Conformidade Essential Eight: principais métricas a serem rastreadas

A segurança cibernética tornou-se crucial para empresas e entidades governamentais no cenário digital em constante mudança de hoje. Embora várias estruturas e diretrizes estejam disponíveis, o "Essential Eight" da Australian Signals Directorate é uma abordagem eficaz e prática para fortalecer a segurança de uma organização contra ataques cibernéticos e agentes de ameaças.

Alcançar a conformidade com o Essential Eight pode se tornar um processo longo, pois as organizações trabalham para atingir níveis de maturidade de alta segurança nos oito controles de segurança. Medir o progresso por meio de métricas ajuda as organizações a identificar o alinhamento com a estrutura e as áreas que precisam de atenção.

Nesta postagem do blog, discutiremos as métricas críticas que as organizações devem acompanhar para garantir que estejam alinhadas com os Oito Essenciais. Para aqueles que são novos no Essential Eight ou buscam melhorar sua abordagem, essas métricas-chave fornecem clareza e direção para navegar no complexo mundo da segurança cibernética.

Prepare-se para a conformidade com o Essential Eight com o UpGuard BreachSight >

O que é o Oito Essencial?

"Estratégias para mitigar incidentes de segurança cibernética", também conhecido como Essential Eight, é um conjunto de estratégias de segurança cibernética recomendadas pelo Australian Cyber Security Center (ACSC), publicado pela primeira vez em 2017. Essas iniciativas foram projetadas especificamente para proteger redes baseadas no Microsoft Windows conectadas à Internet. No entanto, os protocolos também podem ser aplicados para proteger serviços em nuvem e outros sistemas operacionais. É importante observar que outras estratégias de mitigação mais eficazes podem estar disponíveis para sistemas operacionais específicos com ameaças cibernéticas exclusivas.

As estratégias de mitigação são práticas de segurança cibernética, políticas de segurança e ferramentas projetadas para mitigar os riscos de segurança cibernética e proteger a segurança da informação de uma organização contra violações de dados ou acesso não autorizado. Essas estratégias têm como objetivo limitar e gerenciar os danos causados por incidentes cibernéticos, protegendo ativos, redes e dados digitais.

Oito controles de segurança essenciais

O núcleo do Essential Eight são oito estratégias de mitigação projetadas para aprimorar a postura geral de segurança cibernética de uma organização. Os oito controles de segurança são:

Controle de aplicativos: as organizações devem permitir que apenas aplicativos especificados sejam executados em suas redes, incluindo endpoints de rede, como estações de trabalho e servidores, impedindo a execução de malware e aplicativos não aprovados.
Aplicativos de patch: as organizações devem instalar imediatamente patches de segurança para evitar a exploração.
Definindo as configurações de macro do Microsoft Office: as organizações devem limitar a execução de macros a fontes confiáveis, evitando ataques baseados na Internet. O Microsoft Defender pode verificar se há vírus nas macros do Office.
Proteção de aplicativos do usuário: as organizações devem configurar navegadores da Web e o Microsoft Office para bloquear conteúdo desnecessário e potencialmente mal-intencionado, o que minimiza os pontos vulneráveis nos aplicativos.
Aplicação de patches em sistemas operacionais: as organizações devem atualizar seus sistemas operacionais regularmente para melhor segurança e proteção contra possíveis ameaças
Restringindo privilégios administrativos: as organizações devem limitar contas administrativas e privilegiadas, garantindo que os usuários tenham acesso mínimo para realizar seu trabalho.
Autenticação multifator (MFA): as organizações devem implementar métodos de autenticação dupla para impedir o acesso não autorizado.
Backups regulares: as organizações devem criar backups de dados importantes para acelerar a recuperação após uma violação de segurança cibernética.

