O que é exfiltração de dados? Como a IA acelera o roubo de dados e como reduzir o que é exposto

Uma vez que os invasores estão dentro de um banco de dados, um wiki ou uma caixa de correio, eles querem uma coisa: os dados. A exfiltração não precisa de malware ou ferramentas especiais. Um login válido ou uma única aplicação web vulnerável é suficiente, e a cópia parece tráfego normal até que alguém verifique o volume. A IA reduz o tempo entre entrar e sair com os melhores registros.

O que é exfiltração de dados?

A exfiltração de dados é a transferência não autorizada de dados de um sistema, rede ou serviço em nuvem para um local controlado pelo atacante. As equipes de segurança também usam o termo como verbo: os atacantes exfiltram dados. Uma violação de dados descreve a exposição em si, e o vazamento de dados geralmente significa que a exposição foi acidental. A exfiltração é deliberada, e a pessoa por trás pode ser um atacante externo ou um insider.

Exemplos de exfiltração de dados

Assuma o controle de um banco de dados. Um invasor explora uma aplicação web vulnerável, obtém controle de um banco de dados de registro e exporta milhões de registros. Um dump de intranet é diferente: alguém com credentials roubadas copia toda a wiki da empresa, incluindo procedimentos e notas de arquitetura, e às vezes credentials que as pessoas colaram nas páginas.

As exportações de Mailbox são mais silenciosas. Após assumir uma conta, o invasor extrai a Mailbox e a pesquisa em busca de faturas, contratos e dados pessoais. O ransomware de dupla extorsão adiciona uma ameaça extra. Os invasores copiam os dados primeiro, depois criptografam os sistemas e avisam a vítima que os dados serão publicados se o resgate não for pago.

Técnicas comuns de exfiltração de dados

A maioria das exfiltrações segue uma de algumas rotas:

• Credenciais roubadas: um login válido lê e copia dados por meio de interfaces normais, então a atividade parece uso rotineiro.
• Falhas de aplicação: fraquezas em apps web, plataformas CMS e APIs permitem que atacantes puxem dados diretamente sem nenhum login.
• Insiders: funcionários e contratados copiam dados para armazenamento pessoal, unidades USB ou e-mail.
• Sincronização e uploads na nuvem: os dados são movidos para contas pessoais ou serviços de compartilhamento de arquivos.
• Preparação e transferência: seja qual for a rota para extrair os dados, os atacantes geralmente os comprimem primeiro em grandes arquivos e os enviam via HTTPS, DNS ou outro canal já permitido pela rede.

Como a IA muda a exfiltração de dados

Copiar dados nunca foi a parte lenta. Escolher o que levar e organizar o que voltava consumia a maior parte do tempo do atacante. A IA acelera exatamente essas tarefas.

Dados roubados são pesquisados por significado

A mineração de dados costumava significar buscas por palavras-chave e navegação manual. Agora, um modelo pode ler documentos, planilhas e threads de e-mail e extrair contratos, registros de clientes e credenciais, mesmo quando os arquivos têm nomes inúteis. Um grande volume torna-se pesquisável muito mais rápido do que uma pessoa poderia ler.

Os alvos são classificados antes de qualquer coisa ser copiada

Nomes de pastas, metadados de arquivos e conteúdo de amostra indicam a um modelo quais shares e bancos de dados possuem o material mais sensível. Os atacantes podem pegar esses dados primeiro e pular arquivos de baixo valor, mantendo as transferências menores e mais silenciosas.

Registros roubados são classificados por preço

Dados pessoais, registros de saúde, dados de pagamento e propriedade intelectual têm valores diferentes para revenda e extorsão. Modelos podem classificar registros roubados por tipo e elaborar mensagens de extorsão que citam arquivos específicos, e uma exigência que nomeia seus próprios documentos é difícil de ignorar.

A coleta é executada por um script

Enumerar, copiar, comprimir, preparar, enviar. Cada etapa pode ser automatizada e reexecutada automaticamente, e uma rotina pode ser executada para várias organizações ao mesmo tempo.

