GISS Mantenha-se à frente do Crime Cibernético - PDF
GISS Mantenha-se à frente do Crime Cibernético
Download "GISS Mantenha-se à frente do Crime Cibernético"
Ricardo de Almada Lopes
1 GISS Mantenha-se à frente do Crime Cibernético
2 Agenda 9h25 Abertura & Manifesto EY Sergio Kogan, Sócio EY Alberto Favero, Sócio EY 9h35 Apresentação da Pesquisa Ilton Duccini. Gerente Sênior EY 10h15 Painel Uma organização, três histórias Demetrio Carrión, Diretor EY Andre Carraretto, Security Strategist Symantec Marly Parra, Diretora EY 11h00 Break 10 minutos 11h10 11h40 Palestra Adicionando mais inteligência ao Gerenciamento da sua Segurança Experiências e Abordagem EY Andre Carraretto, Security Strategist Symantec Pedro Carazato, Matheus Jacyntho, Eduardo Maia e Eder Marques, Gerentes EY Ilton Duccini, Gerente Sênior EY Marly Parra, Diretora EY 12h30 Work Lunch & Rio minutos 13h15 14h15 Painel Especialistas do mercado debatem a pesquisa Considerações Finais Tiago Oliveira, EDP Luis Rabello, Votorantim Marcelo Câmara, Bradesco Álvaro Teófilo, Banco Original Marly Parra, Diretora EY Sergio Kogan, Sócio EY Alberto Favero, Sócio EY
3 GISS Apresentação da Pesquisa
4 Introdução 17 o Ano de realização da pesquisa pesquisados 60 países Maioria das respostas em entrevistas
5 O cenário de ameaças cibernéticas
6 O desaparecimento do perímetro As ameaças cibernéticas continuarão a se multiplicar. O advento do mundo digital e a inerente interconectividade das pessoas, dispositivos e organizações abre um leque totalmente novo de vulnerabilidades. Quais são as 5 principais razões para o aumento da complexidade da cybersegurança? 1 Mudança 2 Mobilidade e Consumerização 3 Ecossistema 4 Cloud 5 Infraestrutura
7 Resultados GISS 2014 Quem ou o que você considera a fonte mais provável de um ataque? Funcionários 57% Terceiros trabalhando internamente 35% Clientes Fornecedores Outros parceiros de negócios 10% 12% 14% Organizações criminosas 53% Invasor patrocionado por um governo 27% Hackitivistas Hacker Solitário 41% 46%
8 Ficar a frente do crime cibernético não é uma tarefa simples Fórmula da segurança cibernética Ficar a frente
9 Foco nos três As Ativar Adaptar Antecipar
10 Ativar
11 Ativar: estabelecendo os alicerces As organizações que ativaram os fundamentos para a segurança cibernética, mas não foram além disso tipicamente apresentarão as seguintes carências em suas capacidades: 1. Segurança cibernética Acoplada (bolt-on) 2. O foco na proteção do ambiente atual 3. Abordagem estática
12 Quanto tempo em média para a sua equipe de segurança iniciar uma investigação em um incidente? 42% das organizações não tem SOC Dentro de 10 minutos Em 1 hora Em 4 horas 12% 13% 25% Em 1 dia 13% 37% afirmam que não possuem a visão do risco cibernético em tempo real Mais do que 1 dia Desconhecido 4% 33%
13 Atividades fundamentais que todas as organizações devem Ativar 1. Avaliar a segurança e o plano de ação (Roadmap); 2. Obter o suporte da Diretoria para a transformação da segurança; 3. Rever e atualizar as políticas de segurança, procedimentos e padrões de suporte; 4. Criar o Centro de Operações de Segurança (SOC); 5. Planejar e implantar os controles de segurança cibernética; 6. Testar os planos de continuidade dos negócios e procedimentos de resposta a incidentes.
15 Adaptar: como evoluir e ser mais dinâmico Este estágio acrescenta as seguintes características ao nível Ativar: 1. Segurança Incorporada (Built-in) 2. Foco no ambiente em mudança 3. Abordagem dinâmica 17% 13% A função de Segurança da Informação atende integralmente às necessidades de sua organização?
16 Como fazer melhorias vitais? 1. Melhorar o Centro de Operação de Segurança (SOC); 2. Criar uma equipe responsável pela segurança cibernética; 3. Definir responsabilidades; Assuma o controle 4. Vá além das fronteiras. Reavalie e continue Ciclo de melhoria Divulgue a mensagem Implante e inove
17 Antecipar
18 Antecipar: a maneira de estar a frente Para atingir este estagio, as seguintes características precisam ser acrecentadas: 1. Segurança além (Built-beyond) 2. Foco no ambiente futuro 3. Abordagem proativa
19 Antecipar: Compreender o seu ambiente de ameaças e estabelecer uma detecção precoce A organização precisa compreender a natureza das ameaças, como (e onde) se manifestarão e avaliar o impacto que podem causar. O alerta e a detecção precoce das violações são fundamentais para o estado de prontidão. A maioria das organizações consegue detectar apenas ataques relativamente simples. 56% das organizações informam que é improvável ou pouco provável que sejam capazes de detectar um ataque sofisticado.
