Os hackers geralmente deixam um rastro sutil de evidências que podem dizer aos especialistas em segurança cibernética se um ataque ocorreu. No Avance Network, nos preocupamos com sua segurança, por isso preparamos uma lista de indicadores de comprometimento (IoCs) e dicas para mitigar os riscos de hacking.

Quais são os indicadores de compromisso?

Um IoC é um sinal de que um ataque já ocorreu; é a evidência da ocorrência de uma violação. Os IoCs assumem muitas formas diferentes e saber o que procurar pode ajudar a limitar as consequências de um ataque.

Ao contrário de outros tipos de roubo, um ataque cibernético bem-sucedido pode ser difícil de detectar. As empresas podem não perceber que uma violação de dados ocorreu até muito tempo depois do evento. Isso pode agravar as consequências de um hack bem-sucedido e deixá-lo aberto a futuras explorações.

Se você não sabe que um hacker comprometeu seu servidor ou banco de dados, você não pode limitar o dano. Você deve ser capaz de notificar os usuários se suas informações forem roubadas, mas não pode fazer isso se não tiver certeza de que uma violação tenha ocorrido.

Você também precisa ser capaz de reconhecer os IoCs para permitir a implementação de medidas preventivas. Se você tiver evidências do ataque, pode procurar quaisquer pontos fracos que possam tê-lo facilitado. Você pode até aprovar novos protocolos de segurança para manter uma proteção melhor no futuro.

Indicadores de comprometimento vs indicadores de ataque

IoCs às vezes são confundidos com indicadores de ataque (IoA), mas esses termos têm dois significados distintos. O ataque ocorre antes do compromisso. Perceber um IoA sinalizará um ataque à medida que ele ocorrer, ajudando os técnicos a combater o ataque em tempo real. Encontrar um IoC pode ajudá-lo a entender o que já aconteceu.

Os IoAs podem se sobrepor aos IoCs, é claro. Perceber um aumento nas solicitações de banco de dados suspeitas conforme elas chegam seria um IoA, enquanto um log do aumento após o fato é um IoC.

Indicadores de exemplos de compromisso

Um IoC pode assumir muitas formas, algumas mais convincentes do que outras. Eles podem ser sutis, então, idealmente, você será capaz de corroborar um IoC com outros. Aqui estão cinco dos exemplos de IoC mais claros que você provavelmente encontrará após uma violação.

Consultas de banco de dados suspeitas

Os bancos de dados da empresa são um dos alvos favoritos dos cibercriminosos. Eles contêm informações valiosas sobre clientes, registros internos da empresa e senhas. Para acessar esses bancos de dados, os usuários enviam consultas, portanto, se você registrou um pico incomum nessas comunicações, pode ser um IoC. Um alto volume de solicitações ocorrendo em um curto espaço de tempo, provenientes do mesmo dispositivo, é um sinal de alerta claro.

Se o IoC sugerir que um banco de dados foi violado, é importante que você faça uma auditoria dos dados que ele contém. O banco de dados armazena dados do usuário ou informações do cliente? O hacker pode ter acessado detalhes de cartão de crédito ou senhas? Quanto antes você confirmar a violação, mais cedo poderá entrar em contato com os usuários e evitar maiores danos.

Táticas de distração

Às vezes, é claro que ocorreu um ataque, mas a motivação não é imediatamente evidente. Uma operação DDoS aparentemente sem sentido travou um recurso específico em um site e causou pequenas interrupções? Ou poderia um ataque muito mais sério ter ocorrido em outro lugar no servidor? O ataque que você notou pode ter sido uma tática de diversão.

Um ataque à camada de aplicativo é um exemplo clássico desse método. Se você notar um, procure por IoCs em outras áreas do servidor ou banco de dados que provavelmente serão alvos mais tentadores.

Anomalias geográficas

Os invasores muitas vezes mascaram suas localizações reais, roteando seu tráfego por meio de endereços IP de shell. Isso torna mais difícil para as autoridades rastreá-los, mas também pode funcionar como uma bandeira vermelha útil.

Se sua base de usuários principal estiver nos EUA, um fluxo repentino de tráfego e solicitações de usuários em Dubai pode ser um forte indicador de que um ataque ocorreu. Vale a pena acompanhar de onde vem a maior parte do tráfego legítimo do servidor, para que você possa notar quaisquer anomalias.

Tentativas de login malsucedidas

Invadir uma rede ou servidor geralmente envolve um processo de tentativa e erro. Um invasor pode tentar vários logins ou solicitações antes de acessar seu alvo. Para conseguir isso, eles podem usar um software de força bruta que gera e armazena senhas aleatórias até encontrar uma correspondência. O aumento nas tentativas de login malsucedidas pode provar que alguém tentou entrar à força em uma conta corporativa. No entanto, isso não confirmará se eles foram bem-sucedidos ou não.

Atividade suspeita do administrador

Se um invasor está lançando uma operação contra um servidor ou site, sua primeira chamada geralmente será as contas administrativas. Um ator mal-intencionado pode comandar esses perfis usando uma variedade de técnicas: de ataques de pretexto a injeções de SQL . Em seguida, eles podem explorar essas contas para lançar outras intrusões.

É importante que você monitore as contas de administrador e realize verificações regulares para atividades incomuns. Quanto antes você detectar um comportamento irregular em um perfil, mais cedo poderá revogar seu acesso administrativo.

Prevenir uma violação

Encontrar um IoC é útil, mas é apenas metade da solução. Você deve trabalhar para conter os ataques antes que eles ocorram. Aqui estão três etapas viáveis ​​para reduzir o risco de comprometimento:

Certifique-se de que os funcionários usem uma VPN para proteger seus dispositivos. Isso criptografará sua atividade de navegação e reduzirá os riscos de violação de um endpoint ).

Use os controles de aplicativos remotos para limitar quaisquer atividades de alto risco no hardware da empresa, reduzindo a ameaça de uma infecção por malware .

Saiba mais sobre os perigos das violações de dados e como você pode evitá-los.

Aumente regularmente a conscientização dos funcionários sobre as melhores práticas e protocolos de segurança atualizados. Isso irá encorajar os indivíduos a estarem alertas para pretextos fraudulentos ou outras formas de engenharia social.