Estabelecer uma disciplina de SecOps

Este artigo ajuda as equipas de segurança e tecnologia a estabelecer e modernizar uma disciplina de Operações de Segurança (SecOps) que ajuda as organizações a detetar, investigar e responder a ameaças ativas que contornam os controlos preventivos.

As disciplinas de segurança são agrupamentos de trabalhos relacionados com a segurança que ajudam as organizações a garantir consistentemente resultados de segurança em todo o património tecnológico. No âmbito do modelo de adoção de segurança, as disciplinas ajudam a criar uma ponte entre cenários de negócio e implementação técnica, garantindo que os investimentos em segurança se traduzam em resultados reais e mensuráveis como parte do modelo de adoção de segurança.

O que é o SecOps?

O SecOps mantém e restaura as garantias de segurança do sistema à medida que adversários reais o atacam. O Quadro de Cibersegurança do NIST descreve bem as funções SecOps de Detetar, Responder e Recuperar.

• Detetar - Os SecOps devem detetar a presença de adversários no sistema, que são incentivados a permanecer ocultos na maioria dos casos, permitindo-lhes alcançar os seus objetivos sem impedimentos. Isto pode assumir a forma de reagir a um alerta de atividade suspeita ou procurar proativamente eventos anómalos nos registos de atividade da empresa.
• Responder - Após a deteção de uma possível ação ou campanha adversária, o SecOps deve investigar rapidamente para identificar se se trata de um ataque real (verdadeiro positivo) ou de falso alarme (falso positivo) e depois enumerar o âmbito e o objetivo da operação adversária.
• Recuperar - O objetivo final do SecOps é preservar ou restaurar as garantias de segurança (confidencialidade, integridade, disponibilidade) dos serviços empresariais durante e após um ataque.

Mitigação de riscos

O risco de segurança mais significativo que a maioria das organizações enfrenta vem de operadores humanos de ataque.

Com exceções notáveis, o risco de ataques automatizados/repetidos foi significativamente mitigado para a maioria das organizações através de abordagens baseadas em assinatura e aprendizagem automática incorporadas no anti-malware.

Embora os operadores humanos de ataque sejam difíceis de enfrentar devido à sua adaptabilidade, operam à mesma "velocidade humana" que os defensores, o que ajuda a nivelar o campo de jogo.

O SecOps tem um papel crítico ao limitar o tempo e o acesso que um atacante pode aceder a sistemas e dados valiosos. Cada minuto que um atacante tem no ambiente permite-lhe continuar a realizar operações de ataque e aceder a sistemas sensíveis ou valiosos.

Porquê esta disciplina?

Nem todos os ataques podem ser evitados. Mesmo com uma arquitetura de segurança forte e uma gestão de postura que bloqueia a maioria dos ataques, os agentes de ameaça por vezes obtêm acesso inicial aos ambientes.

O SecOps centra-se na gestão desses ataques ativos e incidentes de segurança, limitando os danos que os atacantes podem causar após o comprometimento. SecOps eficaz reduz o risco através de:

• Detetar rapidamente atividade maliciosa.
• Encurtar o tempo de permanência do atacante.
• Conter o movimento lateral e o impacto.
• Apoiar a recuperação e a resiliência organizacional.

No âmbito do modelo de adoção de segurança, o SecOps representa o lado reativo pós-compromisso da segurança, complementando a gestão da postura de segurança, que se foca na redução proativa de riscos e prevenção de ataques.

Sem uma disciplina eficaz de SecOps, os atacantes que obtêm acesso podem operar sem serem detetados, escalar privilégios, mover-se lateralmente e causar o máximo de dano ao negócio.

Missão e resultados

A missão da disciplina SecOps é limitar o impacto empresarial dos ciberataques, detetando, investigando e respondendo rapidamente a ameaças em todo o património tecnológico moderno.

