Página inicial da OpenText.
Tópicos técnicos

O que é a caça a ameaças cibernéticas?

Ilustração de itens de TI com foco em um laptop

Visão geral

A caça às ameaças cibernéticas é uma abordagem voltada para o futuro da segurança na Internet, na qual os caçadores de ameaças procuram proativamente os riscos de segurança ocultos na rede de uma organização. Diferentemente das estratégias de caça à segurança cibernética mais passivas - como os sistemas automatizados de detecção de ameaças -, a caça cibernética busca ativamente ameaças anteriormente não detectadas, desconhecidas ou não corrigidas que poderiam ter escapado dos sistemas de defesa automatizados da sua rede.

Caça às ameaças cibernéticas

O que é TI híbrida?

Os criminosos cibernéticos estão se tornando mais sofisticados do que nunca, o que faz da caça às ameaças cibernéticas um componente essencial de estratégias robustas de segurança de redes, endpoints e conjuntos de dados. Se um atacante externo avançado ou uma ameaça interna escapar dos sistemas iniciais de defesa de rede, eles podem permanecer sem serem detectados por meses. Durante esse tempo, eles podem coletar dados confidenciais, comprometer informações confidenciais ou proteger credenciais de login que lhes permitam se infiltrar lateralmente em seu ambiente de rede.

A equipe de segurança não pode mais se dar ao luxo de sentar e esperar que os sistemas automatizados de detecção de ameaças cibernéticas os notifiquem sobre um ataque iminente. Com a caça às ameaças cibernéticas, eles podem identificar proativamente possíveis vulnerabilidades ou ameaças antes que um ataque possa causar danos.

Como funciona a caça às ameaças cibernéticas?

A caça às ameaças cibernéticas combina o elemento humano com o poder de processamento de big data de uma solução de software. Os caçadores de ameaças humanos - que usam soluções e inteligência/dados para encontrar adversários que possam escapar das defesas típicas - contam com dados de ferramentas complexas de monitoramento e análise de segurança para ajudá-los a identificar e neutralizar ameaças de forma proativa.

A intuição humana, o pensamento estratégico e ético e a solução criativa de problemas desempenham um papel fundamental no processo de caça cibernética. Essas características humanas permitem que as organizações implementem resoluções de ameaças com mais rapidez e precisão do que se dependessem apenas de ferramentas automatizadas de detecção de ameaças.

O que é necessário para começar a caçar ameaças?

Para que a caça às ameaças cibernéticas funcione, os caçadores de ameaças devem primeiro estabelecer uma linha de base de eventos previstos ou autorizados para identificar melhor as anomalias. Usando essa linha de base e a mais recente inteligência contra ameaças, os caçadores de ameaças podem então vasculhar os dados de segurança e as informações coletadas pelas tecnologias de detecção de ameaças. Essas tecnologias podem incluir soluções de gerenciamento de eventos e informações de segurança (SIEM), detecção e resposta gerenciadas (MDR) ou outras ferramentas de análise de segurança.

Uma vez equipados com dados de fontes variadas, como dados de endpoint, rede e nuvem, os caçadores de ameaças podem vasculhar seus sistemas em busca de riscos potenciais, atividades suspeitas ou acionadores que se desviem do normal. Se uma ameaça conhecida ou potencial for detectada, os caçadores de ameaças poderão desenvolver hipóteses e investigações aprofundadas da rede. Durante essas investigações, os caçadores de ameaças tentam descobrir se uma ameaça é maliciosa ou benigna, ou se a rede está protegida adequadamente contra novos tipos de ameaças cibernéticas.

A caça às ameaças cibernéticas faz parte da inteligência contra ameaças?

A inteligência sobre ameaças cibernéticas concentra-se na análise, coleta e priorização de dados para melhorar nosso entendimento das ameaças enfrentadas por uma empresa.

Tipos de investigação de caça a ameaças

Há três tipos principais de investigação de caça a ameaças:

  • Estruturada: Esse tipo de caça à segurança cibernética é baseado em um indicador de ataque, bem como nas táticas, técnicas e procedimentos (TTPs) de um invasor. Usando a estrutura MITRE Adversary Tactics Techniques and Common Knowledge (ATT&CK®), a caça estruturada permite que os caçadores de ameaças identifiquem um agente mal-intencionado antes que ele possa prejudicar a rede.
  • Não estruturada: Com base em um acionador ou indicador de comprometimento (IoC), os caçadores de ameaças usam a caça não estruturada para procurar padrões perceptíveis em toda a rede, antes e depois de um acionador ou IoC ser encontrado.
  • Situacional ou baseado em inteligência de ameaças: As hipóteses são derivadas de circunstâncias situacionais, como vulnerabilidades descobertas durante uma avaliação de risco da rede. Com a mais recente inteligência contra ameaças, os caçadores de ameaças podem fazer referência a dados internos ou de crowdsourcing sobre tendências de ataques cibernéticos ou TTPs de atacantes ao analisar sua rede.

Em todos esses três tipos de investigação, os caçadores de ameaças pesquisam os eventos em busca de anomalias, pontos fracos ou atividades suspeitas fora dos eventos previstos ou autorizados. Se forem encontradas falhas de segurança ou atividades incomuns, os caçadores poderão corrigir a rede antes que ocorra ou volte a ocorrer um ataque cibernético.

