Um Guia para o CIS Control 10: Defesas contra Malware

O Controle 10 dos CIS Critical Security Controls versão 8 é focado em defesas contra malware. Descreve salvaguardas para prevenir ou controlar a instalação, propagação e execução de aplicações, códigos e scripts maliciosos em ativos empresariais. (Na versão 7 do CIS, este tópico era abordado pelo Controle 8.)

Malware, especialmente ransomware, tornou-se um problema de segurança urgente nos últimos anos. Ransomware restringe os usuários de acessarem seus sistemas ou informações, geralmente ameaçando publicar ou destruir dados a menos que o proprietário pague um resgate. Previsões de especialistas afirmam que até 2031, haverá um novo ataque a cada 2 segundos e os custos com ransomware atingirão 265 bilhões de dólares por ano.

Softwares maliciosos são projetados para ajudar atacantes a obter acesso e controle sobre sistemas e redes, geralmente com a intenção de extrair dados sensíveis. Além de ransomware, malwares podem vir na forma de um trojan horse que se disfarça como um programa comum; vírus e worms que alteram os sistemas afetados para servir aos propósitos do atacante; e mais. Malwares aumentam o risco empresarial ao roubar dados, capturar credenciais, criptografar ou destruir dados e identificar outros alvos em sua rede.

Sinais de uma infecção por malware podem incluir:

• Spam e anúncios pop-up
• Um sistema lento ou congelado
• Falhas frequentes
• Processos e serviços desconhecidos sendo criados ou iniciados
• Novos arquivos ou pastas sendo criados sem permissão
• Redirecionamentos de sites conhecidos para sites desconhecidos

As ameaças de malware podem evoluir e se adaptar usando técnicas de aprendizado de máquina e podem entrar nos sistemas da sua organização através de múltiplas vulnerabilidades enquanto evitam, enganam e desativam as defesas contra elas.

Para proteger sua organização de infecções por malware e garantir uma resposta rápida a incidentes, siga as salvaguardas detalhadas do CIS Control 10 abaixo.

10.1. Implemente e mantenha software antimalware em todos os ativos da empresa

Softwares antimalware identificam malware usando diferentes técnicas, incluindo:

• Definições ou assinaturas — Cada peça de malware possui uma definição ou assinatura que pode ser capturada e armazenada em um banco de dados. Soluções anti-malware realizam varreduras contínuas e comparam o código que entra ou está presente no sistema com as assinaturas no banco de dados para identificar e sinalizar malwares.
• Análise heurística — Como as mudanças de código acontecem frequentemente, heurísticas são utilizadas para identificar malware pelo seu comportamento e características em vez de comparar o código a uma assinatura. Elas podem ajudar na detecção de malware anteriormente não descoberto.
• Sandboxing— Soluções anti-malware utilizam essa técnica de teste para executar um programa suspeito em um espaço protegido e monitoram seu comportamento como se tivesse acesso total ao sistema. Se for determinado que o programa é malicioso, o anti-malware o encerra. Caso contrário, é permitido que ele execute fora do sandbox.

Uma vez que o malware é identificado, a maioria dos softwares anti-malware pode removê-lo ou colocá-lo em quarentena em um arquivo protegido. O software anti-malware não é 100% eficaz, mas ainda é um elemento de segurança essencial.

10.2. Configurar atualizações automáticas de assinaturas antimalware

Assinaturas (definições) são algoritmos ou hashes únicos para um determinado tipo de malware. Ferramentas anti-malware comparam arquivos em seus sistemas contra um conjunto de assinaturas a fim de identificar malware.

Porque o malware muda e se adapta o tempo todo, o anti-malware deve se adaptar junto com ele para permanecer eficaz. As atualizações são o único método de garantir que o anti-malware reconheça os códigos maliciosos mais recentes.

As atualizações automáticas são mais eficientes e confiáveis do que solicitar que usuários ou sua equipe de TI instalem atualizações. As atualizações podem ser liberadas a cada hora ou todos os dias, e qualquer atraso na instalação pode deixar seu sistema vulnerável a atores mal-intencionados.

10.3. Desative o autorun e o autoplay para mídias removíveis

Mídias removíveis, como pen drives e discos rígidos portáteis, são suscetíveis a malware, assim como qualquer outro sistema de computador. Essas mídias podem ser configuradas para baixar, instalar, reproduzir ou executar programas automaticamente no momento em que você as conecta ao seu computador. O malware pode infectar seu dispositivo antes que você consiga impedi-lo.

Ao desativar a funcionalidade de autoexecução como parte do seu gerenciamento de configuração segura, você pode prevenir malware infecções que poderiam causar violação de dadoses, tempo de inatividade do sistema, dano à reputação e perda financeira.

10.4. Configure a verificação automática de antimalware em mídias removíveis

Alguns hackers deixam pen drives por aí, esperando que alguém os pegue e os conecte, mesmo que seja apenas por curiosidade. Outras vezes, mídias removíveis que estão fora do seu controle podem ter malware instalado, ou podem ser usadas para transferir malware de um sistema para outro, inadvertidamente ou intencionalmente.

