O crescimento na frequência e gravidade dos ataques cibernéticos fez com que as organizações repensassem suas estratégias de segurança. As principais ameaças de segurança recentes, como ataques de ransomware de alto perfil e as vulnerabilidades do Log4Shell divulgadas em 2021, levaram a um foco maior na proteção de identidade, pois os adversários contam com credenciais válidas para se mover lateralmente pelas redes de destino.
As seguradoras cibernéticas sabem que as organizações que compram apólices de seguro cibernético devem estar preparadas para detectar, mitigar e responder a ataques modernos à medida que os adversários desenvolvem suas táticas, técnicas e procedimentos (TTPs). Essas ameaças em constante evolução impactaram significativamente o seguro cibernético. Uma forte estratégia de proteção de identidade pode impulsionar a postura de segurança da empresa e impulsionar o ritmo das iniciativas de seguro cibernético.
Impacto do ransomware nos prêmios de seguro
De acordo com a Pesquisa Global de Atitude de Segurança da CrowdStrike 2021, 66% das organizações sofreram pelo menos um ataque de ransomware em 2021 e, conforme mostrado no Relatório Global de Ameaças CrowdStrike 2022, os vazamentos de dados relacionados a ransomware aumentaram 82% de 2020 a 2021. ransomware está tendo uma influência direta nos prêmios e cobertura de seguro cibernético: o Índice Global de Mercado de Seguros da Marsh afirma que os prêmios de seguro cibernético no segundo trimestre de 2021 aumentaram 56% nos EUA, impulsionados pela frequência e gravidade das reclamações de ransomware.
Pense na perspectiva de uma seguradora cibernética
Ao comprar um seguro cibernético, as organizações geralmente se preocupam com o impacto nos negócios, perda de receita e outros custos relacionados ao tempo de inatividade após um ataque, além de determinar a causa raiz desse tempo de inatividade. É fundamental que eles avaliem sua postura geral de risco. As seguradoras cibernéticas trabalham em estreita colaboração com as empresas para criar uma visão holística dos riscos sistêmicos e dinâmicos, que influenciam diretamente seu prêmio e limite de cobertura.
O Active Directory (AD), geralmente o elo mais fraco na defesa cibernética, é um exemplo desse risco. Como a maioria dos ataques de ransomware aproveita as credenciais do usuário, as organizações devem fortalecer sua postura de segurança de identidade de uma maneira que funcione em uníssono com sua estratégia de proteção de endpoint. Muitas das etapas envolvidas nisso, como a implementação da autenticação multifator (MFA) e o gerenciamento de contas privilegiadas, também são requisitos a serem atendidos ao adquirir apólices de seguro cibernético.
Uma defesa mais forte contra ataques com foco em identidade
Ataques modernos como ransomware e os recentes incidentes Log4j e noPac consistem principalmente em duas partes:
Observe que os adversários que visam organizações com ameaças modernas, como ransomware, podem não seguir necessariamente a cadeia de destruição cibernética de maneira linear. Ou seja, eles nem sempre podem se infiltrar na organização por meio de tentativas de phishing e, em seguida, executar códigos de exploração em endpoints vulneráveis. (Quando o fazem, os módulos CrowdStrike Falcon® Endpoint Protection protegem detectando e impedindo a execução do código.) Em vez disso, o adversário pode se infiltrar em uma organização a partir de um endpoint não protegido pela tecnologia CrowdStrike e, em seguida, usar uma identidade comprometida válida para acessar recursos e mover-se lateralmente.
Qualquer que seja a maneira que os adversários escolham para entrar na organização, eles eventualmente podem aproveitar as identidades da força de trabalho para se mover pela rede, aproveitando as credenciais comprometidas e a fraca postura de segurança do AD.
Papel do MFA na proteção de identidade
A MFA tornou-se um método crucial para controlar o acesso a aplicativos e recursos críticos; ainda mais com uma força de trabalho remota maior nas verticais. Para se proteger contra ransomware e cumprir a postura de segurança básica, a maioria das seguradoras exige que as organizações imponham MFA em identidades. As seguradoras podem se recusar a fazer negócios com organizações que não aplicam MFA ou implantam tecnologia de segurança de endpoint, como antivírus de última geração ou detecção e resposta de endpoint (EDR).
