O sistema de detecção de ameaças de identidade de um fornecedor de serviços financeiros não gerou nenhum alerta durante os vinte e sete minutos em que um invasor atuou em seu ambiente após um ataque bem-sucedido de credential stuffing contra a conta de um analista financeiro. A análise pós-incidente constatou que o comportamento do invasor continha vários sinais individualmente anômalos: autenticação às 02:14 a partir de um IP nigeriano, acesso sequencial a dezessete aplicações em quarenta e dois minutos, download de seiscentos arquivos do sistema de gestão de documentos e um logout seguido imediatamente de um segundo login a partir de outro IP. Nenhum desses sinais havia gerado alerta. A detecção geográfica estava configurada para alertar sobre acessos a partir de uma lista de países bloqueados, e a Nigéria não constava dessa lista. O limite de detecção para a contagem de acessos a aplicações era de vinte aplicações por hora, e dezessete estava abaixo dele. O limite de detecção de downloads de arquivos era de mil arquivos por sessão, e seiscentos estava abaixo dele. A detecção de logins consecutivos estava configurada para alertar sobre sessões simultâneas, e não sobre logins sequenciais a partir de IPs diferentes. Cada sinal individual estava abaixo de seu limite ou na categoria de detecção errada. Um analista de segurança que revisou o padrão de acesso combinado durante a análise pós-incidente o identificou como um evento obviamente anômalo em trinta segundos após ver a linha do tempo agregada.
O que são, de fato, as lacunas na detecção de anomalias de identidade?
A detecção de anomalias de identidade é a capacidade de identificar padrões de acesso que se desviam do comportamento normal estabelecido, detectando eventos de autenticação, padrões de acesso, transferências de dados e características de sessão incompatíveis com a linha de base de comportamento do usuário ou que representam padrões de ataque conhecidos. Uma detecção de anomalias eficaz exige duas capacidades complementares: regras baseadas em limites, que detectam eventos específicos de alto risco acima de limites definidos, e análise comportamental, que detecta padrões anômalos em relação à linha de base estabelecida do usuário mesmo quando nenhum limite individual é ultrapassado.
A lacuna da detecção baseada apenas em limites é a limitação estrutural que o cenário de abertura ilustra. Sistemas de detecção baseados em regras definem limites específicos para sinais específicos: se X ultrapassar Y, gerar alerta. Essas regras são eficazes contra ataques que produzem sinais acima dos respectivos limites. Elas deixam passar ataques em que cada sinal individual está abaixo do limite, mas a combinação de sinais é claramente anômala. O invasor que deliberadamente fica abaixo de cada limite individual, baixando 600 arquivos em vez de 1,000, acessando 17 aplicações em vez de 20 e autenticando-se a partir de um país que não está na lista de bloqueio, calibrou seu comportamento de acordo com os limites publicados do sistema de detecção. Toda regra de limite tem uma estratégia de evasão. A análise comportamental combinada é muito mais difícil de evadir porque a linha de base é o padrão normal de cada usuário, e não um limite publicado universalmente.
O problema das linhas de base desatualizadas é uma lacuna secundária na detecção de anomalias. A análise comportamental estabelece linhas de base da atividade normal do usuário: horário de trabalho típico, padrões de acesso típicos, uso típico de aplicações. Linhas de base estabelecidas para um funcionário que trabalhava principalmente no escritório de Londres tornam-se imprecisas quando esse funcionário passa para o trabalho remoto, assume uma designação internacional ou muda de função. Um sistema de detecção de anomalias que opera com uma linha de base desatualizada gera falsos positivos para mudanças legítimas de acesso e deixa passar anomalias reais que estão dentro da faixa esperada da linha de base (agora imprecisa). A manutenção das linhas de base, isto é, a atualização contínua para refletir o comportamento normal atual, é tão importante quanto o seu estabelecimento.
- Detecção baseada apenas em limites: limites para sinais individuais, sem análise combinada de padrões comportamentais
- Evasão de ataques abaixo dos limites: comportamento do invasor calibrado para ficar abaixo dos limites de detecção individuais
- Linhas de base desatualizadas: linhas de base comportamentais não atualizadas para refletir o comportamento normal atual
- Desalinhamento de categoria de detecção: comportamento anômalo em uma categoria de detecção que o conjunto de regras não cobre
- Sem correlação combinada de sinais: sinais individuais avaliados de forma independente, e não como um perfil de acesso combinado
Por que isso importa
A detecção de anomalias de identidade é importante para TPRM porque os funcionários de fornecedores que acessam ambientes de clientes criam um padrão de comportamento de identidade que deveria ser detectável como anômalo quando se desvia da atividade normal de suporte ou operacional. Um invasor que comprometeu a credencial de um engenheiro de suporte de um fornecedor e acessa ambientes de clientes em horários incomuns, com padrões incomuns ou com comportamento incomum de acesso a dados deveria ser detectável por um sistema de detecção de anomalias bem configurado. As lacunas de detecção descritas no cenário de abertura representam o desempenho real de sistemas de detecção que dependem de regras de limite sem análise comportamental.
