Melhores práticas de segurança de rede para equipes de TI empresariais

As melhores práticas robustas de segurança de rede são mais importantes do que nunca para proteger contra as ameaças cibernéticas cada vez mais sofisticadas de hoje. Este artigo explora uma variedade de melhores práticas e tecnologias de rede e segurança que você precisa para fortalecer sua rede contra acessos não autorizados e violações de dados.

Tipos de dispositivos de rede e soluções de segurança

Antes de mergulhar nas melhores práticas de segurança de rede empresarial, vamos revisar os tipos comuns de dispositivos de rede e soluções de segurança que as organizações podem aproveitar:

• As pontes eram uma vez usadas para conectar dois ou mais hosts ou segmentos de rede. Elas estão obsoletas e não são mais utilizadas.
• Hubs eram usados para conectar dispositivos de rede local (LAN). Como não possuem inteligência embutida, hubs raramente são usados em configurações de rede modernas.
• Um network switch é o dispositivo de rede padrão que conecta computadores, servidores, impressoras e outros dispositivos em uma LAN. Ele usa endereços MAC para gerenciar e encaminhar dados para dispositivos específicos. Diferente de um hub, um switch pode direcionar o tráfego de forma inteligente para reduzir a congestão da rede e melhorar o desempenho da rede.
• Um network router direciona pacotes de dados entre diferentes redes para facilitar a conectividade à internet e a comunicação de rede interna. Roteadores usam endereços IP para determinar o caminho mais eficiente para a transmissão de pacotes de dados através das redes. Eles também podem fornecer recursos de segurança como listas de controle de acesso para restringir o acesso à rede.
• Um gateway atua como intermediário para dispositivos em redes separadas, permitindo que eles se comuniquem mesmo que estejam usando protocolos de comunicação diferentes.
• Um firewall segrega uma rede de outra. Firewalls estão disponíveis em hardware e software e podem ser integrados em dispositivos como roteadores ou servidores. O exemplo clássico de um firewall é um aparelho dedicado que atua como uma barreira entre a rede interna e o mundo exterior.
• Um sistema de network access control (NAC) avalia se os dispositivos que tentam acessar a rede atendem aos padrões de segurança definidos (como software antivírus atualizado, atualizações do sistema e configurações específicas) e, em seguida, concede ou nega acesso.
• Um web filter restringe o acesso a conteúdos da internet com base em critérios predefinidos. Por exemplo, esse tipo de solução de segurança pode bloquear o acesso a sites maliciosos ou inadequados conforme definido pelas políticas de uma organização.
• Um servidor proxy atua como um intermediário entre o dispositivo do usuário e a internet. Os servidores proxy podem mascarar o endereço IP do usuário, além de filtrar solicitações da web para bloquear o acesso a sites ou conteúdos maliciosos..
• Um filtro de e-mail (filtro de spam) ajuda a prevenir que e-mails indesejados cheguem à caixa de entrada do usuário ou entrega o e-mail, mas remove hiperlinks potencialmente maliciosos e anexos. Filtros simples usam políticas organizacionais ou padrões especificados pelo fornecedor para detectar spam; filtros avançados empregam métodos heurísticos para identificar padrões suspeitos ou frequência de palavras.
• Ferramentas de mitigação de DDoS são projetadas para identificar ataques de negação de serviço distribuído (DDoS) em seus estágios iniciais, absorver o aumento associado no tráfego e ajudar a localizar a origem do ataque.
• Os balanceadores de carga contribuem para a segurança da rede distribuindo uniformemente o tráfego de rede por vários servidores. Por exemplo, eles podem ajudar a evitar que um único servidor fique sobrecarregado durante um ataque de DDoS.

Para mais informações de contexto, revise o modelo OSI para sistemas de rede no Apêndice A.

Melhores práticas de segurança de rede empresarial

Com esses fundamentos em mente, vamos explorar as melhores práticas de segurança de rede conhecidas que podem ajudar sua organização a melhorar sua postura de segurança para bloquear ataques, bem como as melhores práticas para detectar e responder prontamente a ameaças em andamento.

Melhores práticas de segurança de rede para prevenção de ameaças

Segregue sua rede.

