A plataforma de detecção de ameaças com IA de um fornecedor de serviços de tecnologia exibia um painel de cobertura com o status de monitoramento em todo o ambiente tecnológico do fornecedor: camadas de rede, endpoint, nuvem, aplicação e identidade. Cada categoria de cobertura aparecia em verde, indicando monitoramento ativo e cobertura de detecção. O painel havia sido configurado pela equipe de segurança do fornecedor na implantação do produto, seis meses antes, e os indicadores de cobertura refletiam as categorias de ameaça e os tipos de técnica incluídos na configuração inicial. Três meses após a implantação, um grupo de agentes de ameaça que visava empresas de serviços de tecnologia havia começado a usar uma nova técnica de movimentação lateral, abusando da API de um serviço nativo de nuvem específico para movimentação lateral encoberta, de formas que não correspondiam a nenhuma das assinaturas de detecção nem dos modelos comportamentais pré-configurados no produto de IA. A equipe de inteligência de ameaças do fornecedor havia recebido um alerta do ISAC sobre a técnica quatro semanas depois que o grupo começou a usá-la. O alerta havia sido reconhecido. Não havia motivado uma atualização da configuração de detecção do produto de IA. O painel continuou exibindo verde para todas as categorias configuradas. A nova técnica não estava em nenhuma categoria configurada. Ela simplesmente não aparecia no painel. O painel todo verde não era evidência de que todas as técnicas estavam sendo detectadas; era evidência de que todas as categorias de detecção configuradas produziam resultados dentro dos parâmetros esperados. As categorias não configuradas, incluindo a nova técnica em exploração ativa, simplesmente estavam ausentes.
O que são, de fato, lacunas de detecção de ameaças por IA?
Lacunas de detecção de ameaças por IA são as categorias de técnica, os padrões de ataque e os comportamentos de agentes de ameaça que uma plataforma de monitoramento de segurança com IA não detecta, seja porque a cobertura de detecção dessas categorias nunca foi configurada, porque os dados de treinamento da IA não incluíam exemplos representativos dessas técnicas, ou porque as técnicas foram projetadas especificamente para evitar a lógica de detecção da IA. As lacunas de detecção de ameaças são sistematicamente ocultadas por painéis que exibem o status de cobertura apenas das categorias configuradas, criando a aparência de cobertura abrangente quando, na realidade, o painel nada diz sobre as técnicas que não estão configuradas.
O problema da completude da configuração é o principal mecanismo das lacunas. Plataformas de detecção de ameaças com IA exigem configuração: regras de detecção, modelos comportamentais e cobertura de monitoramento precisam ser definidos e ativados para cada categoria de técnica que a plataforma deve monitorar. Os painéis de cobertura exibem o status das categorias configuradas. Eles não exibem o que não está configurado. Um painel que mostra verde em todas as categorias exibidas pode, ao mesmo tempo, não ter nenhuma configuração para categorias de técnica que estão sendo exploradas ativamente; essas categorias não aparecem em vermelho ou amarelo no painel. Elas simplesmente estão ausentes.
O problema da evolução do cenário de ameaças é a dimensão temporal. Configurações de monitoramento de segurança precisas na implantação tornam-se progressivamente menos completas à medida que o cenário de ameaças evolui: surgem novas técnicas, técnicas existentes são modificadas para escapar da detecção e grupos de agentes de ameaça se adaptam para evitar as assinaturas e os modelos comportamentais com que as plataformas de detecção foram treinadas. Uma plataforma de detecção de ameaças configurada com base no cenário de seis meses atrás pode ter lacunas de cobertura significativas no cenário atual, e essas lacunas não aparecerão no painel a menos que alguém adicione proativamente configurações de monitoramento para as novas categorias de técnica.
A lacuna entre inteligência e configuração é a falha operacional específica do cenário inicial. A equipe de inteligência de ameaças do fornecedor recebeu um alerta do ISAC sobre a nova técnica de movimentação lateral e o reconheceu. Reconhecer o alerta não é o mesmo que atualizar a configuração da plataforma de detecção para monitorar a técnica. O intervalo entre receber inteligência de ameaças sobre uma nova técnica e implementar a configuração de detecção para ela é a janela durante a qual a técnica pode ser usada no ambiente sem gerar alertas.
Por que isso importa
As lacunas de detecção de ameaças por IA são relevantes para TPRM porque painéis de detecção todos verdes são frequentemente apresentados como evidência de cobertura abrangente e aceitos como tal por equipes de TPRM que revisam a postura de segurança dos fornecedores. O painel confirma que a detecção configurada está funcionando. Ele não confirma que a configuração está completa para o cenário de ameaças atual.
Onde a maioria das equipes erra
A falha mais recorrente é aceitar o status de cobertura do painel como evidência de completude da detecção. O status de cobertura descreve o desempenho do monitoramento configurado. A completude da cobertura descreve se a configuração contempla o cenário de ameaças relevante, uma pergunta diferente e mais importante.
- Cobertura do painel aceita como evidência de completude
- Completude da configuração não avaliada em relação ao cenário de ameaças atual
- Lacuna entre inteligência e configuração não avaliada: quanto tempo leva para implementar a detecção de novas técnicas
- Cobertura de técnicas novas não avaliada especificamente
- Integração dos alertas do ISAC e da inteligência de ameaças à configuração da detecção não monitorada
Como é uma boa prática
Programas maduros de detecção de ameaças por IA avaliam a completude da cobertura em relação ao cenário de ameaças atual, verificando especificamente se a cobertura de técnicas do MITRE ATT&CK está atualizada, se a inteligência de ameaças do ISAC se traduz em atualizações da configuração de detecção e se métricas de lacunas de detecção são acompanhadas junto com as métricas de desempenho da cobertura.
