4 Diferenças entre Threat Hunting e Threat Detection
Cada vez mais, as empresas estão a tomar consciência da importância de construir capacidades de Threat Hunting e Threat Detection que evitem pôr a sua atividade em risco. Agora mais do que nunca, quando se trata tanto de proteger a cibersegurança das empresas como de fornecer soluções e serviços eficazes de proteção, as organizações e MSPs já não podem simplesmente agir quando ocorrem ciberataques, mas sim muito antes destes ataques constituírem uma ameaça.
Sem dúvida, a mudança global para o trabalho remoto e o e-learning depende da escolha da solução de cibersegurança certa, e o aumento global dos ataques tornou a cibersegurança uma questão cada vez mais crítica; e uma questão com novas exigências.
A abordagem desejada é proativa, não se limitando à prevenção de ameaças conhecidas, mas estudando também as novas táticas dos cibercriminosos que pretendem colocar a sua segurança à prova. Isto significa que a deteção tradicional de ameaças é acompanhada por uma caça proativa ou Threat Hunting como uma tendência (cada vez mais necessária) na cibersegurança das empresas.
O Estudo SANS 2020 Threat Hunting Survey constatou que 65% das organizações inquiridas já estão a fazer alguma forma de Threat Hunting e outros 29% estão a planear implementá-lo nos próximos 12 meses. Muitos mercados, tais como serviços financeiros, alta tecnologia, militar, governamental e de telecomunicações, têm uma necessidade crítica de remediar as ameaças o mais rapidamente possível. Embora a prevenção seja a melhor resposta aos ciberataques, a deteção precoce de ataques e a resposta rápida são fundamentais para reduzir o número de ciberataques potencialmente bem-sucedidos.
Threat hunting e ciberameaças: o processo
Para detetar atividades suspeitas e ciberataques avançados numa fase inicial, os nossos analistas de segurança conduzem serviços ativos de Threat Hunting. Utilizando a informação que recolhemos durante os nossos 30 anos de experiência na indústria, os nossos hunters, ou caçadores, procuram novas ameaças e comparam as hipóteses com os dados recolhidos com a nossa solução EDR (WatchGuard EDR / WatchGuard EPDR e Panda Adaptive Defense / Panda Adaptive Defense 360) para provar a sua legitimidade.
Uma vez provada, se a nova técnica de deteção for totalmente determinada, ela é acrescentada como uma nova técnica de deteção. Se a técnica não for totalmente determinada, mas permitir detetar com um elevado grau de confiança que existe um dispositivo comprometido, é gerado um indicador de ataque (IoA) que deve ser tratado rapidamente para confirmar que se trata de um ataque e agir em conformidade para o conter e remediar.
O nosso Threat Hunting Service, incluído no WatchGuard EDR e no WatchGuard EPDR, apresenta os principais indicadores de ataque e outros que são adicionados à medida que a nossa equipa de hunters identifica novos ataques potenciais na consola web das nossas soluções. Além disso, a nossa solução permite configurar endereços de e-mail que recebem notificações em tempo real sobre estas IoAs, de modo a que ações de contenção e remediação possam ser tomadas tão urgentemente quanto possível.
Diferenças entre Threat Hunting e Threat Detection
Por vezes confundimos Threat Hunting e Threat Detection, por isso enumeramos abaixo as principais diferenças:
- Threat Hunting é feito proactivamente. Os threat hunters não esperam por um alerta sobre um padrão conhecido; em vez disso, tentam encontrar pistas antes de ocorrer uma quebra de dados ou antes de ser detetado um binário desconhecido ou malicioso nos endpoints.
- Threat Hunting é "inspirado" por suspeitas e formulação de novas hipóteses. A caça é para seguir pistas e ideias e não para verificar regras conhecidas.
- Apenas analistas especializados na investigação de padrões de ataque neste tipo de dados, os threat hunters, podem fornecer este serviço. Os threat hunters confiam no seu conhecimento, experiência e mentalidade alinhados com a forma de atuação do hacker, sabendo sempre que o cliente está a ser comprometido, concentrando-se em localizar qualquer pista que permita identificar o atacante na rede sem um alerta de deteção de uma regra conhecida ou de um binário malicioso.
- Threat Detection, por seu turno, é um processo que na maioria dos casos é automatizado, e orientado para detetar ameaças conhecidas, enquanto que Threat Hunting é um processo criativo com uma metodologia flexível centrada no analista que “caça” o hacker.
Com estas capacidades, estamos a trazer mais visibilidade e controlo às nossas soluções de segurança para endpoints, computadores portáteis, estações de trabalho e servidores, dando aos nossos parceiros a capacidade de fornecer proteção e serviços adicionais aos seus clientes. Leia mais sobre o WatchGuard's Threat Hunting Service.
