A segurança Zero Belief muda a forma como as organizações lidam com a segurança, eliminando a confiança implícita enquanto analisam e validam continuamente as solicitações de acesso. Ao contrário da segurança baseada em perímetro, os usuários de um ambiente não são automaticamente confiáveis ao obter acesso. A segurança Zero Belief incentiva o monitoramento contínuo de cada dispositivo e usuário, o que garante proteção sustentada após autenticação bem-sucedida do usuário.
Por que as empresas adotam a segurança Zero Belief
As empresas adotam a segurança Zero Belief para se protegerem contra ameaças cibernéticas complexas e cada vez mais sofisticadas. Isto aborda as limitações dos modelos tradicionais de segurança baseados em perímetros, que incluem a ausência de segurança de tráfego leste-oeste, a confiança implícita dos internos e a falta de visibilidade adequada.
 |
| Segurança tradicional vs. Zero Belief |
A segurança Zero Belief atualiza a postura de segurança de uma organização, oferecendo:
- Postura de segurança aprimorada: As organizações podem melhorar sua postura de segurança coletando continuamente dados sobre tráfego de rede, solicitações de acesso e atividades de usuários/sistemas em seu ambiente.
- Proteção contra ameaças internas: A segurança Zero Belief garante que todos os usuários dentro do perímetro da rede sejam autenticados antes de receberem acesso, adotando o princípio de “nunca confiar, sempre verificar”.
- Adaptação ao trabalho remoto: A segurança Zero Belief melhora a segurança das organizações de trabalho remoto, priorizando a verificação de identidade, a segurança e o monitoramento contínuo de cada dispositivo/usuário.
- Conformidade: ajuda as organizações a atender aos requisitos de conformidade, aplicando controle rigoroso, monitoramento contínuo e proteção de dados alinhados aos padrões regulatórios.
- Mitigação de violações: Ao implementar mecanismos de resposta automatizados, as organizações podem limitar rapidamente os privilégios de acesso para contas e dispositivos comprometidos, contendo assim possíveis danos e reduzindo o impacto geral de uma violação.
Como aplicar a segurança Zero Belief
Aqui estão os fatores a serem considerados ao implementar a segurança Zero Belief para sua organização:
- Monitoramento contínuo: Isso garante que todas as atividades da rede e do sistema sejam monitoradas e analisadas. Você pode adotar uma plataforma de gerenciamento de eventos e informações de segurança (SIEM). Um SIEM é uma solução de segurança que oferece visibilidade em tempo actual, permitindo que as organizações identifiquem e resolvam ameaças e vulnerabilidades de segurança.
- Resposta a incidentes: isso permite que as organizações respondam rapidamente a incidentes de segurança. As organizações usam plataformas Prolonged Detection and Response (XDR) para reagir rapidamente a violações de segurança, minimizando danos e reduzindo o tempo de inatividade.
- Prevenção de acesso inicial: Ao monitorar continuamente a exploração de vulnerabilidades, o comportamento incomum do usuário e as tentativas de login de força bruta, as organizações podem detectar ameaças em tempo actual antes que os invasores estabeleçam um ponto de entrada.
- Menor privilégio: Isso incentiva a atribuição mínima de privilégios dentro do sistema, pois os usuários devem receber apenas o acesso necessário. Isso pode ser alcançado usando soluções de gerenciamento de identidade e acesso (IAM). As soluções IAM usam controle de acesso baseado em função (RBAC) para atribuir permissões específicas aos usuários. Você pode utilizar uma plataforma SIEM e XDR para monitorar as configurações do IAM em busca de alterações não autorizadas.
- Controle de acesso ao dispositivo: Todos os dispositivos que acessam a rede devem passar por um processo prévio de autenticação e verificação. Este processo envolve a verificação da identidade do dispositivo, da postura de segurança e da conformidade com as políticas organizacionais. Mesmo após o acesso inicial ser concedido, o dispositivo pode continuar a ser monitorado em busca de quaisquer sinais de comprometimento, garantindo segurança contínua.
- Microssegmentação: Este princípio de segurança Zero Belief incentiva as organizações a dividir sua infraestrutura de rede em partes menores e isoladas. Cada parte opera de forma independente com seus controles de segurança, reduzindo a superfície de ataque ao minimizar os riscos de movimentos laterais.
- Autenticação multifator: isso adiciona uma camada additional de segurança, exigindo que os usuários apresentem vários formulários de verificação antes de obter acesso a sistemas, aplicativos ou dados. Reduz o risco de acesso não autorizado, mesmo que um fator, como uma senha, seja comprometido.
A seção a seguir mostra exemplos de como aproveitar os recursos do Wazuh para segurança Zero Belief.
Como aproveitar o Wazuh para sua segurança Zero Belief
Wazuh é uma plataforma de segurança gratuita e de código aberto que oferece recursos unificados de XDR e SIEM em cargas de trabalho em ambientes locais e de nuvem. Você pode utilizar a documentação do Wazuh para configurar esta solução para sua organização.
Os recursos do Wazuh ajudam as organizações a proteger seus ambientes de TI contra diversas ameaças à segurança, tornando-o uma solução adequada ao aplicar a segurança Zero Belief. Com monitoramento em tempo actual, resposta automatizada a incidentes e ampla visibilidade do comportamento do usuário e das configurações do sistema, o Wazuh permite detectar e responder a possíveis violações antes que elas aumentem. Abaixo estão alguns casos de uso do Wazuh para segurança Zero Belief.
