Vamos começar com uma pergunta básica: o que é um link suspeito, afinal?
Fato é: tentativas de phishing estão cada vez mais difíceis de serem detectadas a olho nu, porque as fraudes cibernéticas estão mais refinadas, e usuários com frequência precisam clicar em links de domínios desconhecidos para fazer seu trabalho.
Essas duas verdades tornam o ato de simplesmente pedir que um usuário identifique e não clique em um link malicioso, uma estratégia não muito realista.
A estratégia realista, e eficaz
Mesmo com o avanço na tecnologia empregada pelo cibercrime, o phishing segue como o tipo de ataque preferido de criminosos cibernéticos: 41% dos ataques envolvem essa tática.
As estatísticas não mudam porque o phishing ainda funciona.
Então, para criar uma estratégia madura de proteção contra essa ameaça, temos de partir do princípio de que os usuários às vezes, completamente desavisados, vão clicar em links maliciosos em casa e enquanto estiverem no trabalho.
E ao fazerem isso, ou eles serão persuadidos a inserir informações em uma página falsa, no caso de roubo de credenciais, ou eles irão baixar um arquivo malicioso por meio de um link ou anexo, como um documento, um executável ou um script.
(Lembrando que, se a aplicação de patches no navegador foi automatizada, a preocupação aqui se refere apenas a explorações Zero Day.)
Mitigando o roubo de credenciais
Se cibercriminosos são muito bons em criar e-mails e páginas de phishing, uma empresa pode contra-atacar a ameaça de roubo de credenciais com uma política forte de autenticação.
Configurar a autenticação multifator (MFA), ou usar o logon único (SSO) para site de terceiros, são medidas que fortalecem a proteção. Para acessos fora do controle da organização, uma saída é incentivar usuários a adotarem gerenciadores de senhas. Também é possível reduzir o risco de abuso de credenciais certificando-se de que apenas os dispositivos corporativos têm autorização de acessar informações da empresa.
Acabando com downloads maliciosos
Em casos de ataque em que o usuário baixa um arquivo mal-intencionado por meio de um link ou anexo, esses arquivos ou são diretamente exploráveis (como um .exe), ou permitem a execução, como macros do Microsoft Office. Os criminosos também usam camadas de arquivos diferentes para passar por outros controles, criptografando um arquivo zip ou usando um arquivo com o qual os usuários não estão familiarizados, como uma imagem de disco .iso.
Não é tão simples evitar ataques assim. Contra eles, o caminho é implementar medidas técnicas que reduzam a responsabilidade de um usuário. Veja algumas ações abaixo.
Para barrar a entrega de e-mail de phishing:
- varredura de e-mail e proxies da Web para remover ameaças antes que elas cheguem;
- políticas DMARC e SPF para diminuir a entrega de e-mails falsificados aos usuários.
Para impedir a execução do código inicial:
- lista de permissões para que os executáveis não possam ser rodados a partir de qualquer diretório;
- para o que não estiver abordado na lista de permissões, use as configurações do Registro para garantir que scripts ou tipos de arquivo perigosos sejam abertos no Bloco de Notas e não executados – para o PowerShell, você pode minimizar o risco usando o modo restrito do PowerShell e a assinatura de script;
- desabilite a montagem de arquivos .iso para o usuário;
- certifique-se de que as configurações de macro estão bloqueadas e que apenas os usuários que realmente precisam delas – e são treinados sobre os riscos – podem usá-las;
- garanta a atualização de software de terceiros, como leitores de PDF, ou use um navegador para abrir esses arquivos;
- mantenha-se atualizado das ameaças e novos vetores de ataque emergentes.
Prevenção de mais danos:
- detecção e resposta de endpoints (EDR) e monitoramento faz a identificação de comportamentos suspeitos em hosts;
- uma solução de bloqueio de ameaças e tentativas de invasão na rede e em aplicações que seja automática.
Siga treinando pessoas para reconhecer links suspeitos
Se a sua organização implementar as medidas acima, testá-las e mantê-las, a queda nos ataques bem-sucedidos de acesso inicial será significativa. Mas, isso não reduz a importância de uma empresa treinar os usuários para detectar links suspeitos. Por quê?
Treinar o time de uma empresa aprofunda a defesa.
Um cibercriminoso focado em encontrar uma rota para uma determinada rede da empresa pode segmentar as contas pessoais dos usuários para chegar ao seu objetivo final. Se os usuários estão capacitados para detectar e-mails suspeitos, onde as proteções organizacionais não estão em vigor, isso irá barrar o ataque.
E, finalmente, se os usuários conseguirem detectar e-mails suspeitos e tiverem os mecanismos para denunciá-los, isso pode ser uma fonte realmente útil de inteligência para as organizações, que passarão a entender tentativas de comprometimento que, em um cenário diferente, seriam perdidas.
Usabilidade e segurança podem andar juntas?
Não é preciso escolher entre usabilidade e segurança. Reunir os dois é alcançar o nível certo de segurança. Porque permite que as pessoas continuem com seus trabalhos e cria um plano de ação para o inevitável.
Entenda mais aqui sobre como proteger sem criar obstáculos na operação e no fluxo de trabalho.
