O que é monitoramento contínuo de segurança?

O monitoramento contínuo de segurança (CSM) é uma abordagem de inteligência de ameaças que automatiza o monitoramento de controles de segurança da informação, vulnerabilidades e outras ameaças cibernéticas para apoiar as decisões de gerenciamento de riscos organizacionais.

As organizações precisam de visibilidade em tempo real dos indicadores de comprometimento, configuração incorreta de segurança e vulnerabilidades em sua infraestrutura e redes.

Os controles de segurança tradicionais, como firewalls, software antivírus e testes de penetração, não são mais suficientes para proteger contra um invasor sofisticado. Mesmo que sua infraestrutura seja relativamente estável (o que não é provável), os invasores encontram novos zero-days para explorar e os pesquisadores compartilham vulnerabilidades para as Vulnerabilidades e Exposições Comuns (CVE) diariamente.

Mesmo que sua política de segurança da informação seja de classe mundial, 81% das violações de dados contornam os controles de segurança tradicionais usando senhas fracas ou roubadas, de acordo com a Verizon. É por isso que as empresas estão cada vez mais recorrendo a soluções de monitoramento contínuo que fornecem informações de segurança, mas também podem encontrar credenciais vazadas e dados expostos na web aberta, profunda e escura, como o UpGuard BreachSight.

Experimente os recursos de gerenciamento de superfície de ataque do UpGuard com este tour autoguiado do produto >

Por que o monitoramento contínuo de segurança é importante?

O monitoramento contínuo da segurança é importante porque permite que as organizações avaliem continuamente sua arquitetura geral de segurança para determinar se estão cumprindo suas políticas internas de segurança da informação no dia-a-dia, bem como quando ocorrem alterações.

No ambiente atual, muitas, se não todas, as organizações dependem da tecnologia para realizar funções de missão crítica, portanto, a capacidade de gerenciar essa tecnologia e garantir sua confidencialidade, integridade e disponibilidade também é crítica.

Quatro tendências que estão aumentando a importância do monitoramento contínuo da segurança:

A crescente digitalização de dados confidenciais: organizações em todo o mundo estão digitalizando cada vez mais os dados confidenciais que armazenam, sejam informações de identificação pessoal do cliente (PII) ou informações de saúde protegidas por funcionários (PHI).
Leis gerais de proteção de dados: governos de todo o mundo seguiram o GDPR da União Europeia e introduziram suas próprias leis gerais de proteção de dados, como a LGPD do Brasil, a Shield Act de Nova York ou a CCPA da Califórnia.
Leis de notificação de violação de dados: Juntamente com essas leis gerais de proteção de dados, os governos exigem cada vez mais que as violações de dados sejam relatadas, o que aumenta significativamente o impacto na reputação dos incidentes de segurança.
Terceirização, terceirização e subcontratação: as organizações frequentemente procuram terceirizar partes não essenciais de seus negócios para fornecedores terceirizados que, por sua vez, podem terceirizar para seus próprios fornecedores, aumentando drasticamente sua superfície de ataque e o risco de terceiros e terceiros.

Como funciona o monitoramento contínuo de segurança?

As soluções de monitoramento contínuo funcionam fornecendo informações em tempo real sobre a postura de segurança de uma organização. De acordo com o white paper do Instituto Nacional de Padrões e Tecnologia NIST SP 800-137, o monitoramento contínuo de segurança da informação (ISCM) funciona por:

Manter a consciência situacional de todos os sistemas da organização e seu ecossistema de fornecedores
Manter uma compreensão das ameaças e atividades de ameaças
Avaliando todos os controles de segurança
Coletar, correlacionar e analisar informações relacionadas à segurança
Fornecer comunicação acionável do status de segurança em todos os níveis da organização; e
Gestão ativa de riscos por funcionários organizacionais.
Integração de frameworks de segurança da informação e gerenciamento de riscos.

Para fazer isso, seu programa de monitoramento contínuo deve coletar informações de acordo com métricas restabelecidas que são padronizadas em todo o seu ecossistema, utilizando informações prontamente disponíveis em parte por meio de controles de segurança implementados, bem como varredura automatizada.

Esse processo deve ser conduzido regularmente, quantas vezes forem necessárias para cada unidade organizacional. Além disso, sua estratégia de monitoramento deve ser revisada rotineiramente quanto à relevância e revisada conforme necessário para aumentar a visibilidade dos ativos e a conscientização dos riscos potenciais.