Uma maneira de impor a verificação de identidade é acionar o MFA sempre que um usuário tentar acessar um recurso ou aplicativo. No entanto, isso pode criar fadiga de MFA, o que pode não apenas reduzir a produtividade do usuário, mas também criar um cenário de risco em que o usuário inadvertidamente permite o acesso a uma tentativa maliciosa de login.
Os clientes do CrowdStrike Falcon Identity Protection obtêm uma melhor experiência de usuário e segurança aprimorada com MFA baseado em risco: a confiança do usuário é avaliada em tempo real para determinar se deve permitir o acesso a recursos específicos antes mesmo que a solicitação de autenticação chegue ao AD. Com linhas de base e riscos dinâmicos vinculados a cada identidade e seu comportamento, atividades maliciosas - como movimento lateral, comportamento arriscado, uso incomum de endpoint, escalonamento de privilégios e tentativas maliciosas de login RDP - são detectadas e desafiadas em tempo real sem a necessidade de análises de log ou pontos complicados soluções.
Mudança de gerenciamento restrito de acesso privilegiado para proteção de identidade mais ampla
A superfície de ataque de identidade pode ser influenciada por uma única conta não privilegiada, portanto, você não deve limitar os esforços de segurança apenas a contas privilegiadas. Embora o gerenciamento de contas privilegiadas (PAM) seja considerado uma parte crítica do seguro cibernético por alguns provedores, é importante entender que as soluções tradicionais de PAM fornecem visibilidade apenas para contas privilegiadas. Além de exigir um planejamento cuidadoso para implantar e configurar uma solução PAM, as organizações devem considerar a probabilidade de que os servidores de salto possam ser ignorados e os cofres de senhas possam ser comprometidos.
Pense no PAM como uma solução “operacional” para “gerenciar” contas privilegiadas. Por exemplo, as soluções PAM não impedem o uso indevido de credenciais válidas, elas apenas gerenciam o uso de contas privilegiadas — no entanto, uma conta privilegiada do PAM ainda pode ser usada por um adversário habilidoso para passar despercebida no ambiente do cliente.
| Function | PAM | CrowdStrike Falcon Identity Protection |
| ID store visibility | Limited to privileged accounts | All accounts across AD and Azure AD directories |
| Risk posture assessment | Incomplete or limited to privileged accounts | All human, service and privileged identities |
| Deployment | Requires careful planning (jump servers, session brokers and many more) | Rapid deployment and scalability with a cloud-delivered, single lightweight agent architecture |
| User experience (UX) | High user friction (password vaulting, session brokers) | Frictionless MFA/conditional access based on dynamic risk |
| Behavior, deviations monitoring | Limited to only privileged accounts | All accounts |
| Misuse of valid credentials | Not available | Full visibility: detection and prevention |
| Attack path visibility | Limited | Full visibility into the lifecycle of an attack across reconnaissance, lateral movement and persistence |
O Falcon Identity Protection classifica e avalia automaticamente os privilégios de todas as identidades - pense nisso como segurança de acesso privilegiado de última geração - com visibilidade e controle de segurança de todas as contas vinculadas ao AD, Azure AD e SSOs como Okta, Ping e Active Directory Federation Services ( ADF). Com segmentação de identidade e visibilidade de comportamento e riscos para todos os usuários, as organizações podem restringir o acesso a recursos de alto valor e impedir que ataques de ransomware progridam, cumprindo assim alguns dos requisitos críticos de seguro cibernético adotando uma estratégia mais ampla de proteção de identidade. O Falcon Identity Protection também pode complementar sua solução PAM, permitindo visibilidade, análise e proteção holísticas para suas identidades e contas de serviço privilegiadas e aplicação de MFA baseada em risco — melhorando a experiência do usuário para seus administradores.
