Muitos programas de sensibiliza\u00e7\u00e3o resumem a pontua\u00e7\u00e3o de risco humano de cada colaborador num \u00fanico n\u00famero, quantas vezes caiu numa simula\u00e7\u00e3o de phishing. \u00c9 um dado \u00fatil, mas conta apenas parte da hist\u00f3ria. Algu\u00e9m pode nunca ter falhado uma simula\u00e7\u00e3o e, ainda assim, reutilizar a mesma palavra-passe em dez servi\u00e7os, ignorar os alertas do seu fornecedor de identidade ou autorizar aplica\u00e7\u00f5es que ningu\u00e9m reviu. Esse risco existe. A simula\u00e7\u00e3o, por si s\u00f3, n\u00e3o o v\u00ea.<\/p>\n
Como respons\u00e1vel pelas integra\u00e7\u00f5es da plataforma, converso com frequ\u00eancia com equipas de seguran\u00e7a que j\u00e1 t\u00eam a telemetria para o ver. A informa\u00e7\u00e3o est\u00e1 l\u00e1, distribu\u00edda entre o fornecedor de identidade, o endpoint e o SIEM. Ainda assim, a pontua\u00e7\u00e3o de risco das pessoas \u00e9 calculada a partir de uma \u00fanica fonte, e o resto dos sinais fica noutro painel.<\/p>\n
Uma pontua\u00e7\u00e3o de risco humano \u00e9 uma estimativa, por pessoa, da probabilidade de o seu comportamento levar a um incidente de seguran\u00e7a. Serve para estabelecer prioridades: quem refor\u00e7ar primeiro, que \u00e1reas precisam de outro tipo de conte\u00fado, onde conv\u00e9m ajustar uma pol\u00edtica.<\/p>\n
A sua fiabilidade assenta em tr\u00eas aspetos. O primeiro \u00e9 o n\u00famero de fontes que alimentam o c\u00e1lculo, porque uma \u00fanica dimens\u00e3o deixa pontos cegos. O segundo \u00e9 a frequ\u00eancia de atualiza\u00e7\u00e3o, j\u00e1 que o comportamento muda e uma pontua\u00e7\u00e3o de h\u00e1 seis meses descreve uma pessoa que talvez j\u00e1 n\u00e3o exista. O terceiro \u00e9 a rastreabilidade. A equipa tem de conseguir explicar porque \u00e9 que algu\u00e9m tem a pontua\u00e7\u00e3o que tem, sem ficar s\u00f3 pelo n\u00famero.<\/p>\n
Quando a pontua\u00e7\u00e3o \u00e9 constru\u00edda unicamente com resultados de simula\u00e7\u00f5es, falha na primeira condi\u00e7\u00e3o. Mede bem um comportamento espec\u00edfico e deixa o resto por observar.<\/p>\n
Uma simula\u00e7\u00e3o de phishing mede uma capacidade espec\u00edfica num momento controlado: reconhecer um email de phishing e n\u00e3o interagir com ele. \u00c9 um sinal valioso e acion\u00e1vel, e \u00e9 a base de qualquer programa s\u00e9rio. Dedicamos boa parte da plataforma a manter essa medi\u00e7\u00e3o limpa, como descrevo em como se desenha uma campanha que muda realmente o comportamento<\/a>.<\/p>\n O limite surge quando esse sinal \u00e9 usado como se descrevesse todo o risco de uma pessoa. Os ataques reais n\u00e3o se esgotam no email de phishing. Segundo o Data Breach Investigations Report da Verizon<\/a>, as causas mais frequentes das viola\u00e7\u00f5es continuam a envolver de forma marcada o elemento humano, incluindo engenharia social, credenciais roubadas e phishing. Grande parte disso acontece fora do alcance de uma simula\u00e7\u00e3o: um in\u00edcio de sess\u00e3o a partir de uma localiza\u00e7\u00e3o imposs\u00edvel, um segundo fator recusado v\u00e1rias vezes, um dispositivo com uma configura\u00e7\u00e3o de risco.<\/p>\n Um colaborador que passa em todas as simula\u00e7\u00f5es pode, ainda assim, estar por tr\u00e1s de v\u00e1rios desses sinais. Se a pontua\u00e7\u00e3o n\u00e3o os incorporar, o programa v\u00ea uma face do risco e assume que \u00e9 a \u00fanica.