O desafio da detecção no acesso de fornecedores é o problema da qualidade da linha de base. O acesso de suporte de fornecedores aos ambientes dos clientes costuma ser pouco frequente e variável: os engenheiros de suporte se conectam quando os clientes têm problemas, em horários definidos pela ocorrência de incidentes, e não por padrões regulares. Estabelecer uma linha de base comportamental confiável para um engenheiro de suporte que se conecta três vezes por mês em resposta a incidentes é mais difícil do que estabelecer uma linha de base para um funcionário que acessa os mesmos sistemas diariamente em horários consistentes. A menor qualidade da linha de base para o acesso de fornecedores gera taxas mais altas de falsos positivos e menor eficácia na detecção de anomalias justamente na população de identidades em que a detecção mais importa.
Onde a maioria das equipes erra
A falha mais recorrente é avaliar a capacidade de detecção com base na lista de regras configuradas, e não no desempenho dessas regras diante de cenários de ataque realistas. Uma lista abrangente de regras de limite descreve a arquitetura de detecção. Testar essas regras contra os cenários de ataque reais que elas devem detectar, incluindo ataques abaixo dos limites que exigem análise combinada de sinais, descreve o desempenho da detecção. Os dois costumam ser muito diferentes.
- Avaliar a detecção pela lista de regras, e não pelo desempenho diante de cenários de ataque
- Sem correlação combinada de sinais: sinais avaliados de forma independente
- Calibração de limites não testada contra ataques realistas
- Linhas de base comportamentais não mantidas de acordo com os padrões de atividade atuais
- Linhas de base de acesso de fornecedores não estabelecidas: acesso pouco frequente de fornecedores sem linha de base
Como é uma boa prática
Programas maduros de detecção de anomalias de identidade combinam regras de limite para sinais de alto risco conhecidos com análise comportamental que avalia perfis de acesso combinados em relação a linhas de base individuais, usando aprendizado de máquina para identificar padrões que se desviam do comportamento normal estabelecido mesmo quando nenhum limite individual é ultrapassado.
- UEBA com linhas de base comportamentais individuais: o padrão normal de cada usuário tem linha de base e os desvios são detectados
- Correlação combinada de sinais: vários sinais abaixo dos limites avaliados como um perfil combinado
- Manutenção das linhas de base: linhas de base atualizadas continuamente para refletir o comportamento normal atual
- Testes com cenários de ataque: desempenho de detecção validado contra padrões de ataque realistas, incluindo cenários abaixo dos limites
- Estabelecimento de linhas de base para acesso de fornecedores: linhas de base específicas para os padrões de acesso de contas de fornecedores e de suporte
Ferramentas
UEBA: Exabeam, Microsoft Sentinel UEBA, Varonis
As plataformas de análise do comportamento de usuários e entidades estabelecem linhas de base comportamentais individuais e detectam desvios por meio de aprendizado de máquina, avaliando os padrões de acesso de forma holística, e não como verificações de limites independentes. O Exabeam, especificamente, usa uma abordagem baseada em linha do tempo que correlaciona vários sinais ao longo de uma sessão do usuário em uma pontuação combinada de anomalia. Para profissionais de TPRM, perguntar se o fornecedor usa UEBA com linhas de base comportamentais individuais, além da detecção baseada em limites, é a pergunta específica sobre a capacidade de análise combinada.
Detecção de ameaças de identidade: Microsoft Entra ID Protection
O Microsoft Entra ID Protection oferece uma pontuação de risco que combina vários sinais de identidade (risco de entrada, risco do usuário, viagem impossível, credenciais vazadas e anomalias comportamentais) em uma pontuação de risco composta capaz de acionar desafios de acesso condicional ou bloquear o acesso. A abordagem de pontuação composta resolve o problema dos sinais individuais abaixo do limite ao avaliar os sinais em conjunto. Para profissionais de TPRM, perguntar se o fornecedor usa pontuação de risco composta nas decisões de autenticação é uma pergunta sobre análise combinada de sinais.