O Modelo de Maturidade Essencial dos Oito

Para ajudar as organizações a implementar a estrutura Essential Eight, o ASD também produziu o Modelo de Maturidade Essential Eight. O modelo inclui quatro níveis de maturidade diferentes com base na mitigação de níveis crescentes de segmentação de agentes mal-intencionados. Esse modelo ajuda as organizações a considerar o nível de segmentação, em vez de quais agentes mal-intencionados pretendem mitigar.

Nível de maturidade 0: esse nível de linha de base significa pontos fracos na postura de segurança cibernética de uma organização. Se explorados, os dados confidenciais e a integridade do sistema podem ser comprometidos.
Nível de maturidade 1: Nesse nível, os agentes mal-intencionados se contentam em utilizar ferramentas comuns para obter acesso e controlar os sistemas. Isso inclui explorações publicamente disponíveis, credenciais roubadas, força bruta, etc.
Nível de maturidade 2: Os agentes mal-intencionados neste nível são um avanço na capacidade e estão dispostos a investir mais tempo e ferramentas em um alvo. Isso inclui direcionar credenciais específicas por meio de phishing, contornar MFA fraco etc.
Nível de maturidade 3: Nesse nível, os agentes mal-intencionados são mais adaptáveis e menos dependentes de ferramentas e técnicas públicas. Eles podem explorar pontos fracos na postura de segurança cibernética, como software mais antigo ou registro/monitoramento insuficiente, não apenas acessando os sistemas inicialmente, mas evitando a detecção e solidificando sua presença.

Quem deve implementar os oito essenciais?

O governo federal australiano tornou obrigatório que todas as 98 entidades não corporativas da Commonwealth (NCCEs) cumpram a estrutura Essential Eight. Anteriormente, o governo exigia apenas que as entidades cumprissem os quatro primeiros controles de segurança dos Oito Essenciais. Agora, todos os oito controles de segurança devem ser seguidos para os requisitos de conformidade. Para garantir que as organizações mantenham todos os controles de segurança, a Austrália exige que todas as entidades passem por uma auditoria abrangente a cada cinco anos a partir de junho de 2022.

Fora dos NCCEs, o Essential Eight opera como uma estrutura de segurança cibernética e não como um regulamento, o que significa que não há requisitos para implementar as estratégias de gerenciamento de risco e nenhuma penalidade por não conformidade. No entanto, o ACSC recomendou fortemente os Oito Essenciais e a estrutura pode ser aplicada globalmente, pois fornece abordagens práticas e fundamentais de segurança cibernética.

Rastreando a conformidade com o Essential Eight

A conformidade com o Essential Eight demonstra uma alta postura de segurança cibernética e adesão às melhores práticas para mitigar incidentes cibernéticos. Alcançar essa conformidade pode ser longo e árduo, mas acompanhar as principais métricas pode ajudar sua organização a identificar o que está funcionando bem e o que precisa ser melhorado.

Oito métricas-chave essenciais

No geral, a conformidade com o Essential Eight é dividida em conformidade com os oito controles de segurança. Para acompanhar adequadamente a conformidade, abaixo estão as métricas específicas para cada controle de segurança.

Controle de aplicativos

O controle de aplicativos é uma prática de segurança que ajuda a impedir que aplicativos não autorizados sejam executados em um sistema, permitindo que apenas softwares aprovados sejam executados. A Australian Signals Directorate (ASD) recomenda vários tipos de controle de aplicativos, incluindo uma solução de permissão/bloqueio para todas as estações de trabalho e endpoints, uma solução de permissão/bloqueio para todos os servidores e a implementação das regras de bloqueio mais recentes da Microsoft. Além disso, a implementação de políticas de permissão/bloqueio junto com regras de redução da superfície de ataque pode aumentar ainda mais a segurança do seu sistema.

Para acompanhar sua conformidade nesse controle de segurança, considere acompanhar estas métricas:

Porcentagem de dispositivos com controle de aplicativos aplicado: mede a proporção de todos os dispositivos da organização (por exemplo, estações de trabalho, servidores) que têm mecanismos de controle de aplicativos, como controles de permissão/bloqueio, ativamente em vigor
Número de tentativas de execução de aplicativos não autorizados: total de instâncias em que aplicativos não aprovados ou bloqueados tentam ser executados
Frequência de atualizações da lista de permissões/bloqueios de aplicativos: rastreia a frequência com que uma lista de aplicativos aprovados é atualizada, garantindo que apenas o software necessário seja permitido enquanto aplicativos desatualizados ou vulneráveis são removidos/substituídos

Aplicativos de patch

A aplicação de patches em aplicativos envolve a aplicação de atualizações a qualquer software para corrigir vulnerabilidades, aprimorar a funcionalidade ou resolver outros problemas. Antes de corrigir, você deve identificar todas as vulnerabilidades que exigem correção nos aplicativos atuais e categorizá-las de risco baixo a extremo.

A ASD recomenda que todas as vulnerabilidades de risco extremo tenham patches de segurança implementados em 48 horas, utilizando uma solução que confirme que todos os patches necessários estão instalados (ou seja, sistemas e provedores de gerenciamento de patches) e garantindo que todos os aplicativos internos sejam compatíveis com o software do fornecedor corrigido.

Utilize as seguintes métricas para identificar sua capacidade de corrigir aplicativos:

Porcentagem de aplicativos corrigidos dentro de um período de tempo especificado: mede a porcentagem de aplicativos de software que recebem patches ou atualizações dentro de um período de tempo especificado (por exemplo, 30 dias após o lançamento de um patch), indicando um gerenciamento eficaz de vulnerabilidades
Número de aplicativos desatualizados no ambiente: quantidade de aplicativos em execução em versões desatualizadas, o que pode incluir riscos potenciais que exigem esforços de correção com base em vulnerabilidades conhecidas para essas versões
Frequência de verificações de vulnerabilidades e avaliações de patches: mede a frequência de varredura de vulnerabilidades e avaliações de patches para identificação proativa e retificação de vulnerabilidades de software

Definir configurações de macro do Microsoft Office

As macros do Microsoft Office são criadas para simplificar fluxos de trabalho e automatizar tarefas repetitivas. No entanto, uma macro comprometida pode fornecer acesso não autorizado a recursos confidenciais, levando a riscos de segurança. O ASD recomenda que as organizações desativem todas as macros do Microsoft Office para segurança máxima e permitam que apenas macros do MS Office de locais confiáveis sejam usadas em documentos. Além disso, as macros com acesso de gravação devem ser limitadas a usuários específicos e todas as macros em documentos acessados da Internet devem ser bloqueadas.

Para acompanhar sua conformidade com a configuração de macros do Microsoft Office, considere estas métricas:

Porcentagem de dispositivos com configurações de macro restritas: mede a proporção de dispositivos em sua organização em que as configurações de macro do Microsoft Office foram configuradas para impedir que macros sejam executadas automaticamente, especialmente de fontes não confiáveis
Número de incidentes de segurança relacionados a macros detectados: quantidade de incidentes em que macros maliciosas tentaram ser executadas ou foram bloqueadas, o que também avalia a eficácia dos controles de segurança de macro e o cenário de ameaças potenciais
Frequência das auditorias de conformidade das configurações de macro: rastreia a frequência com que a organização revisa e verifica a configuração das configurações de macro do Microsoft Office em todos os dispositivos, garantindo a aplicação consistente das práticas recomendadas e identificando quaisquer desvios que precisem de ajuste

Proteção de aplicativos do usuário

A proteção de aplicativos refere-se à prática de proteger as configurações de software para minimizar a possibilidade de vulnerabilidade a possíveis ameaças. Esse processo envolve ajustar as configurações, desativar recursos desnecessários e implementar restrições nos aplicativos para limitar possíveis pontos de entrada para agentes mal-intencionados. O ASD recomenda a proteção de aplicativos configurando todos os navegadores da Web para bloquear ou desativar conteúdo Flash, anúncios da Web e Java em sites acessados. Além disso, as configurações do Microsoft Office devem ser ajustadas para desativar o suporte a conteúdo Flash e impedir que os pacotes de vinculação e incorporação de objetos sejam ativados.

As métricas a seguir ajudarão sua organização a acompanhar a conformidade com a proteção de aplicativos do usuário:

Porcentagem de aplicativos com configurações reforçadas: identifica a proporção de aplicativos em sua organização configurados com configurações aprimoradas de segurança, como desativar recursos desnecessários ou restringir determinados recursos
Número de incidentes de segurança decorrentes de aplicativos não protegidos: quantidade total de incidentes de segurança devido a vulnerabilidades de aplicativos vinculadas ao fortalecimento inadequado, que identifica áreas que exigem medidas de proteção mais robustas
Frequência das revisões de proteção de aplicativos: mede a frequência com que sua organização avalia e atualiza os padrões e configurações de proteção de aplicativos, o que ajuda as práticas de proteção a evoluir com o cenário de ameaças em constante mudança e permanecer eficazes contra vulnerabilidades emergentes

Restringir privilégios administrativos

Limitar os privilégios administrativos é um processo crucial que envolve a restrição do número de usuários com direitos de acesso elevados em um sistema ou aplicativo. Essa abordagem de controle de acesso garante que apenas o pessoal essencial possa fazer alterações significativas ou acessar informações confidenciais, reduzindo o potencial de uso indevido acidental ou mal-intencionado desses direitos.

A ASD recomenda limitar o acesso privilegiado apenas àqueles que precisam e implementar controles técnicos para evitar que usuários privilegiados usem serviços online para ler e-mails, navegar na Internet ou obter arquivos. Considere revisar o acesso privilegiado regularmente e remover aqueles que não precisam mais dele.

Para acompanhar o quão bem sua organização está restringindo privilégios administrativos, utilize estas três métricas:

Porcentagem de contas de usuário ativas com privilégios administrativos: a proporção de todas as contas de usuário ativas que atualmente possuem direitos administrativos elevados, oferecendo um instantâneo da possível alocação excessiva de tais privilégios.
Número de ações de concessão/revogação de privilégios de administrador em um determinado período: o número de ações que concedem ou revogam privilégios administrativos, medindo o dinamismo da alocação de privilégios e garantindo que ela corresponda às necessidades comerciais legítimas.
Frequência de auditorias de acesso administrativo: com que frequência a organização realiza revisões de contas de usuário com privilégios administrativos, incluindo a verificação da necessidade desses privilégios para cada usuário, garantindo que os usuários com direitos elevados tenham uma necessidade comercial justificada e revogando privilégios quando não forem mais necessários.

Patch de sistemas operacionais

A aplicação de patches em um sistema operacional envolve a aplicação de atualizações de software para corrigir vulnerabilidades de segurança, melhorar a funcionalidade e resolver bugs de software. A atualização regular dos sistemas operacionais ajuda a resolver vulnerabilidades conhecidas, garantindo que os sistemas não sejam suscetíveis a explorações que os invasores visam com frequência.

Assim como os aplicativos de patch, o ASD recomenda corrigir os sistemas operacionais com vulnerabilidades de alto risco em 48 horas, utilizando sistemas de gerenciamento de patches e garantindo que todos os aplicativos internos sejam compatíveis com o software do fornecedor corrigido.

As métricas a seguir ajudarão sua organização a rastrear o quão bem os sistemas operacionais são corrigidos:

Porcentagem de sistemas corrigidos dentro de um período de tempo especificado: mede a porcentagem de dispositivos que recebem patches ou atualizações do sistema operacional dentro de um período de tempo especificado, como 30 dias a partir do lançamento
Número de sistemas que executam versões de sistema operacional desatualizadas ou não suportadas: quantidade total de sistemas que operam em versões de sistema operacional desatualizadas ou não suportadas que podem representar riscos de segurança ou ter vulnerabilidades não corrigidas
Tempo médio para corrigir vulnerabilidades críticas do sistema operacional: mede o tempo necessário para sua organização corrigir vulnerabilidades críticas do sistema operacional (uma duração mais curta indica maior manutenção da segurança do sistema operacional)