<\/p>\n Um SIEM (Security Information and Event Management) centraliza e correlaciona eventos de seguran\u00e7a de toda a organiza\u00e7\u00e3o. Em conjunto com o fornecedor de identidade, o endpoint e as solu\u00e7\u00f5es de XDR, forma aquilo a que costumamos chamar security stack: o conjunto de sistemas que j\u00e1 observam o que acontece no ambiente real.<\/p>\n Esse stack produz sinais que se ligam diretamente ao comportamento das pessoas. Do lado da identidade, tentativas de acesso an\u00f3malas, fatores de autentica\u00e7\u00e3o recusados repetidamente ou in\u00edcios de sess\u00e3o a partir de localiza\u00e7\u00f5es incoerentes. Do lado do endpoint e do XDR, dete\u00e7\u00f5es de software malicioso, configura\u00e7\u00f5es que se afastam da pol\u00edtica ou liga\u00e7\u00f5es a destinos suspeitos. Cada um desses sinais diz algo sobre o risco de uma pessoa que nenhuma simula\u00e7\u00e3o ir\u00e1 captar.<\/p>\n O sinal da sensibiliza\u00e7\u00e3o e o do stack somam-se. O resultado \u00e9 uma pontua\u00e7\u00e3o que reflete tanto a resposta a um exerc\u00edcio como o comportamento di\u00e1rio perante os sistemas que a pessoa usa todos os dias.<\/p>\n Aqui est\u00e1 a parte que mais importa do ponto de vista do desenho, e \u00e9 uma decis\u00e3o de arquitetura, n\u00e3o um detalhe t\u00e9cnico. Enriquecer a pontua\u00e7\u00e3o com sinais do stack n\u00e3o significa instalar um agente no dispositivo de cada pessoa nem observar o que faz no ecr\u00e3. Significa integrar-se com os sistemas que a organiza\u00e7\u00e3o j\u00e1 opera e ler os sinais que esses sistemas j\u00e1 geram.<\/p>\n Resolvemos isto por API. A SMARTFENSE liga-se ao fornecedor de identidade, \u00e0s plataformas de XDR e ao SIEM, sem pedir nada no endpoint do colaborador. \u00c9 a mesma l\u00f3gica que explico em porque nos integramos por API e n\u00e3o instalando um agente<\/a> e que sustenta tamb\u00e9m a integra\u00e7\u00e3o de identidade e o aprovisionamento por SSO<\/a>. A superf\u00edcie de integra\u00e7\u00e3o vive do lado dos sistemas de seguran\u00e7a, n\u00e3o do posto de trabalho.<\/p>\n Essa distin\u00e7\u00e3o tem consequ\u00eancias concretas. Respeita a privacidade da pessoa, porque se leem eventos de seguran\u00e7a, n\u00e3o a sua atividade pessoal. Reduz o atrito da implementa\u00e7\u00e3o, porque n\u00e3o \u00e9 preciso tocar em milhares de dispositivos. E o sinal viaja nos dois sentidos. A pontua\u00e7\u00e3o enriquece-se com o stack e, ao mesmo tempo, o comportamento humano pode alimentar a estrat\u00e9gia de dete\u00e7\u00e3o, um \u00e2ngulo complementar que Pablo Abratte abordou em o que o teu SIEM n\u00e3o v\u00ea<\/a>.<\/p>\n A primeira coisa que muda \u00e9 a defini\u00e7\u00e3o de prioridades. Quando a pontua\u00e7\u00e3o combina a resposta \u00e0s simula\u00e7\u00f5es com os sinais do stack, a lista de pessoas a refor\u00e7ar deixa de estar ordenada apenas por quem falhou um email e passa a refletir o risco real. Na pr\u00e1tica, as organiza\u00e7\u00f5es que somam os sinais do security stack descobrem risco que a simula\u00e7\u00e3o sozinha n\u00e3o mostrava e, ao mesmo tempo, matizam casos que pareciam cr\u00edticos e n\u00e3o eram.<\/p>\n A segunda \u00e9 a qualidade do refor\u00e7o. Com uma pontua\u00e7\u00e3o de fonte \u00fanica, a \u00fanica resposta poss\u00edvel s\u00e3o mais simula\u00e7\u00f5es. Com uma pontua\u00e7\u00e3o multifonte \u00e9 poss\u00edvel dirigir o conte\u00fado ao problema concreto de cada grupo, seja a gest\u00e3o de credenciais, a rea\u00e7\u00e3o a alertas de identidade ou o cuidado com o dispositivo.