Em suma, um programa robusto de monitoramento contínuo funciona ajudando as organizações a passar do gerenciamento de riscos orientado por conformidade para o gerenciamento de riscos orientado por dados, fornecendo-lhes as informações necessárias para apoiar as decisões de resposta a riscos, informações de status de segurança e insights contínuos sobre a eficácia do controle de segurança.

Como as organizações estão adotando o monitoramento contínuo de segurança?

O monitoramento contínuo de segurança fornece aos profissionais de segurança visibilidade em tempo real da superfície de ataque de sua organização. Para referência, a superfície de ataque é o número total de vetores de ataque que podem ser usados para lançar um ataque cibernético bem-sucedido para obter acesso não autorizado a dados confidenciais ou causar perda de dados.

Isso significa que oportuno, relevante e preciso é vital para qualquer programa de monitoramento, principalmente quando os recursos são limitados e você deve priorizar seus esforços. É por isso que muitas organizações estão adotando classificações de segurança que podem ajudar a avaliar instantaneamente e monitorar continuamente a postura de segurança de qualquer organização no mundo.

Com classificações de segurança, as equipes de segurança podem avaliar continuamente sua infraestrutura de segurança para garantir que ela atenda às suas necessidades, estrutura de governança, missão e principais processos de negócios.

As classificações de segurança ou classificações de segurança cibernética são uma medida orientada por dados, objetiva e dinâmica da postura de segurança de uma organização. Eles são criados por uma plataforma de classificação de segurança confiável e independente, tornando-os valiosos como um indicador objetivo do desempenho de segurança cibernética de uma organização.

As classificações de segurança são um método popular de monitoramento contínuo de segurança para equipes de gerenciamento de risco de fornecedores e gerenciamento de superfície de ataque, pois podem ajudá-lo a:

Entenda o risco de terceiros e o risco de terceiros (risco de fornecedor) representados pela cadeia de suprimentos, fornecedores terceirizados e relacionamentos com parceiros de negócios.
Avalie continuamente sua postura de segurança cibernética enquanto fornece uma classificação simples e fácil de entender que pode ser apresentada a importantes partes interessadas não técnicas, incluindo o C-Suite, o Conselho e os reguladores.
Compare e compare pares, fornecedores e concorrentes do setor. Isso pode ajudar na tomada de decisões e fornecer contexto sobre em quais controles ou mitigações de segurança sua organização precisa investir.
Forneça garantia aos clientes, seguradoras, reguladores e outras partes interessadas de que sua organização se preocupa em evitar problemas de segurança, como violações de dados, malware e ransomware.

Sua estratégia de monitoramento deve levar em conta todos os ativos de hardware, software, SaaS e nuvem que sua organização usa, atribuir a ela uma categoria com base na criticidade dos negócios e alertá-lo sobre possíveis ameaças à segurança. Toos como UpGuard BreachSight e UpGuard Vendor Risk podem ajudá-lo a mapear:

Ativos conhecidos: ativos inventariados e gerenciados, como seu site corporativo, servidores e as dependências em execução neles.
Ativos desconhecidos: como shadow IT ou infraestrutura de TI órfã que foi mantida fora do alcance de sua equipe de segurança, como sites de desenvolvimento esquecidos ou sites de marketing.
Ativos não autorizados: infraestrutura maliciosa criada por agentes de ameaças, como malware, domínios typosquatted ou um site ou aplicativo móvel que se faz passar por seu domínio.
Fornecedores: sua superfície de ataque não para com sua organização, fornecedores terceirizados e de terceiros introduzem riscos significativos de terceiros e riscos de terceiros. Mesmo pequenos fornecedores podem levar a grandes violações de dados, veja o fornecedor de HVAC que acabou levando à exposição de dados pessoais e de cartão de crédito da Target em mais de 110 milhões de consumidores.

Seja qual for a ferramenta escolhida, certifique-se de que ela se integre à infraestrutura da sua organização e possa detectar uma nova infraestrutura à medida que ela é criada. Idealmente, ele deve ter uma maneira de classificar a infraestrutura com base nos dados que processa, na propriedade interna, no sistema operacional ou pelo fornecedor.

Organizações de todos os tamanhos precisam tomar medidas para proteger seus dados e sistemas, e o monitoramento contínuo da segurança é uma ótima maneira de as organizações avaliarem suas posturas de segurança e as de seus fornecedores em tempo real para identificar pontos fracos ou possíveis comprometimentos.