Independentemente do tamanho da equipa ou modelo operacional, o SecOps maduro oferece estes resultados:

• Resposta rápida a ameaças – Deteção e contenção atempada de ameaças através de identidades, endpoints, infraestruturas, aplicações e dados
• Inteligência de ameaças partilhada – Sinais e insights centralizados que informam analistas, automação e controlos de segurança a jusante
• Descoberta proativa de ameaças – Caça a ameaças e simulação de ataques para descobrir técnicas emergentes e o comportamento dos atacantes

As equipas de SecOps podem variar desde um único indivíduo até grandes operações distribuídas globalmente 24/7, e as funções podem ser parcial ou totalmente terceirizadas. Independentemente da estrutura e do tamanho, os resultados mantêm-se os mesmos.

Adote o Confiança Zero no SecOps

A Operação de Segurança (SecOps) é fundamental para uma estratégia Confiança Zero. O Confiança Zero parte do princípio de que há uma violação e concentra-se em minimizar o impacto quando os controlos de segurança falham. O SecOps transforma essa suposição em ação ao detetar, investigar e responder continuamente a ameaças em todo o ambiente.

Num modelo Confiança Zero, a prevenção por si só é insuficiente. As organizações devem presumir que os atacantes conseguirão contornar os controlos e depender do SecOps para identificar atividade maliciosa numa fase inicial, conter rapidamente os ataques e gerar informações valiosas que melhorem a postura de segurança ao longo do tempo.

No nosso modelo de adoção de segurança, a orientação do SecOps foca-se nas capacidades operacionais necessárias para apoiar o Confiança Zero em toda a organização, incluindo monitorização, deteção, investigação, resposta, automação e aprendizagem contínua.

• Centralizar a deteção e visibilidade: Integrar registos e telemetria de todo o ambiente — incluindo identidades, endpoints, aplicações e infraestrutura — numa capacidade centralizada de deteção e investigação. Isto garante que o SecOps tenha uma visibilidade consistente e transversal a vários domínios para detetar comprometimentos precocemente e compreender o comportamento dos atacantes.
• Automatizar resposta e contenção: Utilize orquestração e automação para executar ações de resposta repetíveis, como isolar dispositivos comprometidos ou desativar contas de risco. A automação reduz o tempo de resposta, diminui a carga cognitiva dos analistas e assegura uma execução consistente sob pressão.
• Caçar ameaças de forma proativa: Tratar a caça de ameaças como uma capacidade central de SecOps. Utilize a caça orientada por hipóteses e análises avançadas para encontrar atividade de atacantes que evite deteções automáticas, reduzindo o tempo de permanência e revelando lacunas nos controlos.
• Gerir alertas e incidentes de forma eficaz: Ajuste as deteções para reduzir o ruído e garantir que os analistas se concentram em alertas significativos. Normalize os fluxos de trabalho de investigação e resposta utilizando procedimentos predefinidos para que os incidentes sejam tratados de forma uniforme e eficiente.
• Reduza continuamente a exposição com base no risco: Use a análise de caminhos de ataque e informações sobre a exposição para identificar condições que possam permitir uma violação. Priorize a remediação com base no impacto e probabilidade no negócio, para que o esforço seja focado onde mais importa.
• Evoluir continuamente os processos de SecOps: Rever regularmente deteções, manuais e resultados de resposta com base em incidentes reais e inteligência sobre ameaças. Alimente estas aprendizagens de volta à estratégia SecOps para garantir que as capacidades se adaptam à medida que atacantes, tecnologias e prioridades empresariais mudam.

Ao alinhar o SecOps com os princípios do Confiança Zero, as organizações passam do tratamento reativo de incidentes para um modelo operacional resiliente onde cada incidente reforça a deteção, resposta e prevenção em toda a empresa.