Uma das principais melhores práticas para segurança de rede, network segmentation envolve dividir uma rede em zonas lógicas ou funcionais. Isso pode ser alcançado por meios físicos como roteadores e switches, ou virtualmente usando VLANs. O objetivo é conter uma violação de segurança em uma única zona e, assim, limitar a interrupção e o dano. A segmentação também permite que as equipes de TI apliquem diferentes controles de segurança e monitoramento a cada zona. 

In particular, organizations can set up a demilitarized zone (DMZ) to serve as a buffer between its internal network and the internet or other untrusted networks. The DMZ hosts external-facing services like web application servers; if these services are compromised, an attacker does not have direct access to the internal network.

Uma forma extrema de segmentação é o air gap, onde sistemas (como servidores com backups ou outras informações sensíveis) são completamente desconectados da rede.

Posicione seus dispositivos de segurança corretamente.

A forma como você posiciona seus dispositivos de segurança afeta o nível de proteção que eles oferecem. O posicionamento eficaz de firewalls é especialmente importante. Idealmente, um firewall deve estar situado em cada junção de zona de rede para atuar como uma barreira entre diferentes segmentos. Firewalls modernos frequentemente vêm com recursos integrados como sistemas de detecção e prevenção de intrusões, mitigação de DDoS e filtragem web, tornando-os altamente adequados para defesa de perímetro.

Os firewalls de aplicativos web (WAFs) são melhor posicionados em zonas onde os aplicativos são hospedados, como a DMZ. Esse posicionamento ajuda a proteger os aplicativos web de ameaças como injeção de SQL e cross-site scripting. Balanceadores de carga que gerenciam o tráfego de aplicativos ou servidores DNS também devem ser localizados dentro da DMZ para otimizar o fluxo de tráfego e melhorar a segurança.

Proteja fisicamente os equipamentos de rede.

Outra melhor prática de infraestrutura de rede segura é controlar rigorosamente o acesso à infraestrutura de rede. Apenas pessoal autorizado deve ter acesso a locais como armários de cabos, quadros de distribuição principal (MDFs), quadros de distribuição intermediária (IDFs), servidores e, especialmente, centros de dados. Autenticação deve ser exigida para entrar em qualquer área crítica.

Além disso, as organizações devem proibir o uso de pen drives e discos externos para impedir que pessoas internas removam dados sensíveis.

Utilize a tradução de endereço de rede.

A tradução de endereços de rede (NAT) converte todos os endereços privados de uma organização em um único endereço IP público para comunicações externas. Sem o NAT, o mundo teria esgotado os endereços IPv4 há muito tempo. Mas o benefício do NAT para a segurança da rede é que ele oculta a estrutura da rede interna de pessoas externas, adicionando uma camada de privacidade e segurança.

Utilize firewalls pessoais.

Os firewalls pessoais são firewalls baseados em software que residem em cada computador ou servidor. Embora frequentemente integrados ao sistema operacional, eles também podem ser instalados como aplicações de terceiros. Assim como os firewalls convencionais, eles restringem o tráfego de entrada e saída para proteger o dispositivo.

Configurar firewalls pessoais pode inicialmente ser demorado devido à variedade de aplicações e serviços em execução num dispositivo. No entanto, negligenciar este passo por conveniência pode deixar os dispositivos vulneráveis a malware e ataques de hackers. Ative sempre os firewalls pessoais para garantir a segurança de cada dispositivo dentro da rede mais ampla.

Utilize listas de permissão quando possível.

A lista de permissões de aplicativos é a prática de criar uma lista de softwares aprovados e permitir apenas a execução desses aplicativos. Essa estratégia pode reduzir significativamente o risco; por exemplo, pode impedir a execução de malwares entregues por ataques de phishing ou sites maliciosos.

No entanto, a lista de permissões nem sempre é prática, pois a lista deve ser mantida atualizada com todos os aplicativos que alguém na organização tem um motivo legítimo para executar.

Use um servidor proxy web para gerenciar o acesso à internet.

Ao autenticar e monitorar conexões de saída, um servidor proxy da web ajuda a garantir que apenas o tráfego da web iniciado por usuários legítimos seja permitido. Por exemplo, isso ajuda a prevenir que malware dentro da rede se comunique com o servidor de comando e controle do atacante.

Aplique o princípio do menor privilégio.

Concentrar-se apenas em ameaças cibernéticas externas pode ignorar o aspecto igualmente crítico das ameaças internas. É vital restringir os direitos de acesso de cada usuário ao que é essencial para suas funções; isso reduz o dano que um usuário pode causar acidentalmente ou deliberadamente, e o poder que um invasor ganharia ao comprometer a conta. Além disso, implemente medidas fortes de autenticação para tornar as credenciais roubadas inúteis.

