Um guia simples para exfiltração de dados

No mundo atual, onde os dados são fundamentais, a segurança da informação tornou-se uma prioridade para as empresas. Uma das maiores ameaças à segurança de informações sigilosas e confidenciais de uma organização é a exfiltração de dados. Ela representa um risco significativo para organizações que processam dados confidenciais e pode ser causada por vários fatores, como ataques externos, ameaças internas e ataques de phishing.

O que é exfiltração de dados?

A exfiltração de dados, também conhecida como roubo ou vazamento de dados, é a transferência não autorizada de dados da rede interna de uma organização para uma rede externa. Isso pode ser feito usando diversas técnicas e geralmente é difícil de detectar. Os dados roubados podem ser informações financeiras, dados de clientes, propriedade intelectual ou qualquer outra informação confidencial.

Nos últimos anos, o número de violações de dados resultantes da exfiltração de dados aumentou, levando a perdas financeiras significativas e danos à reputação das organizações afetadas. Um dos casos mais conhecidos de exfiltração de dados é a violação de dados da Target em 2013. De acordo com a Slate, os invasores roubaram dados, incluindo informações detalhadas de 40 milhões de contas de cartões de crédito e débito, além de informações pessoais de mais de 70 milhões de clientes, dos sistemas de ponto de venda da Target.

Os invasores obtiveram acesso à rede da Target por meio de um fornecedor terceirizado que tinha acesso. Em seguida, eles instalaram malware nos sistemas de ponto de venda da Target, o que lhes permitiu exfiltrar dados para um servidor externo. O impacto da violação de dados da Target foi enorme. O preço das ações da empresa caiu, e ela sofreu danos significativos à sua reputação, escrutínio regulatório e custos financeiros associados à violação, incluindo multas e honorários advocatícios. Isso destaca a gravidade da exfiltração de dados e seu impacto nas empresas e clientes.

Tipos de exfiltração de dados

A exfiltração de dados pode ser realizada de várias maneiras. Alguns dos tipos mais comuns de exfiltração de dados são:

• Exfiltração baseada na rede: Isso envolve a transferência de dados por meio de uma rede para um local externo (ou seja, o servidor do invasor), usando protocolos como HTTP, FTP e DNS. Os invasores podem explorar vulnerabilidades na rede para obter acesso a informações confidenciais.
• Exfiltração física: Envolve remover os dados da rede fisicamente. Esse método pode envolver o roubo de dispositivos físicos, como laptops, discos rígidos ou unidades USB contendo dados confidenciais. Alternativamente, o invasor pode usar mídia removível, como unidades USB, discos rígidos externos ou cartões de memória, para copiar os dados.
• Exfiltração de informações privilegiadas: Envolve funcionários ou subcontratados com acesso autorizado a dados confidenciais, roubando-os e os vendendo a terceiros não autorizados.
• Exfiltração baseada na nuvem: Envolve a transferência de dados para contas de armazenamento em nuvem não autorizadas. Esse método utiliza a exfiltração de dados de serviços baseados em nuvem, como AWS, Microsoft Azure ou Google Cloud. O invasor pode obter acesso aos serviços de nuvem explorando vulnerabilidades ou roubando credenciais de login.
• Exfiltração baseada na aplicação: Envolve a transferência de dados explorando vulnerabilidades de aplicações ou código malicioso dentro de uma aplicação .

Formas de prevenir e mitigar a exfiltração de dados

As organizações podem tomar várias medidas para prevenir e mitigar a exfiltração de dados, incluindo:

• Implementar uma política de segurança forte: Isso ajuda a evitar a exfiltração de dados A política deve incluir medidas como controles de acesso, criptografia e auditorias de segurança regulares.
• Realizar auditorias de segurança regulares: As auditorias ajudam as organizações a identificar vulnerabilidades na rede e prevenir ataques antes que eles ocorram.
• Usar soluções de prevenção contra perda de dados (DLP): As soluções de DLP ajudam a evitar a exfiltração de dados ao monitor os dados que saem da rede e identificar qualquer atividade suspeita.
• Implementar soluções de segurança de endpoints: Essas soluções ajudam a evitar a exfiltração de dados ao monitor endpoints, como laptops, desktops e dispositivos móveis.
• Estabelecer controles de acesso: Isso garante que somente o pessoal autorizado possa acessar dados confidenciais. O acesso deve ser fornecido com base na necessidade de conhecimento.
• Monitorar o tráfego de rede: Isso ajuda as organizações a detectar qualquer transferência não autorizada de dados.
• Utilizar a autenticação multifator (MFA): A MFA deve ser implementada para garantir que somente pessoal autorizado possa acessar dados confidenciais.

Além disso, as organizações podem contar com a ajuda de especialistas em segurança cibernética para implementar soluções de SIEM e UEBA, como o Log360 da ManageEngine, o que ajuda com essas melhores práticas e muito mais.

Além disso, as organizações podem treinar seus funcionários para identificar e reportar atividades suspeitas e seguir rigorosamente os protocolos de segurança. Adicionalmente, as organizações devem criptografar dados em repouso e em trânsito para evitar qualquer acesso não autorizado.

Exfiltração de dados no MITRE ATT&CK®

O MITRE ATT&CK é uma estrutura que fornece uma abordagem completa para identificar, detectar e responder a ataques cibernéticos, incluindo ataques de exfiltração de dados. Ao utilizar o MITRE ATT&CK, as organizações podem entender melhor as táticas e técnicas dos agentes de ameaças quando se trata da exfiltração de dados. Isso permitirá que as organizações implementem medidas preventivas adequadamente.

No âmbito do MITRE ATT&CK, a exfiltração de dados é classificada como uma das táticas ou objetivos dos agentes de ameaças. A estrutura lista diversas técnicas que os invasores podem usar para exfiltração de dados, incluindo:

• Exfiltração por protocolo alternativo: Essa técnica envolve o uso de um protocolo diferente de HTTP ou HTTPS para exfiltrar dados, como DNS, FTP ou SMTP. Os invasores podem usar protocolos não padronizados para transferir dados, tornando a exfiltração mais difícil de detectar.
• Exfiltração sobre o canal C2: Essa técnica envolve o uso de um canal de comando e controle (C2), como um backdoor ou uma ferramenta de acesso remoto, para exfiltrar dados.
• Exfiltração em meio físico: Os invasores podem usar um meio físico, como um disco rígido externo, uma unidade USB ou um telefone celular para extrair dados.
• Limites de tamanho de transferência de dados: Os invasores exfiltram dados em pacotes menores em vez de arquivos inteiros para evitar o disparo de alertas de limite de transferência de dados.
• Transferência programada: Os invasores optam por extrair dados em horários ou intervalos específicos na tentativa de alinhar suas atividades com padrões regulares de tráfego e disponibilidade.

Concluindo, a exfiltração de dados é uma ameaça significativa para as organizações, exigindo uma abordagem completa e consciente para prevenir e mitigar seu impacto. As organizações devem priorizar a implementação de soluções de segurança robustas e treinamento de funcionários para proteção contra ataques de exfiltração de dados. A utilização de estruturas como MITRE ATT&CK também pode ajudar as organizações a se manterem à frente do cenário de ameaças em evolução.