Como a cibersegurança está a evoluir de EDR para XDR e para ITDR

À medida que as empresas adoptam o trabalho híbrido e a digitalização, o ponto final e a identidade estão a aproximar-se cada vez mais. Ambas as profissões estão a evoluir e, para tirar o máximo partido desta evolução, as pessoas de ambos os lados terão de se unir. Num episódio recente do podcast Hybrid Identity Protection, discuto esta evolução com o co-fundador e COO da Remediant, Paul Lanzi. Também discutimos por que razão a integração entre XDR e identidade é um factor de mudança para as equipas de segurança modernas.

"Do ponto de vista de um profissional de identidade, a segurança dos terminais e dos servidores sempre foi, historicamente, um problema de outra pessoa. Normalmente, não tem havido muita interacção com as equipas de identidade, mas isso está a mudar. Em breve, a equipa de segurança de terminais virá falar consigo e terá de estar preparada." -Paul Lanzi, co-fundador e COO, Remediant

Leitura relacionada

• Segurança do Active Directory: Principais riscos e melhores práticas

1. Compreender a sopa de letras da segurança dos terminais

O sector da cibersegurança tem a reputação não merecida de estar carregado de acrónimos a um nível ridículo. É uma verdadeira sopa de letras de tecnologias, processos e sistemas. Os dois mais presentes actualmente são, sem dúvida, EDR e XDR.

A ideia básica de EDR - abreviatura de detecção e resposta de endpoint - é bastante simples. À medida que os autores de malware se tornaram mais espertos, aprenderam a contornar a detecção baseada em assinaturas e a arquitectar infecções que se podiam espalhar muito mais rapidamente do que os antivírus conseguiam lidar. A EDR surgiu como uma potencial resposta a este problema, uma solução de segurança capaz de actuar em todo um ambiente para travar os agentes de ameaças e disseminar dados de ameaças entre organizações.

A XDR, ou detecção e resposta alargadas, pretende ser uma evolução da EDR. Enquanto as soluções EDR se centram na segurança dos terminais, as soluções XDR destinam-se a explorar outras partes da pilha infosec. Infelizmente, dado que a tecnologia ainda é relativamente nova, é frequentemente utilizada como uma ferramenta de marketing.

"De acordo com Peter Firstbrook, um analista da Gartner que cobre este espaço, cerca de 80% das soluções XDR lançadas nos próximos anos não terão, de facto, capacidades XDR básicas", afirma Lanzi. "Por isso, é compreensível que ele tenha sido um pouco crítico em relação a essas abordagens apenas de marketing para uma nova categoria de produto. Mas ainda há algo a fazer".

2. As limitações do SOAR

Tal como o XDR pretende ser uma evolução do EDR, a orquestração, automatização e resposta de segurança (SOAR) pretende ser uma evolução da gestão de informações e eventos de segurança (SIEM). Enquanto o SIEM se centra essencialmente na detecção e alerta de eventos, o SOAR, pelo menos teoricamente, acrescenta capacidades de atenuação e resposta à mistura. Infelizmente, devido aos imensos recursos e conhecimentos de engenharia necessários para implementar essas capacidades, a maioria das empresas não as conseguiu concretizar.

"Penso que a hipótese é boa", reflecte Lanzi. "Se se está a integrar com uma solução para aceder aos seus feeds de eventos, porque não adicionar capacidades de resposta? A realidade é que muitos SOARs são utilizados para recolher eventos e emitir alertas semelhantes aos SIEMs, mas a parte da resposta revelou-se muito difícil de implementar para todas as empresas, excepto as maiores."

"Isto é parte do que o XDR está a tentar resolver", continua. "A promessa é que você pode tomar essas ações de resposta como parte de sua pilha de infosec, mas isso não exigirá o grau de alimentação e engenharia que uma solução SOAR exigiria. É uma integração de um clique em vez de uma implementação que requer uma equipa completa de engenharia de segurança."

3. A história repete-se: a evolução do XDR e da gestão da identidade

Actualmente, a integração entre o XDR e a gestão de identidades ainda está nas fases iniciais. Digamos, por exemplo, que a sua empresa utiliza o Active Directory e que determina que o dispositivo de um funcionário foi comprometido. Para evitar que os agentes de ameaças utilizem as credenciais desse funcionário para executar um ataque ou para se espalharem lateralmente na rede, tem a opção de utilizar o XDR para bloquear completamente a conta desse funcionário.