Exija VPNs para acesso remoto.

Uma rede privada virtual (VPN) estabelece uma conexão de rede segura e privada sobre uma infraestrutura de rede pública. Ela permite que usuários remotos se conectem à rede como se estivessem conectados localmente. VPNs também podem ser usadas para conectar LANs de forma segura através da internet usando um túnel seguro que criptografa todos os dados em trânsito. VPNs requerem ou hardware especializado ou software de VPN instalado em servidores e estações de trabalho.

Melhores práticas de segurança de rede para detecção e resposta a ameaças

Estabeleça protocolos de rede de base e monitore o uso.

Estabeleça o uso base de diferentes protocolos nas suas redes com e sem fio. Para criar uma base precisa, os dados devem ser coletados de uma variedade de fontes, incluindo roteadores, switches, firewalls, pontos de acesso sem fio, analisadores de rede e coletores de dados dedicados. Em seguida, monitore os desvios dessas bases, que podem indicar túnel de dados, software malicioso transmitindo dados para destinos não autorizados e outras ameaças.

Utilize honeypots e honeynets.

Um honeypot é um sistema de isca projetado para parecer um ativo de rede real, e uma honeynet é uma rede de honeypots que simula um ambiente de rede maior e mais complexo. Eles são projetados para atrair adversários a interagirem com eles, tanto para desviar atores maliciosos dos verdadeiros ativos quanto para permitir que equipes de segurança estudem técnicas de ataque e coletar outras informações para o gerenciamento eficaz de ameaças.

Utilize sistemas de detecção e prevenção de intrusões.

É vital monitorar e registrar atividades em toda a rede e analisá-las para identificar logins incomuns, eventos suspeitos em computadores e outras anomalias. Um intrusion detection system (IDS) monitora o fluxo de dados da rede em busca de atividades potencialmente maliciosas e alerta os administradores sobre anomalias. Um intrusion prevention system (IPS) também monitora o tráfego da rede para ameaças; no entanto, além de alertar os administradores, ele pode tomar medidas automáticas para bloquear ou mitigar ameaças.

Essas ferramentas podem ser uma parte valiosa da sua estratégia de segurança de rede. Por exemplo, ao comparar a atividade atual com uma linha de base estabelecida, elas podem identificar um pico na atividade da rede que pode indicar um ataque de ransomware ou injeção de SQL. Elas também podem usar assinaturas de ataque — características comuns a um ataque específico ou padrão de ataques — para identificar ataques que não geram atividade que viola a linha de base da sua organização.

Automatize a resposta a ataques quando apropriado.

Muitas ferramentas modernas de segurança podem ser configuradas para responder automaticamente a ameaças conhecidas. Por exemplo, esses sistemas podem:

• Bloquear endereço IP — Um IPS ou firewall pode bloquear o endereço IP de origem do ataque. Esta opção é muito eficaz contra ataques de phishing e de negação de serviço. No entanto, alguns atacantes falsificam o endereço IP de origem durante os ataques, então o endereço errado será bloqueado.
• Encerrar conexões — Roteadores e firewalls podem ser configurados para interromper as conexões que um invasor mantém com o sistema comprometido, direcionando pacotes TCP RESET para o atacante.
• Adquira informações adicionais — As ferramentas também podem coletar informações valiosas que ajudam a determinar o ponto inicial de acesso, quais contas foram comprometidas, como os invasores se movimentaram pela rede e quais dados foram comprometidos.

Melhor prática bônus

Uma prática final de melhor segurança de rede se aplica tanto à prevenção de ameaças quanto à detecção & resposta.

Utilize vários fornecedores.

A utilização de soluções de diferentes fornecedores aumenta a resiliência cibernética ao reduzir o risco associado a um único ponto de falha — se uma solução de um fornecedor for comprometida, a presença de soluções de outros fornecedores ajuda a manter o escudo defensivo. Esta abordagem também possibilita uma maior adaptabilidade em resposta a ameaças e requisitos de segurança em evolução. De forma mais ampla, pode levar a uma precificação competitiva e impulsionar a inovação, à medida que os fornecedores se esforçam para oferecer as soluções mais avançadas e com melhor custo-benefício.

