- Endpoints são o principal ponto de entrada para ransomware.Um dispositivo sem patch ou protegido por antivírus somente por assinatura oferece aos invasores uma posição confiável.
- O EDR (Endpoint Detection and Response) monitora continuamente o comportamento do dispositivo e detecta ataques que não possuem assinatura conhecida.Para a maioria das empresas, o EDR é o padrão mínimo viável hoje, e não o antivírus.
- O gerenciamento de patches retorna mais valor de segurança por quilo gasto do que quase qualquer outro controle.A maioria dos ransomware explora vulnerabilidades com patches que existiam semanas ou meses antes da violação.
- A criptografia completa do disco impede o roubo de dados de dispositivos perdidos ou roubados.Um laptop roubado sem BitLocker ou FileVault é uma violação de dados de acordo com o GDPR do Reino Unido, e não um inconveniente.
- O MDM permite aplicar políticas de dispositivos, enviar atualizações de segurança e limpar dispositivos perdidos remotamente.É essencial para qualquer organização com funcionários trabalhando fora do escritório ou usando dispositivos pessoais para trabalhar.
Por que os endpoints são a parte mais direcionada do seu ambiente
Cada funcionário trabalha em um dispositivo.Esse dispositivo se conecta à Internet, executa aplicativos, armazena arquivos e mantém credenciais.Os invasores têm como alvo os endpoints porque eles são numerosos, muitas vezes gerenciados de maneira inconsistente e têm acesso direto aos dados e sistemas importantes.
Os três caminhos de ataque de endpoint mais comuns são:
- Phishing que leva à instalação de malware: um usuário clica em um link malicioso ou abre um anexo infectado, lançando ransomware, uma ferramenta de acesso remoto ou um ladrão de informações no dispositivo.
- Exploração de vulnerabilidades não corrigidas: os invasores procuram dispositivos que executam software com vulnerabilidades conhecidas e executam códigos de exploração diretamente contra eles, sem a necessidade de interação do usuário.
- Roubo de credenciais: o malware em um endpoint captura senhas ou tokens de sessão, que os invasores usam para migrar lateralmente para serviços em nuvem, compartilhamentos de arquivos e sistemas internos.
Antivírus vs EDR: o que a diferença significa na prática
O antivírus compara arquivos com um banco de dados de assinaturas de malware conhecidas.Se o arquivo corresponder a uma assinatura, ele será bloqueado.Caso contrário, ele será executado.Os invasores sabem disso há anos e modificam rotineiramente o malware para evitar a detecção de assinaturas ou usam ferramentas legítimas que não possuem nenhuma assinatura.
O EDR adota uma abordagem diferente.Em vez de examinar os arquivos, ele monitora o que os processos fazem: o que eles gravam no disco, quais conexões de rede eles abrem, quais chaves de registro eles modificam, que outros processos eles geram.Quando um processo se comporta como um invasor, o EDR o sinaliza, registra a atividade e pode isolar o dispositivo automaticamente enquanto sua equipe investiga.
Grupos modernos de ransomware usam rotineiramente ferramentas de sistema legítimas, como PowerShell, WMI e protocolos de desktop remoto, para se moverem pelas redes sem descartar nenhum arquivo de malware para detecção por antivírus.Isso se chama viver da terra.O EDR detecta esses padrões;antivírus não.
Microsoft Defender para Ponto de Extremidade
Para a maioria das empresas do Reino Unido que já estão em Microsoft 365, o Defender for Endpoint (incluído no Business Premium e disponível como um complemento independente) é uma plataforma EDR capaz que abrange dispositivos Windows, macOS, iOS e Android.Ele fornece detecção comportamental, regras de redução de superfície de ataque, um console de gerenciamento e integração com o Microsoft Sentinel para organizações que executam uma função de operações de segurança.
Produtos EDR de terceiros de fornecedores como CrowdStrike, SentinelOne e Sophos oferecem detecção comparável com diferentes interfaces de gerenciamento e modelos de licenciamento.A escolha importa menos do que garantir que o EDR seja implantado em todos os dispositivos, configurado corretamente e monitorado ativamente.
Gerenciamento de patches
O software sem patch é a superfície de ataque mais explorada nas empresas do Reino Unido.Os invasores não precisam de vulnerabilidades de dia zero quando uma proporção significativa de dispositivos executa software com vulnerabilidades conhecidas e documentadas publicamente e patches disponíveis.