Como aplicar esta disciplina

Para aplicar eficazmente a disciplina SecOps, concentre-se em estabelecer uma abordagem coordenada para detetar, responder e recuperar de ameaças em toda a organização:

1. Defina uma estratégia de deteção e resposta a ameaças alinhada com o risco empresarial
   Estabelecer uma abordagem clara para identificar, priorizar e responder a ameaças com base no seu potencial impacto no negócio.
2. Garantir deteção e resposta consistentes em todo o ambiente
   Aplicar uma abordagem unificada à monitorização, investigação e resposta entre identidades, dispositivos, aplicações e infraestruturas.
3. Padronizar processos para deteção, resposta e recuperação
   Forneça orientações claras para garantir que os incidentes são tratados de forma consistente, reduzindo o tempo de resposta e limitando o impacto.
4. Alinhar o SecOps com as prioridades empresariais e cenários críticos
   Priorize os esforços de deteção e resposta para se focar na proteção de ativos críticos e na minimização do impacto dos incidentes de segurança.
5. Melhorar continuamente através de insights e feedback
   Utilize os aprendizados provenientes de incidentes, inteligência de ameaças e métricas operacionais para reforçar as capacidades de deteção e melhorar a resposta ao longo do tempo.

Gerir a mudança

A modernização do SecOps é uma jornada de melhoria contínua, não uma implementação pontual de ferramentas. O objetivo é melhorar de forma contínua a capacidade da organização para reduzir o impacto causado pelos atacantes quando ocorrem comprometimentos.

Uma abordagem moderna de SecOps alinhada com os princípios do Confiança Zero enfatiza:

• Alinhamento de missões - Priorizar o que mais importa para o negócio quando alertas e ameaças excedem a sua capacidade de responder com humanos e automação, incluindo IA.
• Aprendizagem contínua - Adaptar deteções, competências e processos à medida que os atores de ameaça, as plataformas e as prioridades empresariais mudam.
• Colaboração e partilha - Tratar o SecOps como um esforço de equipa em segurança, operações de TI, engenharia, jurídico, comunicações e liderança.

Os agentes ameaçadores tendem a reutilizar técnicas baratas, eficazes e fiáveis até falharem, por isso é fundamental capturar e partilhar inteligência sobre ameaças como informações sobre ataques passados. A inteligência de ameaças do SecOps deve informar diretamente o design, priorização e melhoria de postura dos controlos de segurança, juntamente com os requisitos de negócio e conformidade.

Papéis disciplinares e colaboradores

A disciplina de SecOps é normalmente liderada por uma equipa dedicada de SecOps. Em organizações mais pequenas, as responsabilidades de SecOps podem ser a tempo parcial ou partilhadas entre funções, mas ainda assim exigem uma responsabilidade clara.

Os papéis principais nesta disciplina incluem:

• SecOps / Gestor SOC
• Analistas de triagem de nível 1
• Analistas de investigação de Nível 2
• Caçadores de ameaças (Nível 3)
• Engenheiros de deteção
• Engenheiros de plataforma e dados SecOps
• Especialistas em forense digital e resposta a incidentes
• Analistas de inteligência de ameaças
• Funções de coordenação e gestão de incidentes
• Especialistas em simulação de ataques (equipa vermelha, equipa roxa, testes de penetração)

Colaboradores-chave incluem:

• Equipas de engenharia técnica e operações – Permitir registos e apoiar a investigação, contenção e recuperação dos sistemas que projetam e executam.
• Funções de arquitetura – Melhorar continuamente o design de sistemas e controlos com base nas aprendizagens de incidentes provenientes da inteligência de ameaças do SecOps.
• Equipas de aplicação e produto – Atualizar software e serviços em resposta a informações de incidentes.
• Disciplina de Estratégia de Segurança, Integração e Governação – Definir prioridades, métricas e responsabilidade para os investimentos em SecOps. Prestar apoio e coordenação durante incidentes graves.

Um SecOps eficaz depende de ciclos de feedback apertados entre a resposta a incidentes e o design do sistema.