Conclusão

Ao seguir as melhores práticas de segurança de rede detalhadas aqui, sua organização pode reduzir o risco de disrupções comerciais custosas e incidentes de segurança, bem como garantir a conformidade com as rigorosas exigências legislativas atuais.

Apêndice A: O modelo OSI

O modelo OSI (Open Systems Interconnection) é uma estrutura estabelecida para sistemas de rede. Ele compreende sete camadas, desde o hardware físico até as interações no nível de aplicação:

A segurança de rede abrange as políticas, tecnologias e controles que protegem a infraestrutura de rede de uma organização contra acessos não autorizados, uso indevido e interrupções.

A segurança eficaz da rede aborda ambos os lados desse problema: controles que limitam quem ou o que pode acessar um sistema e monitoramento que detecta o uso indevido do acesso.

Tipos de dispositivos de rede e soluções de segurança

As equipes de segurança que focam exclusivamente na proteção do perímetro frequentemente descobrem que os atacantes alcançam sistemas internos por meio de dispositivos mal configurados, privilégios excessivos de usuários ou caminhos de movimentação lateral.

Compreender os dispositivos e ferramentas que compõem uma rede empresarial ajuda as equipes de segurança a tomar decisões informadas sobre posicionamento, configuração e monitoramento, e sobre quem ou o que cada dispositivo permite acessar a rede.

A seguir estão os componentes de rede mais comuns que as organizações gerenciam:

• Bridges conectavam dois ou mais hosts ou segmentos de rede. A tecnologia agora está obsoleta e não é mais implantada em ambientes modernos.
• Hubs que conectam dispositivos de rede local (LAN). A falta de inteligência incorporada os tornou raros em configurações modernas, sendo em grande parte substituídos por switches.
• Um gateway serve como intermediário para dispositivos em redes separadas, permitindo que se comuniquem mesmo quando usam protocolos de comunicação diferentes.
• Um roteador de rede direciona pacotes de dados entre diferentes redes para facilitar a conectividade com a internet e a comunicação interna da rede. Os roteadores usam endereços IP para determinar o caminho mais eficiente para os pacotes de dados atravessarem as redes. Eles também podem fornecer recursos de segurança, como listas de controle de acesso, para restringir o acesso à rede.
• Um switch de rede é o dispositivo de rede padrão que conecta computadores, servidores, impressoras e outros dispositivos em uma LAN. Ele usa endereços MAC para gerenciar e encaminhar dados para dispositivos específicos. Ao contrário de um hub, um switch pode direcionar o tráfego de forma inteligente para reduzir a congestão da rede e melhorar o desempenho.
• Um firewall separa uma rede da outra. Firewalls estão disponíveis em formas de hardware e software e podem ser integrados em dispositivos como roteadores e servidores. Uma implementação comum é um aparelho dedicado que serve como barreira entre a rede interna e o mundo exterior.
• Um sistema de controle de acesso à rede (NAC) avalia se os dispositivos que tentam acessar a rede atendem aos padrões de segurança definidos, como software antivírus atualizado, atualizações do sistema e configurações específicas, e então concede ou nega o acesso conforme apropriado.
• Um filtro web restringe o acesso a conteúdos da internet com base em critérios predefinidos. Por exemplo, este tipo de solução de segurança pode bloquear o acesso a sites maliciosos ou inadequados conforme definido pelas políticas de uma organização.
• Um servidor proxy atua como intermediário entre o dispositivo do usuário e a internet. Servidores proxy podem mascarar o endereço IP do usuário e filtrar solicitações web para bloquear o acesso a sites ou conteúdos maliciosos.
• Ferramentas de mitigação de DDoS detectam ataques distribuídos de negação de serviço (DDoS) precocemente, absorvem o aumento de tráfego resultante e ajudam a localizar a origem do ataque.

Para mais informações sobre como esses dispositivos se relacionam com a comunicação de rede, consulte o modelo OSI no Apêndice A.

• Um filtro de email (filtro de spam) ajuda a evitar que emails indesejados cheguem à caixa de entrada do usuário ou entrega emails com links e anexos potencialmente maliciosos removidos. Filtros simples usam políticas organizacionais ou padrões especificados pelo fornecedor para detectar spam; filtros avançados empregam métodos heurísticos para identificar padrões suspeitos.
• Os balanceadores de carga contribuem para a segurança da rede distribuindo o tráfego de rede de forma equilibrada entre vários servidores. Por exemplo, ajudam a evitar que um único servidor fique sobrecarregado durante um ataque DDoS.