Desafios de governança
O desafio de governança na detecção de anomalias de identidade é o equilíbrio entre fadiga de alertas e detecções perdidas. Limites de detecção sensíveis e baixa tolerância a desvios da linha de base geram alertas frequentes, muitos dos quais são falsos positivos. Equipes de segurança que enfrentam fadiga de alertas passam a descartar alertas sem investigação, o que reduz a taxa efetiva de detecção de ataques reais. O desafio de calibração é definir limites e tolerâncias a desvios que detectem ataques reais e, ao mesmo tempo, produzam uma taxa de falsos positivos administrável, que não gere a fadiga de alertas que faz com que alertas reais passem despercebidos.
- Pergunte qual capacidade de detecção identificaria o cenário de abertura: acesso às 2h da manhã, acesso a várias aplicações, download abaixo do limite
- Pergunte se UEBA está implantado além das regras de limite
- Pergunte se a detecção foi testada contra cenários de ataque realistas abaixo dos limites
- Pergunte sobre o estabelecimento de linhas de base para acesso de fornecedores, ou seja, se o acesso pouco frequente de fornecedores tem linha de base
- Incluir o desempenho da detecção de anomalias na avaliação de segurança do fornecedor, e não apenas a confirmação da capacidade
Se você faz parte de uma equipe pequena
Apresente o cenário de abertura à equipe de segurança do seu fornecedor de maior risco: às 2h da manhã, a conta de um dos seus engenheiros de suporte se autenticou a partir de Lagos, acessou dezessete aplicações em quarenta minutos e baixou seiscentos arquivos antes de fazer logout. Isso teria gerado um alerta? Percorra com eles a arquitetura de detecção diante desse cenário específico. Se a resposta for que não haveria alerta porque a Nigéria não está bloqueada e a quantidade de downloads está abaixo do limite, a detecção deles depende de regras de limite sem análise comportamental combinada. Essa conversa revela o desempenho da detecção melhor do que qualquer questionário.
- Apresente o cenário de abertura e pergunte se ele teria gerado um alerta
- Pergunte se o UEBA está implantado com linhas de base comportamentais individuais
- Pergunte se existe correlação combinada de sinais ou se os sinais são avaliados de forma independente
- Pergunte se os padrões de acesso de contas de fornecedores e de suporte têm linhas de base específicas
O que exigir
Pergunte diretamente:
“Se um dos seus engenheiros de suporte se autenticasse às 2h da manhã a partir de Lagos, acessasse dezessete aplicações em quarenta minutos e baixasse seiscentos arquivos, isso teria gerado um alerta de anomalia de identidade no seu sistema de detecção? E qual regra de detecção específica teria sido acionada?”
“A sua detecção de anomalias de identidade usa análise comportamental com linhas de base individuais por usuário para detectar anomalias em perfis de acesso combinados, ou depende principalmente de regras baseadas em limites para sinais individuais?”
O que esperar como evidência
- Análise de detecção do cenário de ataque: quais sinais o ataque descrito acionaria
- Implantação de UEBA com linhas de base comportamentais individuais
- Capacidade de correlação combinada de sinais
- Processo de estabelecimento de linhas de base para acesso de fornecedores
Um fornecedor cuja detecção não teria alertado no cenário de abertura confirmou a lacuna de depender apenas de limites. Um fornecedor capaz de descrever exatamente quais sinais combinados teriam gerado um alerta, e em que ponto da sessão, confirmou a capacidade de análise comportamental. O cenário é o teste. Aplique-o.
Como comprovar
- Registros de testes de cenários de detecção
- Confirmação da implantação de UEBA com documentação das linhas de base
- Capacidade de correlação combinada de sinais
- Registros de linhas de base de acesso de fornecedores
Principal conclusão
O ataque era óbvio para uma pessoa que olhasse a linha do tempo combinada. O sistema de detecção nunca viu a linha do tempo combinada: avaliou cada sinal de forma independente em relação ao seu limite. Duas da manhã não era um horário bloqueado. Lagos não era um país bloqueado. Dezessete aplicações estavam abaixo do limite de aplicações. Seiscentos arquivos estavam abaixo do limite de download. Cada sinal passou individualmente. O perfil combinado falhou de forma evidente. A detecção baseada em limites identifica ataques que ultrapassam seus limites. A análise comportamental identifica ataques cujo perfil combinado é anômalo mesmo quando cada sinal individual está abaixo do limite. O invasor que conhece os limites fica abaixo deles. Ele não consegue ficar abaixo de uma linha de base comportamental que nunca viu.