- Mapa de cobertura ATT&CK atualizado trimestralmente em relação ao cenário de ameaças atual
- SLA de inteligência para configuração: com que rapidez alertas sobre novas técnicas se transformam em atualizações de detecção
- Rastreamento de lacunas de detecção: técnicas presentes em alertas do ISAC sem detecção correspondente
- Processo de descoberta de técnicas novas: como novos comportamentos de atacantes entram no inventário de detecção
- Avaliação da completude da configuração, independentemente do status do painel
Ferramentas
Cobertura do ATT&CK: MITRE ATT&CK Navigator para o mapeamento da cobertura de detecção
O ATT&CK Navigator exibe visualmente a cobertura de detecção em relação à matriz de técnicas do ATT&CK, mostrando quais técnicas têm cobertura de detecção e quais não têm. Atualizar trimestralmente o mapa do ATT&CK Navigator com base na inteligência de ameaças atual oferece uma avaliação de completude que o status do painel não oferece. Para profissionais de TPRM, solicitar o mapa de cobertura do ATT&CK do fornecedor atualizado no último trimestre é uma pergunta específica sobre a completude da cobertura.
Desafios de governança
O desafio de governança das lacunas de detecção de ameaças por IA é a ilusão do painel: a confiança que o status todo verde transmite à liderança de segurança e aos revisores de TPRM. A solução de governança é complementar o status do painel com uma avaliação da completude da cobertura, perguntando especificamente como as categorias configuradas no painel foram selecionadas e se essa seleção está atualizada em relação ao cenário de ameaças.
- Solicite o mapa de cobertura ATT&CK atualizado no último trimestre, não apenas o status do painel
- Pergunte sobre o SLA entre inteligência e configuração: com que rapidez os alertas do ISAC se tornam atualizações de detecção
- Pergunte se a nova técnica de movimentação lateral citada em alertas recentes do ISAC tem cobertura de detecção
- Pergunte sobre o rastreamento de lacunas de detecção: como as lacunas de técnicas não configuradas são identificadas e acompanhadas
- Complemente a revisão do painel com uma avaliação da completude da configuração
Se você faz parte de uma equipe pequena
Para qualquer plataforma de detecção de ameaças com IA, faça a pergunta do ISAC: nos últimos seis meses, quantos alertas do ISAC ou de inteligência de ameaças sobre técnicas novas a sua equipe recebeu e, para cada um, qual é o prazo entre o recebimento do alerta e a configuração da detecção ativa na sua plataforma? Essa pergunta revela a lacuna entre inteligência e configuração, a janela entre saber que uma técnica está sendo usada e ter detecção para ela. Um alerta recebido há quatro semanas que ainda não se tornou uma configuração de detecção é uma lacuna de detecção de quatro semanas para essa técnica.
- Solicite o prazo de inteligência para configuração dos alertas recentes do ISAC
- Solicite o mapa de cobertura ATT&CK atualizado no último trimestre
- Pergunte se técnicas novas específicas de alertas recentes têm cobertura de detecção
- Pergunte como funciona o rastreamento de lacunas de detecção entre os alertas e a configuração
O que exigir
Pergunte diretamente:
“Para os alertas do ISAC que sua equipe recebeu nos últimos seis meses, qual é o prazo entre o recebimento do alerta e a configuração ativa da detecção na sua plataforma? E vocês podem confirmar se a nova técnica de movimentação lateral nativa de nuvem do alerta mais recente tem uma configuração de detecção ativa?”
O que esperar como evidência
- Prazo entre inteligência e configuração para alertas recentes
- Mapa de cobertura ATT&CK atualizado no último trimestre
- Confirmação da detecção ativa para técnicas específicas objeto de alertas do ISAC
- Processo de acompanhamento das lacunas de detecção
Um fornecedor que confirma status de detecção todo verde deve ser questionado sobre a completude da cobertura ATT&CK. O status do painel confirma que a detecção configurada está funcionando. O mapa de cobertura confirma se a configuração está completa para o cenário de ameaças atual.
Como comprovar
- Registros do mapa de cobertura ATT&CK
- Documentação do SLA de inteligência para configuração
- Registros de rastreamento de lacunas de detecção
- Prazo entre o alerta do ISAC e a configuração de detecção
Principal conclusão
Painel totalmente verde. Técnica nova em um alerta do ISAC quatro semanas atrás. Alerta reconhecido. Configuração de detecção: não atualizada. Técnica nova: não detectada. O painel estava verde porque todas as categorias configuradas estavam funcionando dentro dos parâmetros. A técnica nova não estava em nenhuma categoria configurada. Ela não estava vermelha. Estava ausente. O status de painel totalmente verde confirma que a detecção configurada está funcionando. A completude da cobertura do ATT&CK confirma se a configuração atende ao cenário de ameaças atual. A lacuna entre inteligência e configuração revela a janela entre saber que uma técnica existe e ter detecção para ela. O painel é a métrica de desempenho. O mapa de cobertura é a métrica de completude. Ambos são necessários. Nenhum substitui o outro.