Quais são os benefícios do monitoramento contínuo de segurança?

Como o monitoramento contínuo de segurança fornece visibilidade em tempo real dos dados de segurança de TI, ele oferece uma série de benefícios, como:

Uma compreensão clara da tolerância ao risco organizacional e ajuda a definir prioridades e gerenciar riscos de forma consistente em toda a organização
Métricas de segurança cibernética que fornecem indicações significativas do status de segurança em todos os níveis organizacionais
Eficácia contínua de todos os controles de segurança
Verificação da conformidade com as políticas de segurança da informação derivadas de missões organizacionais/funções de negócios, legislação federal, diretrizes, regulamentos, políticas, padrões, diretrizes e melhores práticas
Informações e visibilidade de todos os ativos de TI
Garantia de que o conhecimento e o controle de mudanças em sistemas e ambientes
Conscientização sobre ameaças e vulnerabilidades

Em suma, o monitoramento contínuo de segurança pode ajudar a reduzir o risco de segurança cibernética, reduzir o impacto de ataques cibernéticos bem-sucedidos e reduzir o custo de violações de dados, mitigando as três principais maneiras pelas quais os dados podem ser comprometidos:

Ataques externos: ou seja, um invasor ignorando seus controles de proteção de dados.
Ataques internos: ou seja, um funcionário confiável ou membro da empresa expondo dados voluntariamente ou caindo em um ataque de engenharia social, como phishing, spear phishing ou whaling.
Ataques à cadeia de suprimentos ou ao ecossistema de terceiros: ou seja, um fornecedor que expõe seus dados críticos de negócios por meses porque não possui detecção de intrusão ou planejamento de resposta a incidentes.

Em outras palavras, o gerenciamento contínuo de segurança ajuda você a descobrir e proteger seus ativos digitais e dados confidenciais, como PII, PHI e segredos comerciais. Lembre-se de que esses ativos podem pertencer ou ser operados por sua organização ou por terceiros, como provedores de nuvem, IaaS e SaaS, parceiros de negócios, fornecedores ou contratados externos.

Quais são as melhores práticas de monitoramento contínuo de segurança?

Qualquer boa solução de monitoramento contínuo de segurança começará com a descoberta de todos os ativos digitais que contêm ou processam dados confidenciais, independentemente de serem gerenciados por sua organização ou por terceiros.

Aqui está uma lista não exaustiva de ativos digitais que devem ser monitorados:

Aplicativos Web, serviços e APIs
Aplicativos móveis e seus back-ends
Armazenamento em nuvem e dispositivos de rede
Nomes de domínio, certificados SSL e endereços IP
IoT e dispositivos conectados
Repositórios de código público, como GitHub, BitBucket e Gitlab
Servidores de e-mail

Dependendo da solução de segurança contínua que você escolher, o processo de descoberta pode variar desde a entrada manual de domínios e endereços IP até a verificação automatizada com base em inteligência de código aberto e rastreamento da dark web.

Por exemplo, o UpGuard Vendor Risk e o UpGuard BreachSight executam automaticamente esse processo de descoberta diariamente por meio de métodos comerciais, de código aberto e proprietários confiáveis.

O que torna o UpGuard diferente de outros provedores de segurança contínua é nossa capacidade incomparável de detectar credenciais vazadas e dados expostos antes que caiam em mãos erradas.

Por exemplo, conseguimos detectar dados expostos em um repositório GitHub por um engenheiro da AWS em 30 minutos, o que levou a alertar a AWS e proteger o repositório no mesmo dia. Esse repositório continha documentos de identidade pessoal e credenciais do sistema, incluindo senhas, pares de chaves da AWS e chaves privadas. Leia mais sobre esse vazamento de dados da AWS aqui.

Conseguimos fazer isso porque descobrimos ativamente conjuntos de dados expostos na web aberta e profunda, vasculhando buckets abertos do S3, repositórios públicos do Github, RSync não seguro e servidores FTP. Mas não acredite apenas em nossa palavra. O New York Times, Bloomberg, Washington Post, Forbes e TechCrunch apresentaram nossa pesquisa de segurança.

Além da descoberta de ativos, uma solução de monitoramento de segurança contínua deve ser capaz de ajudar a monitorar os seguintes riscos de segurança: