A identidade é o novo campo de batalha

Os ataques cibernéticos realizados por atores de estados-nação estão em ascensão. Apesar dos seus vastos recursos, esses adversários frequentemente dependem de táticas simples para roubar senhas que são fáceis de adivinhar. Dessa forma, eles ganham acesso rápido e fácil às contas dos clientes. No caso de ataques corporativos, penetrar na rede de uma organização permite que atores patrocinados por estados estabeleçam um ponto de apoio que podem usar para se mover verticalmente, entre usuários e recursos semelhantes, ou horizontalmente, obtendo acesso a credenciais e recursos mais importantes.

Spear phishing, ataques de engenharia social e pulverizações de senhas em massa são táticas básicas usadas por atores de estado para roubar ou adivinhar senhas. A Microsoft obtém insights sobre as táticas e técnicas dos invasores observando em quais eles investem e têm sucesso. Se as credenciais dos usuários são mal gerenciadas ou deixadas vulneráveis sem proteções importantes como autenticação multifator (MFA) e recursos sem senha, os estados-nação continuarão usando as mesmas táticas simples.

A necessidade de impor a adoção da MFA ou eliminar completamente o uso de senhas não pode ser superestimada, pois a simplicidade e o baixo custo dos ataques focados em identidade os tornam convenientes e eficazes para os atores. Embora a MFA não seja a única ferramenta de gerenciamento de identidades e acesso que as organizações devem usar, ela pode ser um poderoso elemento de inibição contra ataques.

O abuso de credenciais é uma característica do NOBELIUM, um adversário de estado-nação associado à Rússia. No entanto, outros adversários, como o DEV 0343 ligado ao Irã, também recorrem a pulverizações de senha. Observou-se atividades do DEV-0343 em empresas de defesa que produzem radares militares, tecnologia de drones, sistemas de satélite e sistemas de comunicação para resposta a emergências. Outras atividades visaram portos regionais de entrada no Golfo Pérsico e várias empresas de transporte marítimo e de cargas com foco comercial no Oriente Médio.

Habilitar a autenticação multifator: dessa forma, elas reduzem o risco das senhas caírem nas mãos erradas. Melhor ainda, eliminar completamente as senhas optando por MFA sem senha.

Auditar privilégios de conta: contas com acesso privilegiado, se comprometidas, tornam-se uma arma poderosa que invasores podem usar para ampliar o acesso a redes e recursos. Equipes de segurança devem auditar privilégios de acesso com frequência, usando o princípio de menor privilégio concedido para permitir que os funcionários desempenhem suas funções.

Revisar, reforçar e monitorar todas as contas de administrador de locatários: equipes de segurança devem revisar minuciosamente todos os usuários ou contas de administrador de locatários vinculadas a privilégios administrativos delegados para confirmar a autenticidade dos usuários e atividades. Eles devem, então, desativar ou remover privilégios administrativos delegados não utilizados.

Estabelecer e aplicar uma linha de base de segurança para reduzir riscos: estados-nação patrocinadores pensam a longo prazo e têm financiamento, vontade e escalabilidade para desenvolver novas estratégias e técnicas de ataque. Toda iniciativa de reforço da rede que seja adiada por causa da largura de banda ou burocracia acaba favorecendo esses adversários. Equipes de segurança devem priorizar a implementação de práticas de confiança zero, como MFA e atualizações para sistemas sem senha . Podem começar com contas privilegiadas para obter proteção rapidamente, depois expandir em fases incrementais e contínuas.

A narrativa dominante parece ser que existem inúmeras novas ameaças de ransomware que superam as capacidades dos defensores. Contudo, as análises da Microsoft mostram que isso não é verdade. Há também uma percepção de que certos grupos de ransomware operam como uma única entidade monolítica, o que também não é verdade. O que existe é um mercado cibercriminoso onde diferentes agentes em cadeias de ataque padronizadas fazem escolhas intencionais. Eles são motivados por um modelo econômico que visa maximizar lucros com base na exploração das informações às quais têm acesso. O gráfico abaixo mostra como diferentes grupos lucram com várias estratégias de ataques cibernéticos e informações obtidas através de violações de dados.

Entender que o ransomware se alastra por meio de credenciais padrão ou comprometidas: por isso, as equipes de segurança devem acelerar as proteções, como implementar MFA sem senha em todas as contas de usuários e priorizar funções executivas, administrativas e outros funções com privilégios.

Identificar como detectar anomalias reveladoras a tempo de agir: logins iniciais, movimentação de arquivos e outros comportamentos que introduzem ransomware podem parecer indistintos. No entanto, as equipes precisam monitorar anomalias e agir sobre elas rapidamente.

Ter um plano de resposta a ransomware e realizar exercícios de recuperação: vivemos na era da sincronização e compartilhamento na nuvem, mas cópias de dados são totalmente diferentes de sistemas de TI e bancos de dados. As equipes devem visualizar e praticar como são as restaurações completas.

Gerenciar alertas e agir rapidamente na mitigação: embora todos temam ataques de ransomware, o foco principal das equipes de segurança deve ser o fortalecimento de configurações de segurança fracas que permitem o sucesso do ataque. Elas devem gerenciar as configurações de segurança para que os alertas e detecções sejam respondidos da maneira adequada.

Ameaças em pontos de extremidade:
O Microsoft Defender para Ponto de Extremidade bloqueou mais de 9,6 bilhõesde ameaças por malware visando dispositivos de clientes empresariais e consumidores, entre janeiro e dezembro de 2021.

Ameaças por email:
O Microsoft Defender para Office 365 bloqueou mais de 35,7 bilhões de emails de phishing e outros emails maliciosos direcionados a clientes empresariais e consumidores, entre janeiro e dezembro de 2021.

Ameaças à identidade:
A Microsoft (Azure Active Directory) detectou e bloqueou mais de 25,6 bilhões de tentativas de invasão de contas de clientes empresariais através de força bruta em senhas roubadas, entre janeiro e dezembro de 2021.