Autenticação multifator (MFA)

A autenticação multifator (MFA) é um método de segurança que exige que os usuários forneçam vários métodos de verificação para acessar uma conta ou sistema. A implementação da MFA é um dos controles de segurança mais fáceis e as maneiras mais eficazes de evitar violações de dados. Cada camada de autenticação requer credenciais diferentes, tornando mais difícil comprometer o acesso à rede, instalar ransomware ou realizar phishing bem-sucedido.

O ASD recomenda impor pelo menos duas camadas de autenticação em todas as contas privilegiadas e em todas as solicitações de acesso a recursos confidenciais.

Para acompanhar a MFA em sua organização, considere usar as seguintes métricas:

Porcentagem de usuários inscritos na autenticação multifator (MFA): porcentagem de usuários que se inscreveram com êxito e usam a MFA, incluindo contas regulares e privilegiadas
Número de falhas de autenticação ou desafios de MFA: quantidade de instâncias em que os desafios de MFA são acionados (tentativas de acesso legítimas ou potencialmente não autorizadas)
Tempo médio para resolver bloqueios ou problemas de MFA: duração média necessária para resolver desafios relacionados à MFA, como bloqueios de usuário (um tempo de resolução mais curto reduz possíveis interrupções no fluxo de trabalho)

Backups diários de dados

No caso de uma violação bem-sucedida dos dados da sua organização, um backup de dados recente pode garantir que sua organização volte aos trilhos sem problemas. Os backups diários de dados referem-se ao processo rotineiro de copiar e armazenar dados diariamente para garantir sua disponibilidade em caso de perda de segurança, corrupção ou violação de dados.

O ASD recomenda implementar vários processos de backup e restauração de dados, testar esses processos regularmente e armazenar backups por pelo menos três meses.

As métricas abaixo ajudarão sua organização a rastrear a eficácia dos processos diários de backup de dados:

Taxa de sucesso do backup: porcentagem de backups de dados agendados concluídos sem erros, indicando a confiabilidade do processo de backup
Tempo médio de restauração do backup: duração típica necessária para restaurar sistemas ou dados afetados de um arquivo de backup
Idade dos dados sem backup mais antigos: Tempo decorrido desde o último backup bem-sucedido para os dados mais antigos, avaliando a exposição potencial à perda de dados

O Essential Eight está preocupado com as estratégias básicas de mitigação de segurança cibernética. Se sua organização deseja aumentar ainda mais sua postura de segurança cibernética e gerenciar sua superfície de ataque externa, o UpGuard está aqui para ajudar.

O UpGuard BreachSight ajuda você a entender os riscos que afetam sua postura de segurança externa e garante que seus ativos sejam constantemente monitorados e protegidos. Nossa plataforma tudo-em-um facilita a visualização rápida da segurança cibernética da sua organização e a comunicação interna sobre riscos, vulnerabilidades ou incidentes de segurança atuais. Outros recursos incluem:

Detecção de vazamento de dados: proteja sua marca, propriedade intelectual e dados de clientes com detecção oportuna de vazamentos de dados e evite violações de dados
Monitoramento contínuo: obtenha informações em tempo real e gerencie exposições, incluindo domínios, IPs e credenciais de funcionários
Redução da superfície de ataque: reduza sua superfície de ataque descobrindo vulnerabilidades exploráveis e domínios em risco de typosquatting
Perfil de segurança compartilhado: Elimine a necessidade de responder a questionários de segurança criando um perfil compartilhado do UpGuard
Fluxos de trabalho e isenções: simplifique e acelere a forma como você corrige problemas, dispensa riscos e responde a consultas de segurança
Relatórios e insights: acesse relatórios personalizados para diferentes partes interessadas e visualize informações sobre sua superfície de ataque externa