Não é exatamente o controlo minucioso a que os profissionais da área da identidade estão habituados, mas, segundo Lanzi, essa funcionalidade surgirá com o tempo, à medida que forem surgindo mais pontos de integração entre soluções XDR, diretórios e repositórios de identidade.

"É a mesma coisa que vimos nas acções de resposta a endpoints e no software antivírus antes disso", diz Lanzi. "Nos primórdios das soluções antivírus, por exemplo, era possível eliminar um ficheiro comprometido ou deixá-lo em paz e deixá-lo à solta. Isso acabou por evoluir, com novas acções como a colocação em quarentena, a remoção da infecção e a manutenção do ficheiro, e assim por diante - soluções com mais nuances do que simplesmente matar o ficheiro."

"A minha hipótese é que isto irá acelerar significativamente num futuro próximo", acrescenta. "Eu diria que nos próximos dezoito a vinte e quatro meses."

4. Gestão das ameaças e património híbrido

Existe uma grande variação na funcionalidade e nas opções de implantação no que diz respeito às soluções XDR. Essa variação é intencional. Os ecossistemas empresariais modernos são incrivelmente diversificados; alguns são exclusivamente locais, outros são baseados na nuvem e muitos são híbridos.

O que todos estes ambientes partilham é a necessidade de gestão de ameaças e o valor das capacidades de resposta de identidade nesse domínio.

"Também vimos o malware espalhar-se usando credenciais híbridas comprometidas", observa Lanzi. "Existem alguns grandes exemplos de organizações que não só têm a sua infra-estrutura local infectada, como também a sua infra-estrutura híbrida. O problema da propagação de malware por identidade existe tanto na nuvem como no local."

5. As pessoas são a força motriz da XDR e da integração da identidade

"Historicamente, os profissionais de identidade não têm tido muitos motivos para colaborar com os profissionais de segurança de terminais", conclui Lanzi. "Isso vai mudar - e é uma boa ideia estabelecer relações com antecedência. No outro dia, estava a falar com alguém sobre o facto de grande parte do trabalho que é feito nas empresas se dever às redes informais que existem e não às relações formais de comunicação."

Por outras palavras, é provável que o XDR já esteja no roteiro da sua equipa de segurança de terminais. Portanto, é crucial que os profissionais de identidade trabalhem para estabelecer um relacionamento com seus colegas agora - e não apenas para ajudar a facilitar a implementação. Ao abrir linhas de comunicação, poderá também garantir que qualquer solução XDR que a sua organização escolha funcione eficazmente com a sua pilha de identidade.

Tradicionalmente, tem havido uma grande separação entre a gestão de endpoints e a gestão de identidades. Mas, como qualquer pessoa que tenha passado algum tempo a trabalhar no sector da cibersegurança poderá atestar, a tradição não significa muito. Vivemos num mundo em que até a tecnologia mais avançada pode tornar-se obsoleta em apenas alguns anos.

Para prosperar neste mundo, nós, enquanto profissionais da identidade, temos de aceitar a mudança - e trabalhar abertamente com aqueles que a facilitam.

Implementar uma solução ITDR de ponta para aumentar o XDR

O uso indevido de credenciais é um dos principais métodos utilizados pelos atacantes para aceder aos sistemas e atingir os seus objetivos. Entre as principais prioridades dos CISO para 2022, segundo a Gartner, as soluções de Detecção e Resposta a Ameaças de Identidade (ITDR) podem complementar o XDR com uma proteção abrangente para os sistemas de identidade. Recentemente incluída no «Hype Cycle» da Gartner para Operações de Segurança, a ITDR é uma categoria relativamente nova, com um conjunto diversificado de fornecedores e estratégias. Dê preferência a soluções ITDR que ofereçam cobertura ao longo de todo o ciclo de vida de um ataque à identidade — antes, durante e após o ataque.

A Gartner também salienta a necessidade de nos prepararmos para o inesperado. Por exemplo, surgirão novas explorações de tipo «zero-day» contra o AD. É fundamental incluir o AD na gestão de vulnerabilidades e ameaças da sua organização, bem como no planeamento da resposta a incidentes, e não basta, de forma alguma, confiar apenas nas capacidades de prevenção e deteção.

Certifique-se de que a sua solução ITDR consegue conter ataques com correcção automática, reverter acções maliciosas e manter-se à frente do adversário. Nos piores cenários, as soluções ITDR que incluem a recuperação de ransomware específica do AD e capacidades forenses pós-violação melhorarão significativamente a preparação cibernética.