de criptografia deixa uma marca reconhecível que o EDR e o monitoramento de arquivos podem identificar em segundos.

• Um processo lendo e reescrevendo rapidamente muitos arquivos
• Renomeações de arquivos em massa ou surgimento de novas extensões uniformes
• Aumento repentino da entropia dos arquivos (os dados criptografados parecem aleatórios)
• Arquivos de notas de resgate surgindo em vários diretórios

A resposta automatizada pode isolar o sistema no momento em que esse padrão começa, limitando a quantidade de arquivos perdidos.

Os indicadores só ajudam se forem coletados e correlacionados. Centralize a telemetria para que sinais isolados formem um quadro claro.

• Envie os registros de dispositivos, identidade, rede e cópias de segurança para um SIEM
• Crie detecções para os comportamentos acima e reduza os falsos positivos
• Associe os alertas às fases do ataque (MITRE ATT&CK) para dar contexto
• Garanta que os registros sejam resistentes à adulteração, para que os invasores não possam apagar seus rastros

A detecção só é valiosa se desencadear uma resposta rápida. Prepare-se com antecedência:

• Defina quais alertas justificam o isolamento automático do sistema
• Estabeleça caminhos claros de escalonamento e cobertura de plantão
• Faça simulações para que os responsáveis respondam em minutos, não em horas

Quanto mais cedo na cadeia você detectar o ataque, mais conseguirá contê-lo. A próxima lição aborda o que fazer quando um ataque for confirmado.

Você aprendeu a identificar um ataque durante seu período de permanência.

• A detecção busca o comportamento: logins incomuns, reconhecimento de AD e movimentação lateral
• A adulteração das defesas e a exclusão de cópias de sombra são gatilhos de detecção altamente confiáveis
• Monitore o tráfego de saída para detectar exfiltração; plante arquivos-canário e tokens-isca
• A detecção comportamental de criptografia (entropia, renomeações em massa) permite o isolamento automático
• Centralize tudo em um SIEM, com registros resistentes à adulteração e um caminho rápido do alerta à ação

Próximo tema: responder a um ataque confirmado e recuperar-se dele.