Alinhamento com outras disciplinas

O SecOps opera como parte de um modelo operacional de segurança mais amplo e está fortemente integrado com outras disciplinas:

• Disciplina de Gestão da Postura de Segurança: Foca-se na prevenção de incidentes; O SecOps gere os incidentes que ainda ocorrem.
• Disciplina de Acesso e Identidades: A telemetria de identidade é um sinal primário de deteção e investigação.
• Disciplina de Segurança de Dados: O SecOps investiga roubo de dados, extorsão, risco interno e incidentes de privacidade.
• Disciplina de Arquitetura de Segurança: Assegura que os mecanismos de deteção e resposta estão alinhados com o design pretendido do sistema.
• Disciplina de Estratégia, Integração e Governação: Define prioridades, métricas e critérios de sucesso do SecOps.

Alinhamento com pilares tecnológicos

A disciplina SecOps opera em todos os pilares tecnológicos e deve detetar e conter ataques onde quer que ocorram.

• Identidades: Esta é uma prioridade máxima para o SecOps porque as identidades são os principais pontos de entrada dos ataques. Quase todos os ataques de múltiplas etapas dependem de ataques de identidade (pass-the-hash/ticket/etc.) para atravessar lateralmente e aceder a mais ativos organizacionais, frequentemente usando contas privilegiadas associadas a administradores de TI ou contas de serviços administrativos.
• Endpoints: Os endpoints são pontos de apoio comuns, uma base de operações e armazenamento local de ferramentas de ataque para atacantes. É fundamental localizar rapidamente os endpoints comprometidos para conter danos e obter informações sobre os objetivos e capacidades dos atacantes.
• Infraestrutura: A deteção e a resposta eficazes são importantes porque os agentes de ameaça visam frequentemente ativos de infraestrutura de alto valor na cloud e nas instalações locais, que permitem um comprometimento alargado em caso de violação.
• Apps: A deteção e resposta rápidas a ataques ao email, colaboração, linha de negócio e outras apps é fundamental porque os atacantes frequentemente as utilizam para entrar e atravessar lateralmente uma organização para aceder aos ativos empresariais.
• Dados: Os atacantes frequentemente visam dados para roubo de propriedade intelectual, encriptação para obter influência para extorsão ou ransomware, planeamento de futuros ataques e outros fins. Adicionalmente, o SecOps pode estar envolvido ou colaborar em investigações relacionadas com dados relacionadas com privacidade, risco interno e outros.
• Rede: Tal como as comunicações legítimas, as comunicações dos agentes ameaçadores e as operações de ataque viajam através de ligações de rede. O SecOps foca-se nos sensores de rede e os dados continuam a ser valiosos para contexto e contenção, mesmo que a encriptação reduza a visibilidade.
• IA: À medida que a IA surge como superfície de ataque, são necessárias novas ferramentas e competências para uma deteção e investigação eficazes. O volume de ataques de IA está a aumentar à medida que os agentes de ameaça adotam tecnologia de IA. O SecOps também pode aproveitar a IA para automatizar análises e outros processos.

Passos seguintes

A Microsoft Unified oferece workshops orientados por especialistas para ajudar as organizações a acelerar a modernização da estratégia, arquitetura e tecnologia de Gestão da Postura de Segurança. Estes workshops incluem:

• Workshops de arquitetura e estratégia - O Framework de Adoção de Segurança (SAF) - Sessão de Design de Arquitetura: o workshop sobre Operações de Segurança Modernas centra-se na aceleração da modernização das SecOps. Este workshop está disponível da seguinte forma:

  • Resumo do Tópico - Uma discussão de menos de quatro horas focada nos principais aprendizados e nas melhores práticas.
  • Sessão Completa de Design da Arquitetura de Segurança (Security ADS) - Um workshop de dois dias que fornece detalhes adicionais, um estudo de caso Microsoft, discussões sobre modelos de maturidade e planos de modernização de referência.

• workshops de adoção de tecnologia - Microsoft Unified tem workshops para ajudar as organizações a aprender, planear, implementar e otimizar SecOps.

Contacte o seu gestor de conta de sucesso do cliente para mais informações sobre workshops liderados pela Microsoft.