Melhores práticas de segurança de rede para prevenção de ameaças

Netwrix Auditor registra os valores antes e depois para eventos de acesso e alteração em ambientes híbridos Microsoft. Baixe uma avaliação gratuita

Segmente sua rede

Os controles de prevenção de ameaças visam reduzir a superfície de ataque, limitar quem ou o que pode acessar um sistema específico e conter os danos de qualquer violação que ocorra.

As organizações podem configurar uma zona desmilitarizada (DMZ) para servir como um buffer entre a rede interna e a internet ou outras redes não confiáveis. A DMZ hospeda serviços voltados para o exterior, como servidores de aplicações web.

A segmentação de rede envolve dividir uma rede em zonas lógicas ou funcionais, definidas tanto por quem ou o que pode acessá-las quanto por sua localização física. Isso pode ser feito por dispositivos físicos, como roteadores e switches, ou virtualmente via VLANs.

O objetivo é conter uma violação de segurança dentro de uma única zona, limitando a interrupção e os danos. A segmentação também permite que as equipes de TI apliquem diferentes regras de acesso, controles de segurança e níveis de monitoramento a cada zona com base na sensibilidade dos dados ou sistemas que ela contém.

Aplicar o princípio do menor privilégio e autenticação forte

Se um invasor comprometer esses serviços, ele não terá acesso direto à rede interna. Uma forma extrema de segmentação é o air gap, onde uma organização desconecta completamente do network os sistemas que contêm backups ou dados altamente sensíveis.

A posição dos dispositivos de segurança na arquitetura de rede determina o nível de proteção que oferecem. A colocação é tão importante quanto a configuração. Os firewalls devem idealmente ser colocados em cada junção de zona da rede para servir como barreiras entre diferentes segmentos. Firewalls modernos frequentemente incluem recursos integrados como detecção e prevenção de intrusões, mitigação de DDoS e filtragem web.

Exigir VPNs para acesso remoto

Posicione corretamente seus dispositivos de segurança

Firewalls de aplicações web (WAFs) funcionam melhor em zonas onde as aplicações são hospedadas, como a DMZ, protegendo as aplicações web contra ataques de injeção SQL e cross-site scripting. Balanceadores de carga e servidores DNS também devem estar localizados dentro da DMZ para otimizar o fluxo de tráfego e reduzir a exposição da infraestrutura interna.

Proteja fisicamente o equipamento de rede

Usar tradução de endereço de rede

Controle o acesso físico à infraestrutura de rede. Apenas pessoal autorizado deve entrar em armários de cabeamento, quadros de distribuição principais, quadros de distribuição intermediários, salas de servidores e data centers. Os requisitos de autenticação devem ser aplicados a todas as áreas físicas críticas. As organizações também devem proibir o uso de pen drives e unidades externas para evitar que pessoas internas removam dados sensíveis.

A tradução de endereços de rede (NAT) mapeia endereços internos privados para um único endereço IP público para comunicação externa. O NAT oculta a estrutura interna da rede para terceiros, reduzindo as informações de topologia de rede disponíveis para possíveis invasores que realizam reconhecimento.

Use firewalls pessoais

A lista branca de aplicações cria uma lista de softwares aprovados e permite que apenas essas aplicações sejam executadas. Isso reduz o risco de execução de malware entregue por phishing ou sites maliciosos. Manter a lista aprovada requer esforço contínuo, pois deve ser atualizada conforme as necessidades legítimas de aplicações mudam na organização.

Aplique a lista branca de aplicativos quando possível

Firewalls pessoais são firewalls baseados em software instalados em cada computador ou servidor. Embora frequentemente integrados ao sistema operacional, também podem ser implantados como aplicativos de terceiros. Assim como os firewalls de rede, eles restringem o tráfego de entrada e saída no nível do dispositivo. Firewalls pessoais fornecem uma camada importante de proteção, mesmo em ambientes com defesas perimetrais fortes, especialmente para dispositivos que se conectam de fora da rede corporativa.

Um servidor proxy web autentica e monitora conexões de saída, permitindo apenas o tráfego iniciado por usuários legítimos. Isso ajuda a impedir que malwares na rede se comuniquem com o servidor de comando e controle do atacante. Também permite que as equipes de segurança registrem padrões de tráfego de saída e identifiquem comunicações anômalas.

