Monitorização da segurança de rede (NSM): deteção em tempo real de ameaças de rede

A monitorização da segurança de rede (NSM) é a análise contínua do tráfego para identificar ameaças, anomalias e atividade não autorizada em todos os segmentos de rede. As capacidades NSM e de deteção e resposta de rede (NDR) de Cypher Sentinel detetam em tempo real movimento lateral, exfiltração de dados, comunicações de comando e controlo e ataques DDoS através de análise comportamental, integração de firewalls e inspeção avançada de tráfego encriptado.

A maioria das organizações depende hoje de firewalls e sistemas de deteção de intrusões para proteger as redes. No entanto, as firewalls só aplicam as regras para as quais estão configuradas, e as soluções IDS/IPS tradicionais deixam passar ataques sofisticados que usam encriptação ou evitam a deteção por assinaturas. A monitorização da segurança de rede (NSM) oferece uma abordagem diferente: análise contínua de todo o tráfego para detetar ameaças com base em comportamentos e anomalias, em vez de regras predefinidas.

Uma solução NSM abrangente como Cypher Sentinel oferece visibilidade completa do tráfego de rede, permitindo detetar ataques dentro da rede, incluindo movimento lateral entre sistemas, exfiltração de dados e comunicações de comando e controlo. Isto é essencial porque muitos ataques ocorrem depois de um atacante já ter ultrapassado o perímetro: a NSM deteta estas ameaças internas antes de causarem danos significativos.

O que é a monitorização da segurança de rede (NSM)?

A monitorização da segurança de rede (NSM) consiste na recolha e análise abrangentes do tráfego de rede para identificar ameaças de segurança, anomalias e atividades não autorizadas em tempo real. As soluções NSM capturam todo o tráfego ou recolhem amostras em grande escala, analisam indicadores de intrusão e padrões de ataque e permitem uma resposta rápida às ameaças detetadas.

A NSM difere de forma fundamental das firewalls e dos IDS/IPS tradicionais. As firewalls aplicam controlo de acesso com base em regras predefinidas. Os IDS/IPS tradicionais detetam ataques através de assinaturas conhecidas ou regras simples de deteção de anomalias. A NSM analisa o comportamento real visível no tráfego de rede, identificando ataques conhecidos, através de inteligência sobre ameaças, e desconhecidos, através de análise comportamental e deteção de anomalias.

• Visibilidade completa da rede — Veja todas as comunicações de rede, para além das que as firewalls registam ou assinalam.
• Deteção de ameaças para além das assinaturas — Detete ameaças desconhecidas com análise comportamental e deteção de anomalias.
• Deteção de movimento lateral — Identifique quando sistemas comprometidos comunicam com outros sistemas da rede.
• Prevenção da exfiltração de dados — Detete tentativas de roubo de dados analisando padrões e dimensões dos fluxos de dados.
• Deteção de ameaças encriptadas — Analise metadados do tráfego encriptado para detetar comunicações encriptadas maliciosas.

Capacidades de deteção e resposta de rede (NDR)

A deteção e resposta de rede (NDR) amplia a NSM com capacidades de resposta automatizada às ameaças detetadas. As plataformas NDR detetam ataques de rede e tomam automaticamente medidas defensivas para conter ameaças e minimizar o impacto.

As capacidades NDR avançadas incluem deteção de movimento lateral através de análise comportamental das comunicações entre sistemas, identificação de atividades de reconhecimento em que os atacantes procuram sistemas e serviços valiosos, deteção de exfiltração através de fluxos de dados invulgares e grandes transferências de saída e deteção de comunicações de comando e controlo com servidores maliciosos. A NDR permite isolar rapidamente segmentos de rede comprometidos e bloquear fluxos de tráfego malicioso.

Integração de firewalls e segurança de nova geração

A segurança de rede moderna exige integrar firewalls, IDS/IPS, NSM e inteligência sobre ameaças numa defesa coordenada. Enquanto as firewalls aplicam controlo de acesso e deteção básica de ameaças, a NSM oferece visibilidade aprofundada do conteúdo e comportamento do tráfego. Esta combinação proporciona uma defesa em camadas que trava ataques em vários pontos.

As firewalls de nova geração (NGFW) combinam funcionalidades tradicionais de firewall com prevenção de intrusões, filtragem ao nível da aplicação e integração de inteligência sobre ameaças. As NGFW inspecionam o tráfego na camada aplicacional e correlacionam a atividade de rede com inteligência sobre ameaças para bloquear tráfego malicioso conhecido e prevenir padrões de ataque conhecidos.

Quando integrados com plataformas NSM como Cypher Sentinel, os registos e alertas das firewalls combinam-se com análise detalhada do tráfego para oferecer segurança de rede abrangente. Cypher Sentinel pode atualizar automaticamente as regras das firewalls com base nas ameaças detetadas, bloqueando novas fontes de ataque em tempo real.

Sistemas de deteção e prevenção de intrusões (IDS/IPS)

Os sistemas de deteção de intrusões (IDS) analisam o tráfego de rede à procura de padrões correspondentes a ataques conhecidos, gerando alertas quando detetam atividade suspeita. Os sistemas de prevenção de intrusões (IPS) vão mais longe, bloqueando automaticamente os ataques detetados ao descartar pacotes maliciosos ou reiniciar ligações.

