Segurança da Informação

Os Security Operations Centers (SOC) desempenham um papel crucial na defesa das organizações contra ameaças cibernéticas. Para executar suas operações de forma eficaz, os SOCs utilizam diversas ferramentas que monitoram, detectam e respondem a incidentes de segurança. No entanto, o que deveria ser uma vantagem tecnológica pode, frequentemente, se transformar em uma sobrecarga. A proliferação de ferramentas no SOC tem gerado desafios significativos para as equipes de segurança, resultando em queixas relacionadas à complexidade operacional, falta de integração e "fadiga de alertas".

O uso excessivo de ferramentas não apenas compromete a eficiência, mas também afeta a capacidade de resposta a incidentes críticos. Este artigo explora as queixas mais comuns dos profissionais de segurança sobre a multiplicidade de ferramentas em seus ambientes de trabalho e sugere soluções para mitigar esses desafios.

Uma queixa comum em muitos Security Operations Centers (SOC) é a sobrecarga de ferramentas, o que pode gerar desafios operacionais e impacto na eficiência da equipe. Com diversas ferramentas de segurança, analistas precisam aprender e dominar múltiplas interfaces, o que pode aumentar a complexidade do trabalho diário. Pode resultar em uma curva de aprendizado mais longa, maior chance de erros, e dificuldade em gerenciar todas as ferramentas de forma eficaz. Muitas vezes, as ferramentas não se integram bem umas com as outras, resultando em silos de informações. Isso exige que os analistas alternem entre diferentes plataformas para obter uma visão completa das ameaças, com a falta de integração pode atrasar a detecção e a resposta a incidentes, reduzindo a eficácia da equipe SOC.

Conforme pesquisa da CISO Advisor, as equipes que trabalham em SOCs não estão satisfeitas com as ferramentas atuais de segurança cibernética, segundo estudo publicado pela Vectra: os especialistas observam que o grande número de soluções e a falta de indicadores precisos de comprometimento dificultam a detecção eficaz e a priorização de ameaças reais. Foram entrevistados 2.000 profissionais envolvidos em segurança cibernética ou que influenciam decisões sobre segurança cibernética, em organizações na América do Norte (500), Europa (850), Ásia-Pacífico (400) e Oriente Médio (250).

Com várias ferramentas gerando alertas, muitas vezes em volume excessivo, os analistas podem se sentir sobrecarregados, o que pode levar à "fadiga de alertas" e à possível negligência de alertas críticos. A sobrecarga de alertas diminui a capacidade dos analistas de priorizar e investigar os eventos mais importantes, aumentando o risco de ignorar incidentes graves. Cada ferramenta adiciona um custo em termos de licenciamento, manutenção, treinamento e infraestrutura.

Havendo redundância funcional entre as ferramentas afeta o orçamento da equipe SOC e da organização como um todo, sem garantir um retorno proporcional em eficiência ou segurança. Com múltiplas ferramentas, pode ser complicado consolidar relatórios abrangentes e gerar insights holísticos sobre o estado da segurança da empresa. Isso pode prejudicar a tomada de decisão estratégica, especialmente ao tentar avaliar o panorama geral de ameaças e vulnerabilidades. Avaliar a necessidade de cada ferramenta e tentar consolidar soluções que tenham funcionalidades semelhantes. O uso de plataformas unificadas pode reduzir a complexidade e os custos.

Podemos citar como exemplo as soluções de SIEM (como Splunk ou QRadar) podem agregar diferentes funções, como detecção de intrusões, monitoramento de logs e auxiliar na resposta a incidentes. Investimentos em soluções (ferramentas) que possibilitem integração, como plataformas de SOAR (Security Orchestration, Automation, and Response), que automatizam tarefas repetitivas e integram diferentes ferramentas, como exemplo o uso de uma solução como Cortex XSOAR pode permitir a automação de respostas a incidentes e integração com várias ferramentas, melhorando a coordenação. Um SIEM bem implementado pode centralizar os dados e alertas de diferentes fontes de segurança. Assim, ao invés de usar diversas interfaces, os analistas podem usar o SIEM como ponto central de monitoramento.

Oferecer treinamentos regulares para os analistas dominarem as ferramentas mais críticas. Estabeleça processos claros sobre quando e como usar cada ferramenta, garantindo uma abordagem estruturada. Configurar as soluções (ferramentas) para priorizar e correlacionar os alertas de maior risco. Isso ajuda a reduzir a "fadiga de alertas" e garante que os eventos críticos recebam atenção imediata. Múltiplas ferramentas no SOC podem causar complexidade, fadiga e ineficiência. Ao consolidar, integrar e automatizar processos, é possível reduzir essas queixas e tornar o ambiente de operações mais fluido e eficaz.