<\/p>\n A terceira \u00e9 a conversa com a dire\u00e7\u00e3o. Uma pontua\u00e7\u00e3o que integra v\u00e1rias fontes \u00e9 mais defens\u00e1vel perante um comit\u00e9, porque n\u00e3o depende de um \u00fanico indicador que sobe e desce a cada campanha. Sobre como levar isto a um board escrevi em reporting para o board em dois minutos<\/a>, e sobre como traduzi-lo em or\u00e7amento em quantificar o risco humano para o CFO<\/a>.<\/p>\n Nada disto exige come\u00e7ar do zero. Se a tua organiza\u00e7\u00e3o j\u00e1 tem um programa de sensibiliza\u00e7\u00e3o e um security stack em funcionamento, a maior parte do trabalho \u00e9 de integra\u00e7\u00e3o<\/a>: ligar o que mede o comportamento ao que observa o ambiente, e deixar que a pontua\u00e7\u00e3o reflita as duas coisas.<\/p>\n Uma pontua\u00e7\u00e3o de risco humano substitui as simula\u00e7\u00f5es de phishing?<\/strong> \u00c9 preciso instalar um agente nos dispositivos para ler os sinais do SIEM?<\/strong> Que sinais do security stack acrescentam ao risco por pessoa?<\/strong> A privacidade do colaborador \u00e9 respeitada?<\/strong> Com que frequ\u00eancia deve a pontua\u00e7\u00e3o atualizar-se?<\/strong> Queres ver como isto se liga ao teu ambiente? A sec\u00e7\u00e3o de integra\u00e7\u00f5es<\/a> da plataforma mostra com que sistemas a SMARTFENSE se liga, e a de ferramentas de simula\u00e7\u00e3o<\/a> mostra onde come\u00e7a a medi\u00e7\u00e3o do comportamento.<\/p>\n","protected":false},"excerpt":{"rendered":" As simula\u00e7\u00f5es de phishing medem apenas parte do risco humano. Como enriquecer a pontua\u00e7\u00e3o por pessoa com sinais reais do SIEM e do security stack.<\/p>\n","protected":false},"author":4,"featured_media":43803,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,687],"tags":[455,2312,2169,449,2311,2228],"class_list":["post-43788","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","category-blog-pt-pt","tag-ciso-pt-pt","tag-integracion-siem","tag-riesgo-humano","tag-sensibilizacao","tag-siem","tag-simulaciones-de-phishing"],"acf":[],"yoast_head":" \nQue sinais o SIEM ou o security stack acrescentam ao risco por pessoa?<\/h2>\n
Como combinar simula\u00e7\u00e3o e telemetria sem observar a m\u00e1quina do colaborador?<\/h2>\n
O que muda quando a pontua\u00e7\u00e3o \u00e9 multifonte?<\/h2>\n
Perguntas frequentes<\/h2>\n
\nN\u00e3o. As simula\u00e7\u00f5es continuam a ser uma fonte central e a forma mais direta de medir e treinar a resposta a um email de phishing. Uma pontua\u00e7\u00e3o multifonte incorpora-as e acrescenta-lhes os sinais do stack para cobrir o risco que elas n\u00e3o observam.<\/p>\n
\nN\u00e3o. A integra\u00e7\u00e3o faz-se por API com os sistemas de seguran\u00e7a que a organiza\u00e7\u00e3o j\u00e1 opera, como o fornecedor de identidade, o XDR e o SIEM. N\u00e3o se instala nada no endpoint do colaborador nem se observa a sua atividade pessoal.<\/p>\n
\nAcessos an\u00f3malos, segundos fatores recusados repetidamente, in\u00edcios de sess\u00e3o a partir de localiza\u00e7\u00f5es incoerentes, dete\u00e7\u00f5es de software malicioso e configura\u00e7\u00f5es de dispositivo que se afastam da pol\u00edtica. Todos se correlacionam com o comportamento de uma pessoa.<\/p>\n
\nSim. Leem-se eventos de seguran\u00e7a gerados pelos sistemas corporativos, n\u00e3o a atividade privada da pessoa. A telemetria prov\u00e9m do security stack, n\u00e3o da observa\u00e7\u00e3o do ecr\u00e3 de ningu\u00e9m.<\/p>\n
\nDe forma cont\u00ednua. O comportamento muda, e uma pontua\u00e7\u00e3o que se atualiza \u00e0 medida que chegam novos sinais descreve a pessoa que \u00e9 hoje, n\u00e3o a da \u00faltima campanha.<\/p>\n