Roteie o tráfego da internet através de um proxy web

Medidas fortes de autenticação, incluindo autenticação multifator (MFA), protegem as credenciais mesmo quando as senhas são roubadas. O modelo zero-standing-privilege leva o princípio do menor privilégio além, eliminando completamente contas administrativas persistentes, concedendo acesso elevado apenas quando necessário e revogando-o automaticamente depois.

Mantenha software e firmware atualizados

Uma rede privada virtual (VPN) estabelece uma conexão segura e criptografada sobre uma infraestrutura de rede pública, permitindo que usuários remotos se conectem como se estivessem diretamente na rede corporativa. As VPNs reduzem a exposição dos recursos internos a redes não confiáveis e criptografam os dados em trânsito.

Fortaleça endpoints contra malware

Restringir os direitos de acesso de cada usuário ao essencial para sua função limita os danos por uso acidental ou deliberado e reduz o alcance que um invasor pode ter com uma conta comprometida. Role-based access control (RBAC) fornece uma abordagem estruturada para atribuir permissões com base na função do trabalho. Isso reduz o risco de acúmulo ou falta de revisão de acessos ao longo do tempo e aborda um vetor comum de insider threat.

Vulnerabilidades não corrigidas em network devices, sistemas operacionais e aplicações continuam entre as fraquezas mais exploradas em ambientes empresariais. As equipes de segurança devem manter um inventário atualizado de todas as versões de software e firmware e aplicar patches conforme os fornecedores os lançam.

Um programa de gestão contínua de vulnerabilidades monitora a exposição entre ciclos de patch e prioriza a remediação com base na explorabilidade e no impacto nos negócios. Ferramentas automatizadas de gerenciamento de patches reduzem o intervalo entre a divulgação da vulnerabilidade e a remediação, especialmente em ambientes de alto volume onde o patch manual não é prático.

Organizações que avançam para modelos de segurança de acesso remoto baseados em princípios de zero trust podem perceber que o zero trust network access (ZTNA) oferece um controle mais granular, verificando cada sessão individualmente em vez de conceder amplo acesso à rede na conexão.

Melhores práticas de segurança de rede para detecção e resposta a ameaças

Protocolos de rede básicos e monitoramento de desvios

A prevenção reduz a exposição, mas as capacidades de detecção e resposta determinam a rapidez com que uma equipe identifica e contém uma ameaça que passa, especialmente uma que já está agindo sob uma identidade legítima, mas comprometida.

Use honeypots e honeynets

Um honeypot é um sistema isca projetado para parecer um ativo real de rede. Um honeynet é uma rede de honeypots que simula um ambiente de rede mais complexo. Ambos desviam adversários dos ativos de produção e permitem que as equipes de segurança estudem técnicas de ataque e coletem inteligência sobre ameaças sem expor sistemas ativos.

Implemente sistemas de detecção e prevenção de intrusões

Um sistema de detecção de intrusão (IDS) monitora o tráfego de rede em busca de atividades potencialmente maliciosas e alerta os administradores. Um sistema de prevenção de intrusão (IPS) vai além, bloqueando ou mitigando automaticamente as ameaças além de gerar alertas.

Os endpoints são pontos de entrada comuns porque phishing, downloads drive-by e roubo de credenciais visam dispositivos em vez da infraestrutura de rede diretamente. Ferramentas de Endpoint Management, incluindo endpoint detection and response (EDR) e soluções de plataforma de proteção de endpoint (EPP), ampliam a visibilidade do comportamento do dispositivo e bloqueiam ameaças conhecidas. Aplicar monitoramento comportamental junto com listas brancas de aplicativos cria múltiplas camadas de detecção no nível do dispositivo.

Estabeleça padrões básicos de uso para diferentes protocolos em redes cabeadas e sem fio, e para quem normalmente acessa quais sistemas, de onde e quando. Recolha dados de roteadores, switches, firewalls, pontos de acesso sem fio, analisadores de rede e coletores de dados dedicados. Monitore desvios dessas bases, que podem indicar tunelamento de dados, malware comunicando-se com servidores externos, uma conta acessando sistemas que nunca acessou antes ou outra atividade de ameaça que passaria despercebida.