O desafio não é a conscientização.A maioria das equipes de TI sabe que os patches são importantes.O desafio é a execução em escala: centenas de dispositivos executando dezenas de aplicativos, cada um com sua própria cadência de atualização, alguns exigindo reinicializações, alguns exigindo ação do usuário e alguns gerenciados por usuários que adiam as atualizações indefinidamente.
O que corrigir e com que rapidez
| Gravidade | Escala de tempo | Exemplos |
|---|---|---|
| Critical | Dentro de 14 dias (requisito Cyber Essentials) | Execução remota de código em dispositivos Windows, Exchange e VPN |
| High | Dentro de 14 dias | Escalonamento de privilégios, desvio de autenticação |
| Medium | Dentro de 30 dias | Divulgação de informações, negação de serviço |
| Baixo | Dentro de 90 dias ou próximo ciclo programado | Pequenos problemas de configuração, exploração limitada |
O Cyber Essentials exige que patches para vulnerabilidades de gravidade alta e crítica sejam aplicados dentro de 14 dias após o lançamento e que softwares que não sejam mais suportados pelo fornecedor sejam removidos.Esta é uma linha de base mínima.A pesquisa da Mandiant citada acima coloca a janela média de exploração em 15 dias para vulnerabilidades exploradas ativamente, o que significa que a meta de 14 dias é restrita.
Automatizando a implantação de patches
O patch manual não é dimensionado.Use uma plataforma de gerenciamento de patches para automatizar a implantação e monitorar a conformidade:
- Microsoft Intune: corrigir dispositivos Windows e macOS registrados no Intune.Configure anéis de atualização que implantam patches primeiro em um grupo piloto e depois em todos os dispositivos dentro da sua janela de destino.
- Serviços de atualização do Windows Server (WSUS): adequado para ambientes locais sem MDM na nuvem.Requer mais configuração manual, mas oferece controle granular sobre quais atualizações serão implantadas e quando.
- Gerenciamento de patches de terceiros: plataformas como Ninja RMM, Manageengine Patch Manager Plus ou Atera patch Windows, macOS e aplicativos de terceiros (Chrome, Adobe, Java) em um único console.
Os aplicativos de terceiros são onde a maioria das organizações fica aquém.Os patches do sistema operacional geralmente são implantados automaticamente, mas os aplicativos fora do mecanismo de atualização do sistema operacional acumulam vulnerabilidades por meses.Uma plataforma de gerenciamento de patches que cubra software de terceiros preenche essa lacuna.
Os terminais incluem servidores.Um servidor de arquivos ou servidor de aplicativos interno executando o Windows Server sem patch é um destino de alto valor.Inclua servidores em seu escopo de gerenciamento de patches e trate-os nos mesmos prazos dos desktops, com testes apropriados antes da implantação em sistemas de produção.
Criptografia de disco completo
A criptografia completa do disco protege os dados em dispositivos perdidos ou roubados.Sem ele, qualquer pessoa com acesso físico a um laptop pode ler seu conteúdo inicializando a partir de uma mídia externa ou removendo a unidade.Com ele, os dados criptografados ficam ilegíveis sem as credenciais corretas ou chave de recuperação.
De acordo com o GDPR do Reino Unido, um dispositivo não criptografado perdido contendo dados pessoais é uma violação reportável.Um dispositivo criptografado perdido, onde a chave de criptografia também não está comprometida, não está.A criptografia converte uma notificação potencial da ICO e um incidente de reputação em um assunto administrativo.
Habilitando criptografia no Windows e macOS
- BitLocker (Windows): disponível no Windows 10/11 Pro, Enterprise e Education.Habilite por meio da Política de Grupo ou do Intune.Armazene chaves de recuperação no Azure AD ou no Active Directory, e não localmente no dispositivo.Exige criptografia baseada em TPM para que o disco não possa ser lido se for removido da máquina original.
- FileVault (macOS): integrado ao macOS.Habilite através das configurações do sistema ou aplique via MDM.Armazene as chaves de recuperação na sua plataforma MDM, não com o usuário.
- Edições do Windows Home: A criptografia de dispositivo (uma forma simplificada de BitLocker) está disponível em dispositivos que atendem aos requisitos de hardware.Verifique se ele está ativado em qualquer dispositivo Windows Home usado para trabalho ou atualize para o Pro.
Verifique o status da criptografia em sua propriedade por meio do MDM ou de uma ferramenta de gerenciamento de vulnerabilidades.A conformidade auto-relatada não é confiável;relatórios automatizados são.
Controle de aplicativos e proteção de dispositivos
As configurações padrão do dispositivo não são configurações seguras.Os sistemas operacionais são fornecidos com recursos habilitados que a maioria das organizações não precisa, e os usuários instalam software que apresenta riscos.O endurecimento aborda ambos.
Remova o que você não precisa
O Cyber Essentials exige a remoção de software desnecessário e a desativação de recursos desnecessários.Esta também é uma boa prática independente da certificação.Cada aplicativo instalado é uma superfície de ataque adicional.Restrinja os direitos de instalação para que usuários padrão não possam instalar software sem a aprovação do administrador.
Lista de permissões de aplicativos
A lista de permissões permite que apenas aplicativos aprovados sejam executados e bloqueia todo o resto.Ele interrompe a execução do malware mesmo quando o malware ignora a detecção, porque não está na lista de aprovados.A implementação e a manutenção da lista de permissões são tecnicamente exigentes, mas é o controle de endpoint mais eficaz disponível.
O Microsoft AppLocker e o Windows Defender Application Control (WDAC) fornecem recursos de lista de permissões no Windows.O WDAC integra-se ao Intune para implantação de políticas em dispositivos gerenciados.Comece com o modo de auditoria para identificar o que está atualmente em execução em seu patrimônio antes de mudar para a fiscalização.
Regras de redução de superfície de ataque
O Microsoft Defender para Endpoint inclui regras de redução de superfície de ataque (ASR) que bloqueiam comportamentos específicos comumente usados em ataques: impedindo que aplicativos do Office gerem processos filhos, bloqueando conteúdo executável de e-mail e downloads da Web, evitando roubo de credenciais da autoridade de segurança local do Windows.Habilite primeiro as regras ASR no modo de auditoria, revise as descobertas e depois passe para o modo de bloqueio para regras que não afetam fluxos de trabalho legítimos.
Gerenciamento de dispositivos móveis
Os funcionários acessam e-mails, arquivos e aplicativos corporativos em laptops, telefones e tablets, incluindo dispositivos pessoais.Sem o MDM, você não tem visibilidade do que é executado nesses dispositivos, não tem como aplicar políticas de segurança e não tem mecanismo para apagar dados corporativos se um dispositivo for perdido ou um funcionário sair.
MDM versus MAM
| Abordagem | O que gerencia | Melhor para |
|---|---|---|
| MDM completo | Todo o dispositivo: configurações, aplicativos, patches, limpeza remota | Dispositivos de propriedade da empresa |
| MAM (gerenciamento de aplicativos móveis) | Somente aplicativos e dados corporativos;conteúdo pessoal intocado | Dispositivos pessoais (BYOD) |
| Cogestão | Controle compartilhado entre MDM e Configuration Manager para ambientes híbridos | Grandes organizações com gerenciamento local existente |
Para dispositivos pessoais, o MAM por meio das Políticas de Proteção de Aplicativos do Microsoft Intune permite impor criptografia, requisitos de PIN e prevenção contra perda de dados em aplicativos corporativos (Outlook, Teams, OneDrive) sem tocar em dados pessoais.Os utilizadores aceitam esta abordagem onde a inscrição completa no MDM encontraria resistência.
Políticas a serem aplicadas por meio do MDM
- Bloqueio de tela com PIN ou biometria após cinco minutos de inatividade
- Criptografia completa do disco necessária antes da inscrição
- Versão mínima do sistema operacional aplicada (bloquear registro de versões de sistema operacional não suportadas)
- Dispositivos desbloqueados ou com acesso root bloqueados no acesso corporativo
- Capacidade de limpeza remota confirmada antes de conceder acesso aos dados corporativos
- Políticas de acesso condicional bloqueando dispositivos não compatíveis do Microsoft 365
Endpoints de trabalho remoto e doméstico
O trabalho remoto expandiu a superfície de ataque para a maioria das organizações em 2020 e permaneceu expandida.As redes domésticas não são redes corporativas: elas são compartilhadas com membros da família, operam equipamentos de consumo e muitas vezes não possuem os controles básicos presentes em um ambiente de escritório.