Detecção de ferramentas legítimas abusadas
Os recursos do Wazuh, como monitoramento de chamadas do sistema, avaliação de configuração de segurança (SCA) e análise de dados de log, podem ser usados para detectar abuso de ferramentas legítimas.
O recurso de monitoramento de chamadas do sistema analisa o acesso a arquivos, a execução de comandos e as chamadas do sistema em terminais Linux. Isso ajuda os caçadores de ameaças a identificar quando ferramentas confiáveis são usadas para fins maliciosos, como escalonamento de privilégios ou execução não autorizada de scripts.
O recurso Wazuh SCA avalia as configurações do sistema para detectar configurações incorretas que os invasores possam explorar. Ao verificar vulnerabilidades como serviços desnecessários, políticas de senhas fracas ou configurações de rede inseguras, o SCA reduz a superfície de ataque e evita o uso indevido de ferramentas legítimas.
Netcat é uma ferramenta amplamente utilizada por agentes de ameaças para estabelecer backdoors, realizar varredura de portas, transferir arquivos e criar um shell reverso para acesso remoto. Wazuh pode monitorar e alertar sobre o uso de comandos suspeitos, conforme descrito no guia que monitora a execução de comandos maliciosos. Este guia mostra um cenário em que o recurso de chamadas do sistema de monitoramento pode registrar atividades do Netcat e gerar alertas.
 |
| Wazuh audita o comando Netcat para detectar atividades suspeitas |
Conforme mostrado acima, cada vez que o comando nc é executado, o Wazuh gera um alerta que permite aos caçadores de ameaças obter visibilidade do comando executado e sua saída.
Detecção de acesso inicial
Wazuh usa seu recurso de coleta de dados de log para agregar logs de diferentes fontes em um ambiente de TI. Ele coleta, analisa e armazena logs de endpoints, dispositivos de rede e aplicativos e realiza análises em tempo actual.
A postagem do weblog sobre Detectando a exploração da vulnerabilidade do XZ Utils (CVE-2024-3094) mostra como o Wazuh aproveita seu recurso de coleta de dados de log. O CVE-2024-3094 é uma vulnerabilidade crítica nas versões 5.6.0 e 5.6.1 do XZ Utils, uma ferramenta de compactação de dados amplamente utilizada. Isso decorre de um ataque à cadeia de suprimentos que introduziu um backdoor no software program, permitindo acesso remoto não autorizado aos sistemas. Especificamente, explora a biblioteca liblzma, uma dependência do OpenSSH, permitindo que invasores executem comandos arbitrários by way of SSH antes da autenticação. Isso pode levar à execução remota de código (RCE), comprometendo a segurança do sistema.
Wazuh identifica e encaminha logs sobre processos descendentes de sshd potencialmente maliciosos por meio de regras e decodificadores personalizáveis. Esta abordagem ajuda na detecção precoce de tentativas de exploração desta vulnerabilidade.
 |
| Wazuh audita o serviço sshd para detectar CVE-2024-3094 |
Conforme mostrado acima, após analisar o serviço sshd, o Wazuh detecta e sinaliza padrões de atividade anormais.
Resposta a incidentes
A plataforma Wazuh aprimora a resposta a incidentes para equipes de segurança, fornecendo visibilidade em tempo actual dos eventos de segurança, automatizando ações de resposta e reduzindo a fadiga de alertas.
Ao aproveitar seu recurso de resposta ativa, o Wazuh permite que as equipes gerenciem incidentes de maneira eficaz por meio de scripts automatizados que podem ser acionados para qualquer evento configurado. Essa automação é particularmente benéfica em ambientes com recursos limitados, permitindo que as equipes de segurança se concentrem em tarefas vitais enquanto o sistema lida com respostas rotineiras.
A postagem do weblog sobre detecção e resposta a arquivos maliciosos usando listas CDB e resposta ativa destaca como os profissionais de segurança podem automatizar ações de resposta com base em eventos específicos usando os recursos de resposta ativa do Wazuh.
 |
| O recurso Wazuh Energetic Response exclui automaticamente arquivos com valores hash na lista CDB. |
Este weblog destaca como arquivos maliciosos podem ser detectados usando o recurso Wazuh File Integrity Monitoring (FIM). Ele funciona com uma lista de banco de dados constante (CDB) de hashes MD5 maliciosos conhecidos. O recurso Wazuh Energetic Response exclui automaticamente os arquivos que correspondem aos valores de hash na lista CDB.
Conclusão
Com dados e aplicativos confidenciais agora distribuídos em vários servidores e ambientes, a superfície de ataque se expandiu, tornando as organizações mais vulneráveis a violações de dados, ransomware e ameaças emergentes. As organizações que adotam a abordagem de segurança Zero Belief podem estabelecer um mecanismo de defesa cibernética aprimorado contra ameaças em constante mudança.
A plataforma unificada Wazuh XDR e SIEM pode implementar aspectos dessa abordagem, usando sua coleta de dados de log, detecção de vulnerabilidades e recursos automatizados de resposta a incidentes, entre outros. Você pode aprender mais sobre como a plataforma Wazuh pode ajudar sua organização visitando o web site.