Contudo, os sistemas IDS/IPS tradicionais dependem da deteção por assinaturas, que só identifica ataques conhecidos. Plataformas EDR avançadas como Cypher Sentinel combinam deteção por assinaturas com análise comportamental e aprendizagem automática, permitindo detetar exploits de dia zero e novas técnicas de ataque que os IDS/IPS, por si só, não identificariam.

A integração de IDS/IPS com análise comportamental oferece deteção em camadas: as assinaturas bloqueiam ataques conhecidos, enquanto a análise comportamental e a deteção de anomalias identificam ataques desconhecidos.

Proteção DDoS e mitigação de ataques

Os ataques de negação de serviço distribuída (DDoS) tentam sobrecarregar os recursos de rede inundando-a de tráfego e impedindo os utilizadores legítimos de aceder aos serviços. As soluções de proteção DDoS utilizam técnicas sofisticadas para detetar e mitigar ataques mantendo a disponibilidade dos serviços.

A mitigação DDoS utiliza análise de tráfego para identificar padrões de ataque e filtrar tráfego malicioso em tempo real. Os ataques volumétricos que inundam a rede de dados são identificados analisando o volume e os padrões de tráfego. Os ataques a protocolos que exploram fraquezas dos protocolos de rede são detetados através da estrutura e do comportamento dos pacotes. Os ataques à camada aplicacional dirigidos a aplicações específicas são identificados analisando os respetivos padrões de tráfego.

A proteção DDoS avançada utiliza análise comportamental para detetar ataques sofisticados que podem evitar a filtragem volumétrica simples. A proteção DDoS de Cypher Sentinel combina filtragem de tráfego, proteção ao nível dos protocolos, proteção aplicacional e análise comportamental para manter a disponibilidade da rede mesmo perante ataques DDoS sofisticados.

Análise de tráfego encriptado e deteção de ameaças ocultas

À medida que a encriptação se generaliza, os atacantes utilizam-na cada vez mais para ocultar comunicações maliciosas. Embora proteja a privacidade dos dados, a encriptação também esconde das ferramentas NSM tradicionais comunicações maliciosas de comando e controlo e exfiltração de dados.

A análise de tráfego encriptado supera este desafio examinando os metadados e o comportamento das comunicações, mesmo quando o conteúdo está encriptado. Inclui analisar padrões de ligação, dimensões dos pacotes, frequência das comunicações e informações temporais. As comunicações encriptadas maliciosas apresentam frequentemente padrões característicos diferentes do tráfego encriptado legítimo.

Por exemplo, as comunicações de comando e controlo envolvem frequentemente sinais periódicos a intervalos fixos, diferentes dos padrões normais de tráfego aplicacional. A exfiltração através de encriptação envolve muitas vezes transferências grandes e prolongadas, distintas da utilização habitual de aplicações encriptadas. Ao analisar estes padrões comportamentais, as plataformas NSM podem detetar tráfego encriptado malicioso sem o desencriptar.

Integração e contexto da inteligência sobre ameaças

A segurança de rede melhora significativamente quando as plataformas NSM integram fontes de inteligência sobre ameaças que identificam endereços IP, domínios e padrões de ataque maliciosos conhecidos. Esta inteligência permite identificar imediatamente ameaças conhecidas e fornece contexto à análise de rede.

A integração de inteligência sobre ameaças com várias ferramentas de deteção permite à NSM identificar comunicações com servidores maliciosos conhecidos, detetar ataques correspondentes a padrões conhecidos, identificar sistemas comprometidos que comunicam com infraestruturas de botnets e reconhecer padrões de ataque de agentes de ameaça conhecidos. Isto acelera significativamente a deteção de ameaças conhecidas, enquanto a análise comportamental trata os ataques desconhecidos.

Cypher Sentinel integra-se com várias fontes de inteligência sobre ameaças e permite às organizações acrescentar inteligência personalizada baseada nos seus próprios incidentes de segurança e avaliações de ameaças.

Segmentação de rede e arquitetura Zero Trust

A segmentação divide a rede em zonas separadas com comunicação restrita entre elas, limitando o movimento lateral quando um sistema é comprometido. A arquitetura Zero Trust vai mais longe, exigindo autenticação e autorização para todas as comunicações de rede, independentemente da origem.

As plataformas NSM e NDR oferecem visibilidade essencial da segmentação de rede, detetando comunicações entre segmentos e identificando violações das políticas de segmentação. Isto permite aplicar essas políticas e detetar padrões de comunicação não autorizados.

As capacidades de cibersegurança Zero Trust de Cypher Sentinel aplicam a segmentação de rede e detetam violações, trabalhando com a NSM para detetar e impedir movimento lateral.

Modelos de implementação NSM e soberania dos dados

A monitorização da segurança de rede pode ser implementada em várias arquiteturas para satisfazer os requisitos organizacionais. A NSM na nuvem oferece serviços geridos e implementação simples, mas encaminha a telemetria de rede por servidores externos. A NSM nas instalações, nos centros de dados da organização, oferece soberania e controlo completos dos dados. A NSM híbrida combina deteção nas instalações com integração seletiva de inteligência sobre ameaças baseada na nuvem.

Para organismos públicos e organizações que tratam dados sensíveis, uma implementação NSM soberana garante que todas as análises de tráfego de rede e os dados de ameaças permanecem sob controlo da organização, cumprindo os requisitos de residência dos dados.