Negociar com cibercriminosos não é recomendado por uma série de razões, tanto práticas quanto éticas. Primeiro, ao pagar ou negociar com criminosos, as organizações estão financiando atividades ilícitas, o que incentiva a continuidade e o aumento desse tipo de crime. Além disso, não há garantias de que os cibercriminosos cumprirão com suas promessas após o pagamento, como restaurar o acesso aos dados ou interromper a divulgação de informações sensíveis.

Outro fator crucial é que, ao demonstrar disposição para pagar, a organização pode se tornar um alvo recorrente para novos ataques. Isso pode levar a uma espiral de extorsões futuras, não apenas pela mesma entidade criminosa, mas também por outros grupos que possam descobrir essa vulnerabilidade.

Do ponto de vista legal, em muitos países, o pagamento de resgates pode violar leis locais ou internacionais, especialmente se os fundos forem canalizados para organizações terroristas ou outras entidades sancionadas. Por fim, confiar em criminosos para resolver uma crise de segurança cibernética demonstra uma fragilidade nos processos de gerenciamento de incidentes e pode comprometer a reputação da empresa, afetando negativamente a confiança de clientes, parceiros e investidores.

"Segundo o artigo da CISO Advisor – “Investigações da Operação Kronos revelou ainda que o LockBit mantinha dados roubados mesmo após o pagamento de resgates, desmascarando a falsa promessa de exclusão de informações. A análise do código-fonte do grupo mostrou que apenas um administrador específico poderia remover os dados manualmente, e as vítimas raramente tinham garantias de que suas informações seriam destruídas, confirmando os riscos de negociar com cibercriminosos”.

O maior motivador para as empresas pagarem cibercriminosos em ataques de ransomware é a pressão para restaurar rapidamente o acesso aos seus sistemas e dados críticos, minimizando o impacto operacional e financeiro. O tempo de inatividade causado pelo ransomware pode resultar em enormes perdas financeiras, interrupções nos serviços, impacto na produção e até danos à reputação da empresa.

Quando uma organização não tem backups atualizados ou não consegue restaurar rapidamente seus sistemas, a tentação de pagar o resgate aumenta, já que essa pode parecer a solução mais rápida para voltar à normalidade.

Sem dúvidas as empresas que prestam serviços essenciais podem sentir a pressão externa de clientes e parceiros, levando-as a buscar uma solução rápida para evitar danos a essas relações. Sem um plano de resposta a incidentes cibernéticos eficaz muitas vezes se encontram despreparadas para lidar com um ataque, e pagar o resgate pode parecer a única saída para mitigar os danos rapidamente. Com o aumento das técnicas de "double extortion" (extorsão dupla), onde os atacantes não apenas bloqueiam os sistemas, mas também ameaçam divulgar ou vender dados roubados, as empresas podem ser pressionadas a pagar para evitar violações de dados e multas regulatórias. Esses fatores fazem com que muitas empresas optem por pagar o resgate, mesmo sabendo que isso não garante a recuperação dos dados ou a proteção contra futuros ataques.

Em vez de negociar, as empresas devem investir em medidas preventivas robustas, como backups frequentes, soluções de segurança avançadas e um plano de resposta a incidentes bem estruturado.

O foco deve estar em mitigar o impacto do ataque e restaurar as operações de forma independente, sem depender de cibercriminosos.

Por tanto o pagamento de um resgate em um ataque de ransomware pode parecer uma solução imediata para restaurar sistemas e dados, mas essa escolha traz consequências sérias e duradouras para a organização. Ao pagar, a empresa incentiva atividades criminosas, aumentando a probabilidade de futuros ataques, não apenas contra ela, mas contra outras organizações. Além disso, não há garantias de que os dados serão totalmente recuperados ou de que os criminosos não exploraram ou compartilharam informações sensíveis. A empresa também corre o risco de violar regulamentações, especialmente se os fundos forem direcionados a grupos sancionados, expondo-a a penalidades legais e reputacionais.

O foco deve estar em mitigar o impacto do ataque e restaurar as operações de forma independente, sem depender de cibercriminosos. Citando a Artigo 46 da LGPD exige que as empresas adotem medidas de segurança adequadas para proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração ou difusão. Ao pagar um resgate, a empresa pode estar admitindo que essas medidas de proteção foram insuficientes. Dados pessoais que forem comprometidos e divulgados, a empresa deve notificar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares dos dados afetados. O pagamento de resgate não exime a empresa dessa obrigação. Se os dados não forem protegidos adequadamente, a empresa poderá enfrentar sanções, como advertências, multas e até a suspensão de suas atividades relacionadas ao tratamento de dados.

Como consequência se o pagamento for realizado, e os dados pessoais forem vazados ou divulgados pelos criminosos, a organização poderá enfrentar multas de até 2% do faturamento anual, limitado a R$ 50 milhões por infração.

Em vez de optar por pagar, as organizações devem se concentrar em fortalecer suas defesas cibernéticas, adotar práticas de backup eficazes, e implementar um plano robusto de resposta a incidentes para mitigar os danos de futuros ataques.

Na sua empresa, qual seria a escolha? vale a pena pagar?.