Resumo: limitações dos feeds de ameaças
- Atacantes também leem feeds: Os feeds de ameaças parecem defesa, mas são uma lista pública que os atacantes leem antes de nós, rodando depois os seus domínios em minutos e deixando quem defende a perseguir entradas que já arrefeceram.
- Tempo real vence listas: Apenas 10 dos 96 fornecedores do VirusTotal sinalizaram o domínio que a cside detetou, e a cside monitoriza mais de 60 atributos por script com IA em tempo real em cada sessão real de utilizador que protege.
- Sempre uma rotação atrás: Se o único controlo do lado do cliente for um feed subscrito de indicadores maliciosos conhecidos, estará sempre uma rotação de domínio atrás do agente que anda a roubar discretamente dados de cartões no seu checkout.
Sem tempo? Veja a deteção de agentes IA da cside. Cobre tudo o que se segue numa única implementação.
A ideia por trás dos feeds de ameaças é válida. Mas defendemos que já passou o seu auge. E, com o nível tecnológico atual, existem opções melhores.
Os feeds de ameaças são (frequentemente) uma lista de informações de segurança recolhidas pela comunidade. Quando alguém deteta uma vulnerabilidade, publica manualmente um aviso no feed. Esse aviso é depois captado e divulgado no feed, onde os profissionais de segurança nas respetivas empresas o leem e verificam os seus próprios sistemas para saber se estão suscetíveis a possíveis riscos. Têm algumas vantagens, já que a comunidade costuma ser bastante grande, o que faz com que estes feeds fiquem repletos de informações úteis. E é sempre bom trabalhar de forma preventiva em segurança cibernética.
No entanto, há falhas enormes neste sistema.
Todo este sistema exige muito trabalho manual. E o trabalho manual é frequentemente lento e propenso a erros. Esta é uma grande desvantagem no que toca aos feeds de ameaças. Outra grande desvantagem é que estes feeds são frequentemente públicos. Bom para quem quer obter informação, mas mau porque… qualquer pessoa pode aceder a essa informação, incluindo agentes maliciosos. E os relatórios contêm muitas vezes apenas nomes de domínio, que os hackers substituem em minutos sem terem de reescrever o código malicioso. É uma caça inútil em que os alvos nunca são apanhados, apenas ligeiramente incomodados. Longe do ideal.
Dito isto, vejamos exatamente como funcionam os feeds de ameaças.
Como Recolhem os Feeds de Ameaças a Sua Informação?
- Análise de Tráfego de Rede: A monitorização do tráfego de rede ajuda a identificar padrões suspeitos, assinaturas de malware e comunicações com endereços IP maliciosos conhecidos.
- Honeypots e Iscas: Alguns sistemas são criados propositadamente para serem atacados; as organizações conseguem assim recolher informação sobre novas ameaças e métodos de ataque.
- Relatórios e Análise de Violações de Dados: As violações e incidentes de segurança divulgados publicamente fornecem informação valiosa sobre as táticas, técnicas e procedimentos (TTPs) usados pelos atacantes.
- Colaboração e Partilha: As entidades partilham frequentemente informação entre si, unindo recursos para compreender melhor as ameaças cibernéticas.
- Monitorização da Dark Web e Fóruns: Alguns fornecedores de threat intelligence monitorizam fóruns e mercados da dark web onde os atacantes podem negociar ferramentas, serviços e dados roubados, obtendo assim informação sobre ameaças emergentes.
- Caça a Ameaças (Threat Hunting): Os investigadores usam dados externos de terceiros (por vezes também internos) para explorar novos Indicadores de Compromisso (IOCs). Entre os portais de terceiros populares estão o Virustotal, o Shodan e o Censys.
O Que Fazer Com Esta Informação?
Medidas Preventivas: Ao subscrever feeds de ameaças, pode adicionar IPs maliciosos conhecidos, domínios e assinaturas de ficheiros à lista negra, prevenindo ataques antes que aconteçam.
Resposta a Incidentes e Perícia Digital: Quando ocorre um incidente de segurança, este é reportado e incluído no feed de ameaças.
Tudo isto é positivo!
O Lado Negativo dos Feeds de Ameaças
- Vulnerabilidades Zero-Day: Se for um alvo e for comprometido, os feeds de ameaças não o vão ajudar. Pior ainda, provavelmente só se apercebe disso dias depois. De pouco serve levantar a ponte levadiça depois de os atacantes já a terem atravessado.
- Vulnerabilidades de Processos e Humanas: Já falámos nisto, mas o trabalho manual e a intervenção humana são propensos a erros. Além disso, os ataques de engenharia social, por exemplo, exploram vulnerabilidades humanas para enganar pessoas e levá-las a revelar informação sensível ou a conceder acesso a sistemas seguros.
- Aplicação de Patches e Mitigação: Corrigir vulnerabilidades nem sempre é simples. Atrasos na implementação de patches, problemas de compatibilidade e a disponibilidade das correções podem deixar os sistemas expostos durante longos períodos.
- Gestão de Risco: As organizações têm de priorizar as vulnerabilidades com base no risco, focando-se em corrigir as que representam a maior ameaça para os seus ativos críticos.
- Informação Incorreta: Por serem de código aberto, os feeds de ameaças podem ser suscetíveis a falsos positivos. Qualquer pessoa pode ser induzida a acreditar em informação falsa colocada ali intencionalmente ou por acidente. É preciso validar a informação regularmente: um domínio antes malicioso pode agora ser usado legitimamente, ou vice-versa.
A Solução Mais Completa
Desenvolvemos a cside para ser o antídoto mais poderoso contra ataques de JavaScript. Integramos os dados dos feeds de ameaças na nossa solução completa, que é um pequeno script que faz o seguinte:
- Reescreve as origens dos scripts para os fazer passar pela cside e realiza algumas deteções do lado do navegador. Isto coloca a cside no fluxo do pedido entre o utilizador e o script de terceiros, dando visibilidade total sobre os scripts servidos em 100% da sessão. Muitos outros fornecedores fazem amostragem de sessões do navegador, o que significa que ataques concebidos para afetar apenas uma pequena percentagem de utilizadores podem passar despercebidos durante muito tempo.
- Deteta scripts inline e comportamentos suspeitos que podem ocorrer apenas no navegador específico em que o script foi obtido. Este é um segredo especial nosso.
Monitorizamos também mais de 60 atributos e usamos IA para sinalizar quaisquer indicadores de intenção maliciosa em tempo real. A nossa solução tem em conta o contexto histórico: analisa as alterações ao longo do tempo, o que facilita a deteção de sequestros súbitos. Além disso, a cside usa IA para analisar o código do script de terceiros. A combinação dos nossos mecanismos de deteção em constante evolução permite-nos identificar a tentativa em milissegundos e bloqueá-la antes de qualquer operação maliciosa, ou alertar caso surja um comportamento perigoso.
Leia aqui como a nossa solução completa funciona em comparação com outras.
Até 31 de março de 2025, o requisito 6.4.3 do PCI DSS 4.0 obriga todos os sítios que aceitam pagamentos online a autorizar cada script nas páginas de pagamento, a manter um inventário de todos os scripts e a garantir a sua integridade. Usar o nível gratuito da cside torna-o conforme com esses requisitos.
Leia mais sobre os requisitos do PCI DSS 4.0.