As quatro etapas da caça às ameaças cibernéticas

Para iniciar efetivamente um programa de caça a ameaças cibernéticas, há quatro etapas que sua equipe de segurança deve seguir:

  • Desenvolver uma hipótese: Os caçadores de ameaças devem desenvolver uma hipótese com base nos riscos ou vulnerabilidades que possam existir na infraestrutura da organização, na inteligência atual sobre ameaças ou nas TTPs dos atacantes, ou em atividades suspeitas ou em um acionador que se desvie da atividade padrão da linha de base. Eles também podem usar seu conhecimento, experiência e habilidades criativas de resolução de problemas para estabelecer uma hipótese de ameaça e decidir sobre um caminho a seguir para testá-la.
  • Iniciar a investigação: Durante uma investigação, um caçador de ameaças pode se apoiar em conjuntos de dados complexos e históricos derivados de soluções de caça a ameaças, como SIEM, MDR e análise de comportamento de entidades de usuários. A investigação prosseguirá até que a hipótese seja confirmada e anomalias sejam detectadas, ou a hipótese seja considerada benigna.
  • Descubra novos padrões: Quando anomalias ou atividades mal-intencionadas são encontradas, a próxima etapa é implementar uma resposta rápida e eficiente. Isso pode incluir a desativação de usuários, o bloqueio de endereços IP, a implementação de patches de segurança, a alteração das configurações de rede, a atualização dos privilégios de autorização ou a introdução de novos requisitos de identificação. À medida que suas equipes de segurança trabalham para resolver as ameaças à rede de forma proativa, elas aprenderão inerentemente as TTPs dos agentes de ameaças e como podem atenuar essas ameaças no futuro.
  • Responda, enriqueça e automatize: O trabalho de caça às ameaças não tem fim, pois os criminosos cibernéticos estão sempre avançando e criando novas ameaças à rede. A caça às ameaças cibernéticas deve se tornar uma prática cotidiana na sua organização, operando em conjunto com as tecnologias de detecção automatizada de ameaças e com os processos atuais de identificação e correção de ameaças da sua equipe de segurança.

Quais são os principais desafios da caça às ameaças cibernéticas?

Como a caça a ameaças cibernéticas adota uma abordagem proativa e prática para a detecção e correção de ameaças, algumas organizações enfrentam desafios significativos ao implementar essa prática de segurança. Para que um programa de caça a ameaças cibernéticas seja bem-sucedido, a organização deve ter três componentes principais trabalhando em harmonia:

  • Caçadores de ameaças especializados: O capital humano envolvido na caça às ameaças cibernéticas é, sem dúvida, o componente mais importante. Os caçadores de ameaças devem ser especialistas no cenário de ameaças e ser capazes de identificar rapidamente os sinais de alerta de ataques sofisticados.
  • Dados abrangentes: Para buscar ameaças adequadamente, os caçadores devem ter acesso a uma grande quantidade de dados (dados atuais e históricos) que proporcionem visibilidade de toda a infraestrutura. Sem esses dados agregados, os caçadores de ameaças não poderão criar hipóteses de ameaças informadas com base em seus endpoints, rede ou infraestrutura de nuvem.
  • Inteligência atualizada sobre ameaças: Os caçadores de ameaças devem estar equipados com a inteligência mais atualizada sobre ameaças, o que lhes permite comparar as tendências atuais de ataques cibernéticos com os dados internos. Sem saber quais são as ameaças novas ou as tendências existentes, os caçadores de ameaças não terão as informações necessárias para analisar corretamente as possíveis ameaças à rede.

A implementação de todos esses três componentes e a garantia de que eles funcionem perfeitamente juntos requerem muitos recursos organizacionais. Infelizmente, algumas equipes de segurança não têm acesso às ferramentas, ao pessoal ou às informações certas para estabelecer um programa de caça a ameaças cibernéticas em grande escala.

Descubra a caça gerenciada de ameaças cibernéticas com o OpenText Cybersecurity

A proteção bem-sucedida da infraestrutura de sua organização exige uma abordagem proativa, e não reativa. Já se foi o tempo em que as tecnologias automatizadas de detecção de ameaças eram suficientes para proteger dados ou informações confidenciais. Em vez disso, suas equipes de segurança devem implementar um programa contínuo de caça a ameaças cibernéticas que lhes permita criar hipóteses fundamentadas e identificar anomalias, riscos ou atividades suspeitas na rede antes que um invasor externo ou uma ameaça interna possa causar danos.

Está em busca de um serviço gerenciado para oferecer caça a ameaças cibernéticas sem a necessidade de investir em software e recursos? O OpenText™ Security Services oferece buscas de ameaças pontuais e serviços baseados em assinatura para executar ameaças situacionais, não estruturadas e estruturadas e identificar anomalias, pontos fracos e atividades suspeitas. Combinado com nossa experiência em risco e conformidade, análise forense digital e resposta a incidentes, nossos clientes confiam na OpenText para melhorar sua resiliência cibernética.

Caça às ameaças cibernéticas

Comece hoje mesmo.

Solicite uma demonstração

Produtos relacionados

OpenText™ Cybersecurity Cloud

Defenda com precisão, assegure com confiança

OpenText™ Enterprise Security Manager

Acelere a detecção e resposta a ameaças com correlação em tempo real e SOAR nativo

OpenText™ Core Behavioral Signals

Detectar proativamente riscos internos, ataques novos e ameaças persistentes avançadas

OpenText™ Security Log Analytics

Acelere a detecção de ameaças com insights de segurança perspicazes e acionáveis

Detecção e resposta a ameaças

Encontre e responda às ameaças cibernéticas que importam

Como podemos ajudar?

Notas de rodapé