Exfiltração de dados tradicional vs. assistida por IA

Detecção de exfiltração de dados

Fique atento a grandes arquivos em locais incomuns, volume de saída que não corresponde ao dia, conexões para destinos desconhecidos, leituras em massa de banco de dados ou caixa de correio, acesso a compartilhamentos de arquivos em horários estranhos e contas que leem dados que nunca tocam.

O staging é uma das etapas mais fáceis de verificar. Este comando Linux lista grandes arquivos criados nas últimas 24 horas.

      find / -xdev -type f \( -name "*.zip" -o -name "*.7z" -o -name "*.rar" -o -name "*.tar.gz" \) -size +500M -mtime -1 -ls 2>/dev/null 
      

A versão PowerShell faz o mesmo no Windows. Aponte-a para os caminhos das suas pastas compartilhadas, pois escanear todo o disco C: leva muito tempo.

      Get-ChildItem -Path D:\Shares -Recurse -Include *.zip,*.7z,*.rar -ErrorAction SilentlyContinue | 

  Where-Object { $_.Length -gt 500MB -and $_.CreationTime -gt (Get-Date).AddDays(-1) } | 

  Select-Object FullName, Length, CreationTime 
      

Verificações como essas funcionam em um servidor. Em servidores de arquivos, SharePoint, caixas de correio e bancos de dados, elas ficam para trás, e uma grande transferência geralmente só é visível depois que os dados saem. O controle mais confiável começa antes, sabendo o que você possui.

Prevenção da exfiltração de dados: reduza o que vale a pena roubar

Os controles de Network e endpoint são importantes, e cada um depende de saber quais dados são sensíveis. Muitas organizações não sabem onde estão os dados pessoais, dados de pagamento e propriedade intelectual, nem quem pode acessá-los. Cada técnica acima funciona melhor contra dados que ninguém classificou, bloqueou ou lembrou.

Netwrix Data Classification encontra dados sensíveis e regulamentados continuamente em servidores de arquivos Windows, NetApp, Dell EMC, Nutanix Files, SharePoint, Microsoft 365, Exchange, SQL Server, Oracle, MySQL, Box, Dropbox e Google Drive. Regras predefinidas cobrem GDPR, HIPAA e PCI DSS, e taxonomias personalizadas lidam com dados específicos do seu negócio.

Uma avaliação de risco mostra quais dados sensíveis estão mais expostos. A remediação automatizada então move arquivos sensíveis para locais seguros, remove permissões de grupos de acesso global e redige conteúdo confidencial.Detecção de ROT sinaliza dados redundantes, obsoletos e triviais para que você possa eliminá-los. Menos dados, sob controle mais rígido, deixam menos lugares para um invasor procurar.

As etiquetas de classificação também podem ser incorporadas em arquivos, o que melhora a precisão das ferramentas DLP e IRM. A classificação reduz o que é exposto e informa a outros controles o que merece proteção. Bloquear transferências no endpoint é uma tarefa de DLP, e Netwrix Endpoint Protector aplica essas políticas em dispositivos USB, navegadores, e-mail e ferramentas de IA no Windows, macOS e Linux.

Lista de verificação para prevenção de exfiltração de dados

1. Encontre onde os dados sensíveis estão armazenados, incluindo servidores de arquivos, SharePoint, caixas de correio e bancos de dados.
2. Classifique-o por tipo, como dados pessoais, dados de pagamento e propriedade intelectual, e mantenha a classificação atualizada.
3. Remova permissões excessivas, começando pelos grupos de acesso global.
4. Exclua ou arquive dados redundantes, obsoletos e triviais.
5. Mova arquivos sensíveis de compartilhamentos abertos para locais controlados.
6. Aplique controles DLP em endpoints para dispositivos USB, navegadores, e-mail e ferramentas de IA.
7. Fique atento a arquivos grandes e transferências incomuns de saída.