Configurar seu software antivírus para escanear automaticamente mídias removíveis imediatamente após a conexão ajuda a detectar malware e colocá-lo em quarentena ou terminá-lo antes que possa infectar o sistema no qual foi conectado. As melhores práticas sugerem limitar o uso de mídias removíveis e praticar um controle estrito sobre seu paradeiro. Treinamentos em grupo são úteis para criar consciência sobre os riscos das mídias removíveis.

10.5. Ative recursos antiexploração

Este controle sugere a ativação de recursos antiexploração em ativos empresariais e softwares onde for possível. Exemplos incluem Microsoft Data Execution Prevention (DEP), Windows Defender Exploit Guard (WDEG) e Apple System Integrity Protection (SIP) e Gatekeeper.

Os recursos antiexploração oferecem proteção genérica contra exploits em vez de procurar por malware conhecido como antivírus ou antimalware baseado em assinaturas. A maioria está incorporada aos sistemas operacionais atuais para impedir a penetração de malware, mas os recursos são desativados por padrão, então você deve ativá-los para tirar proveito deles.

A segurança anti-exploração é especialmente eficaz contra os exploits mais comuns que causam infecções em massa, como sites de download drive-by, campanhas de phishing e iframes maliciosos. Essas funcionalidades também mitigam vulnerabilidades zero-day, que são vulnerabilidades anteriormente desconhecidas e que ainda não possuem correções ou patches disponíveis. As funcionalidades também ajudam a impedir estouros de buffer e outros ataques de corrupção de memória.

10.6. Gerencie centralmente o software antimalware

Se você possui várias soluções antimalware que não se comunicam entre si, corre o risco de não conseguir detectar malware ou tendências em toda a empresa. Você deve lidar com cada silo separadamente.

Feche essa lacuna de segurança com a implementação de uma única solução anti-malware gerenciada centralmente que verifica e relata sobre cada dispositivo em sua organização. Fazendo isso reduz a expertise necessária para cobrir diferentes soluções e garante que você não perca nada porque algo passou despercebido entre as soluções. E no caso de uma violação de dados, você precisa olhar em apenas um lugar para obter informações.

10.7. Utilize software antimalware baseado em comportamento

Soluções baseadas em assinaturas apenas identificam códigos que já são conhecidos. O malware de hoje muitas vezes é inteligente o suficiente para escapar dessas ferramentas através de ambiguidades incorporadas que resultam em execuções de código variáveis.

Soluções baseadas em comportamento podem identificar arquivos maliciosos que soluções baseadas em assinaturas não reconheceriam porque conseguem analisar cada linha de código e todas as suas potencial ações. Por exemplo, essas soluções podem analisar a execução de instruções em nível de sistema operacional; código de rootkit de baixo nível; e arquivos, processos e serviços internos críticos ou irrelevantes.

No entanto, o software baseado em comportamento tem algumas desvantagens. Enquanto o antimalware baseado em assinatura identifica malware em tempo real, o software antimalware baseado em comportamento possui alguma latência inerente devido à necessidade de análise dinâmica em várias dimensões. Além disso, soluções baseadas em comportamento dificilmente detectarão malware com capacidades anti-sandbox.

Por um lado positivo, o software antimalware baseado em comportamento oferece flexibilidade na detecção de diferentes formas de malware desconhecidas para softwares baseados em assinaturas. Ele melhora a detecção de intrusões, análise de ameaças e análises de usuário, e permite que você crie ou modifique políticas para permitir ou proibir requisitos específicos para sua indústria ou organização. A maioria dos softwares baseados em comportamento segue um mecanismo de controle baseado em políticas, então a flexibilidade é importante para fins administrativos.

Mais dicas para prevenção e mitigação de malware

• Use secure authentication methods, incluindo senhas fortes, autenticação multifator (MFA) ou ferramentas biométricas.
• Use contas de administrador apenas quando absolutamente necessário.
• Siga o modelo de menor privilégio: Conceda aos usuários o acesso mínimo às capacidades do sistema, serviços e dados necessários para completar o trabalho deles.
• Implemente soluções de segurança de e-mail e proteção contra spam.
• Construa a consciência sobre táticas comuns de malware e mantenha os usuários atualizados sobre tendências e melhores práticas de cibersegurança. Em particular, aconselhe-os a se conectar apenas a redes seguras usando VPNs quando estiverem trabalhando fora do escritório.
• Incentive os usuários a relatar comportamentos incomuns do sistema.

Resumo

Seguindo os critical security controls da CIS, uma empresa pode fortalecer a segurança, alcançar a conformidade regulatória e melhorar a resiliência dos negócios, tanto localmente quanto na nuvem.

O controle 10 recomenda o uso de antimalware baseado em comportamento e ferramentas baseadas em assinatura com atualizações automáticas ativadas, e o gerenciamento centralizado do software. Certifique-se também de habilitar os recursos antiexploit nos seus sistemas operacionais e controlar estritamente o uso de mídias removíveis em seus dispositivos, se você permitir o uso delas. Seguindo essas melhores práticas, você pode reduzir o risco de uma infecção devastadora por malware.