Notícias
RECOMENDAÇÃO 07/2024
[TLP:CLEAR]
1. A intensificação das atividades por Ameaças Persistentes Avançadas (APT) em redes e sistemas ao redor do mundo demanda uma abordagem mais robusta de monitoramento e visibilidade destes ambientes. Essas ameaças incluem atores diversos, como grupos de criminosos cibernéticos, grupos ativistas e grupos estatais que, utilizando técnicas sofisticadas, possuem capacidades e motivação para atuar contra organizações de todos os setores da sociedade, aumentando riscos de interrupções operacionais, roubo de dados e espionagem, além de comprometimento de sistemas críticos levando a consequências ainda mais danosas à sociedade e ao Estado.
2. O monitoramento eficiente de rede se torna essencial para detectar rapidamente atividades suspeitas, mitigar as ações de ameaças em estágio inicial e garantir a continuidade das operações. Neste sentido o Centro de Tratamento e Resposta a Incidentes Cibernético de Governo - CTIR Gov recomenda que os integrantes da Rede Federal de Gestão de Incidentes Cibernéticos - ReGIC considerem a adoção ou aprimoramento das seguintes medidas:
2.1 Planejar a arquitetura de segurança da rede corporativa. Fazer um bom planejamento sobre o posicionamento dos ativos de segurança na rede corporativa evita "pontos cegos", isto é, ativos desprotegidos ou sem o devido monitoramento.
2.2 Implementar redes segregadas entre diferentes ambientes. Segregar ambientes de testes e de homologação dos ambientes de produção ou de operação favorece o controle de mudanças nas redes e minimiza a probabilidade de impactos dos incidentes cibernéticos.
2.3 Restringir o tráfego de administração apenas a dispositivos de rede autorizados. A utilização de uma rede virtual segregada para o gerenciamento de ativos de rede diminui a superfície de ataque disponível a atores maliciosos, além de facilitar o controle nesta rede, uma vez que apenas um número reduzido de usuários e dispositivos serão habilitados.
2.4 Sistematizar o inventário dos ativos de rede. Possuir um conjunto de processos e ferramentas automatizadas para controle dos ativos de rede ajuda a monitorar o ambiente e tomar decisões que promovam a melhor concentração de esforços durante o tratamento de um incidente cibernético.
2.5 Estabelecer padrões (baselines) de comportamento do ambiente de rede. Conhecer o comportamento normal do ambiente de rede, que serve como uma linha base ou referência, fortalece a capacidade de detecção de anomalias relacionadas aos incidentes, especialmente no tocante à evasão de dados.
2.6 Fortalecer o gerenciamento de mudanças. É necessário o exame e investigação detalhada sobre modificações ou alterações não documentadas em configurações de dispositivos de rede como switches, roteadores e firewalls. Nesse sentido destacam-se, dentre as possíveis mudanças: adição de rotas não usuais, habilitação de protocolos obsoletos e mudanças em arquivos de configuração.
2.7 Adotar um protocolo de monitoramento e registro dos fluxos de rede, como NetFlow. Esta medida aumenta a visibilidade e controle sobre entrada e saída de pacotes de rede, permitindo conhecer o caminho percorrido por estes pacotes.
2.8 Utilizar um Security Information and Event Management (SIEM). Ele permite o registro centralizado e seguro com a capacidade de analisar e correlacionar grandes quantidades de dados de diferentes fontes. A utilização de um SIEM, aliada a políticas e regras bem definidas, fortalece a capacidade de detecção, alerta, análise e resposta a incidentes em andamento.
2.9 Validar sistematicamente as contas de acesso aos ativos de rede. Monitorar contas dos usuários ativos e desabilitar contas inativas e/ou desnecessárias aumenta o controle e a rastreabilidade sobre o ambiente.
3. As recomendações são direcionadas aos gestores de segurança da informação, Equipes de Tratamento e Resposta a Incidentes de Rede (ETIR) e Equipes Operacionais de Redes dos integrantes da ReGIC, que podem usar as orientações como base para melhorar seu processo de monitoramento e detecção de ameaças avançadas e, em última análise, a coordenação e o tempo de resposta a incidentes cibernéticos de grande impacto, bem como aperfeiçoar os controles de segurança implementados para que garantam um sistema mais resiliente e seguro.
4. O CTIR Gov ressalta que, de acordo com o artigo 12, inciso IX, do Decreto Nº 10.748, de 16 de julho de 2021, os órgãos pertencentes à ReGIC devem "sanar, com urgência, as vulnerabilidades cibernéticas, em especial aquelas identificadas nos alertas e nas recomendações", conforme publicado em:
5. Informações sobre a Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC):
- https://www.gov.br/gsi/pt-br/seguranca-da-informacao-e-cibernetica/ctir/operacoes-e-servicos/regic
- https://www.gov.br/ctir/pt-br/assuntos/perguntas-frequentes-decreto-10-748-2021/perguntas-frequentes-sobre-o-decreto-10-748-2021
6. Informações sobre o Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST):
Equipe CTIR Gov
[TLP:CLEAR]