Automatize a resposta a ameaças conhecidas

Muitas ferramentas de segurança modernas podem ser configuradas para responder automaticamente a ameaças conhecidas. Por exemplo, esses sistemas podem:

Ao comparar a atividade de rede atual com as linhas de base estabelecidas, essas ferramentas podem detectar picos que podem indicar atividade de ransomware ou tentativas de injeção SQL. Bibliotecas de assinaturas de ataque ampliam a detecção para padrões de ameaças conhecidos.

Combinar essas ferramentas com integração de firewall SIEM permite que as equipes de segurança correlacionem alertas de várias fontes de dados, incluindo logs de identity e access, reduzindo falsos positivos e identificando ameaças reais mais rapidamente.

• Bloquear o endereço IP: Um IPS ou firewall pode bloquear o endereço IP do host atacante. Esta opção é muito eficaz contra ataques de phishing e negação de serviço. No entanto, alguns atacantes falsificam o endereço IP de origem durante os ataques, resultando no bloqueio do endereço errado.
• Encerrar conexões: Roteadores e firewalls podem ser configurados para encerrar conexões que um invasor mantém com o sistema comprometido, enviando pacotes TCP RESET ao atacante.

Criar e testar um plano de resposta a incidentes

• Obtenha insights adicionais: As ferramentas também podem coletar informações valiosas para determinar o ponto de entrada inicial, quais contas foram comprometidas, como os invasores se moveram pela rede e os dados que roubaram.

Use soluções de vários fornecedores

Segurança na nuvem e no trabalho remoto

• Revogar ou suspender o acesso: As ferramentas de Identity e privileged access podem desativar uma conta comprometida ou revogar privilégios permanentes no momento em que um comportamento anômalo é detectado, bloqueando o caminho antes que um invasor possa escalar ainda mais.

Usar ferramentas de segurança de diferentes fornecedores reduz o risco de um único ponto de falha. Se a solução de um fornecedor for comprometida, as soluções dos outros fornecedores mantêm a postura defensiva. Uma abordagem multivendor também permite maior adaptabilidade à medida que os cenários de ameaças evoluem e os requisitos de segurança mudam.

Planos baseados nas diretrizes do NIST Cybersecurity Framework fornecem uma estrutura reconhecida para cada fase do ciclo de resposta. A equipe de resposta a incidentes deve ensaiar o plano por meio de exercícios tabletop antes que um incidente real ocorra.

A detecção sem um plano de resposta estruturado deixa as equipes de segurança tomando decisões sob pressão, sem papéis ou procedimentos definidos. Uma estrutura de information security policy deve incluir um plano de incident response documentado que atribui papéis e responsabilidades, estabelece canais de comunicação para as partes interessadas principais e descreve etapas de contenção para ameaças conhecidas e zero-day.

As redes empresariais modernas se estendem muito além do perímetro corporativo. Trabalhadores remotos, cargas de trabalho em nuvem e aplicações SaaS significam que os controles de segurança da rede devem acompanhar usuários e dados onde quer que operem.

Como a Netwrix ajuda você a monitorar e proteger sua rede

Netwrix responde à pergunta que sempre volta: quem e o que pode alcançar sua rede, e o que acontece uma vez que estão dentro.

A segurança na nuvem deve abordar o gerenciamento de acesso a recursos hospedados na nuvem, a criptografia de dados em trânsito e em repouso, e o monitoramento dos ambientes dos provedores de serviços em nuvem. Modelos de responsabilidade compartilhada significam que os provedores de nuvem protegem a infraestrutura subjacente, mas as organizações continuam responsáveis por proteger o que é executado sobre ela.

Para trabalhadores remotos, VPNs e soluções ZTNA estendem o acesso seguro a dispositivos fora da rede. As organizações devem aplicar os mesmos controles de data loss prevention aos endpoints remotos como fazem com dispositivos locais e manter a visibilidade dos dados que os usuários remotos acessam e transferem.

Netwrix Privilege Secure, espelhando a resposta “revogar ou suspender o acesso” descrita acima, mas incorporada em vez de adicionada.

Netwrix Auditor oferece visibilidade contínua das atividades dos usuários, alterações de configuração e eventos de acesso em ambientes híbridos Microsoft. Esse é o registro que detecta quando uma conta tenta acessar algo que nunca tocou antes, para que as equipes possam investigar antes que se torne um incidente.

Solicite uma demonstração para ver como Netwrix pode ajudar você a monitorar a atividade da rede, aplicar o princípio do menor privilégio e detectar ameaças antes que se agravem.