O modelo de confiança zero trata todas as redes como não confiáveis, incluindo a LAN corporativa, e verifica todas as solicitações de acesso, independentemente de sua origem.Aplicado a endpoints, isso significa:
- Conformidade do dispositivo verificada antes de conceder acesso a qualquer recurso corporativo, não apenas no perímetro
- MFA necessário para todo acesso remoto, não apenas para login VPN
- Políticas de acesso condicional que concedem acesso com base na integridade do dispositivo, na identidade do usuário e na localização em conjunto, e não em um único fator isolado
- Tunelamento dividido configurado cuidadosamente na VPN, para que o tráfego corporativo seja roteado pela VPN enquanto a navegação pessoal não o faz, reduzindo a carga de largura de banda sem remover a visibilidade do tráfego corporativo
Você não pode gerenciar um funcionário’é roteador doméstico.O que você pode fazer é reduzir a dependência dele: usar ferramentas Zero Trust Network Access (ZTNA) em vez da VPN tradicional, impor acesso condicional baseado em dispositivo e garantir que dados confidenciais cheguem apenas a dispositivos totalmente gerenciados e compatíveis.Remova a rede doméstica do modelo de confiança em vez de tentar protegê-la.
Segurança de endpoint e Cyber Essentials
Cyber Essentials e Cyber Essentials Plus avaliam cinco controles técnicos, três dos quais dizem respeito diretamente a endpoints: proteção contra malware, gerenciamento de patches e configuração segura.Cumprir o Cyber Essentials é uma meta básica sensata para as organizações do Reino Unido e um requisito para alguns contratos governamentais.
| Controle do Cyber Essentials | Requisito de terminal |
|---|---|
| Proteção contra malware | Software antimalware instalado e ativo em todos os dispositivos;a lista de permissões de aplicativos é uma alternativa aceita |
| Gerenciamento de patches | Patches altos e críticos aplicados em até 14 dias;software não suportado removido |
| Configuração segura | Software e recursos desnecessários removidos;senhas padrão alteradas;execução automática desativada |
| Controle de acesso | Contas de usuário padrão para uso diário;direitos de administrador somente quando necessário para tarefas específicas |
| Firewalls de limite e gateways de Internet | Firewall baseado em host habilitado em todos os dispositivos, não apenas no firewall de perímetro |
Cyber Essentials Plus adiciona verificação técnica independente: um avaliador testa uma amostra de seus dispositivos para confirmar se os controles estão funcionando, e não apenas documentados. Uma avaliação de risco de segurança cibernética ajuda a identificar lacunas antes de você entrar no processo formal de avaliação.
Lista de verificação de linha de base de segurança de endpoint
| Controlar | Status a alcançar |
|---|---|
| EDR implantado | Instalado e ativo em todos os dispositivos Windows, macOS e Linux;alertas monitorados |
| Gerenciamento de patches | Implantação automatizada;patches críticos e altos aplicados em até 14 dias;aplicativos de terceiros incluídos |
| Criptografia de disco completo | BitLocker (Windows) ou FileVault (macOS) habilitado em todos os dispositivos;chaves de recuperação depositadas centralmente |
| Inscrição no MDM | Todos os dispositivos da empresa registrados;BYOD coberto pelo MAM no mínimo |
| Direitos de administrador restritos | Contas de usuário padrão para uso diário;acesso de administrador concedido apenas por tarefa |
| Instalação de software restrita | Usuários padrão não podem instalar software sem aprovação |
| Firewall baseado em host | Ativado em todos os dispositivos;entrada de negação padrão |
| Bloqueio de tela | Aplicada após 5 minutos no máximo;É necessário PIN ou biometria |
| Software não suportado removido | Versões de sistema operacional e aplicativos em fim de vida removidos ou substituídos |
| Conformidade do dispositivo via acesso condicional | Dispositivos não compatíveis bloqueados no Microsoft 365 e outros serviços corporativos |
| Limpeza remota testada | Processo confirmado e testado antes do dispositivo ser entregue ao usuário |
| Relatório de status de criptografia | Relatórios automatizados via MDM;não auto-relatado |
Ryland fornece programas de segurança cibernética, conformidade e gerenciamento de TI para organizações regulamentadas no Reino Unido e na Holanda há mais de 20 anos. Ver perfil completo