20 Aja e assuma a dianteira 1. Desenhar e implantar uma estratégia de inteligência de ameaça cibernética; 2. Definir e envolver o ecossistema de segurança cibernética ampliado da organização; 3. Adotar uma abordagem econômica dos temas cibernéticos; 4. Usar análise de dados da computação forense; 5. Assegurar que todos compreendam o que está ocorrendo.
21 GISS Painel Uma organização, três histórias
22 Uma organização, três histórias Exemplo ilustrativo Baseados na nossa experiência atual com clientes Diferentes fases de Ativar, Adaptar ou Antecipar Grande empresa operadora de telecomunicações Faturamento maior que US$ 12 bilhões Essa empresa sofrerá uma violação dos dados dos seus clientes Financeiro Operacional Pessoal
23 O cenário Ativar Violação importante dos dados dos clientes. Anúncio público foi feito por fonte externa Problema foi identificado e resolvido com um impacto mínimo Dados detalhados de milhões cartões de crédito foram roubados Continuou na mídia ao longo de várias semanas Seus dados roubados era dez vezes maior do que o originalmente mencionado A violação ainda estava ativa e não havia sido resolvida.
24 Os impactos no cenário Ativar Financeiro: Exatamente antes do período mais movimentado do ano. Perda de muitos clientes, Dois dígitos, tanto no preço das ações como nas receitas. 5% do faturamento anual. Operacional: Seus esforços foram no sentido de responder e gerenciar a crise na mídia. Serviços de monitoramento de crédito Pessoas: Exoneração de muitos executivos, inclusive o CEO e o CIO.
25 O cenário Adaptar Violação importante dos dados de seus clientes Anúncio público por fonte externa A empresa não comentou o assunto durante quase uma semana. Resposta muito comedida Onde a violação teria ocorrido Remediado o problema Desde então não houve mais relatórios contraditórios
26 Os impactos no cenário Adaptar Financeiro: Entrou e saiu da mídia rapidamente. A empresa não sofreu uma grande perda de clientes Dentro de três meses a receita, os preços das ações e as operações retornaram aos níveis anteriores à violação. Operacional: A empresa investiu mais tempo na solução do problema do que responder à pressão da mídia Pessoas: Liderança sólida na crise e manteve a confiança de seus clientes, acionistas e da diretoria.
27 O cenário Antecipar Essa empresa sofreu uma violação importante dos dados de seus clientes Nos meses que antecederam ao ataque Organizações semelhantes, equipes internas de inteligência e de aplicação da lei Foram capazes de desenvolver controles de segregação e proteção e criar cenários para exercícios de ataque e resposta. Evitaram a perda de detalhes de pagamentos e informações pessoais sensíveis, Âmbito interno da empresa A empresa emitiu comunicado público
28 Os impactos no cenário Antecipar Financeiro: O custo da recuperação da violação foi significativo O impacto no preço das ações, perda da base de clientes e a exposição na mídia foram mínimos ou quase nenhum. Às atividades de investigação e mitigação. Economizou pelo menos US$ 350 milhões Operacional: Concentrar seus esforços em retomar os negócios O custo da investigação e da mitigação tornou-se um custo operacional Pessoas: Não foram colocadas em pauta demissões e, sim, a evidência de confiança renovada nos executivos.
29 GISS Break 10 minutos
30 GISS Palestra Adicionando mais inteligência ao Gerenciamento da sua Segurança
31 Adicionando mais inteligência ao Gerenciamento da sua Segurança André Carraretto, CISSP Security Strategist
32 Agenda 1 Tendências de Mercado 2 Abordagem tradicional 3 Integrando inteligência entre rede, endpoint e além Copyright 2014 Symantec Corporation 2
33 Tendências de Mercado Copyright 2014 Symantec Corporation 3
34 Aumento de Ataques Direcionados 91% Aumento nas campanhas de ataques direcionados (2013 vs 2012) 4
35 NÚMERO DE INCIDENTES IDENTIDADES EXPOSTAS (Milhões) Linha do Tempo dos Mega Vazamentos Linha do tempo das Violações de Dados em 2013 Fonte: Symantec ,3 0,8 J F M A M J J A S O N D INCIDENTES IDENTIDADES EXPOSTAS (Milhões) 8 das 10 maiores violações foram de mais de 10 milhões de identidades Número de identidades expostas foi 4 vezes maior do que em
36 Principais headlines em 2013/2014 Copyright 2014 Symantec Corporation 6
37 Etapas para a ocorrência de um Vazamento de Dados 1. Reconhecimento 2. Incursão 3. Descoberta 4. Captura 5. Exfiltração 7
38 Ataques Direcionados e as Organizações 2 tipos de Organizações: 1. As que estão sendo atacadas sabem e respondem adequadamente. 2. As que estão sendo atacadas e simplesmente NÃO sabem! 8
39 Ataques Direcionados e as Organizações HP State of Security Operations 2015 Report (Jan 21, 2015) Baseado em 118 assessments de 78 SOCs desde % of internal SOCs are not meeting recommended maturity levels FireEye/IDC The Numbers Game: How Many Alerts is too Many to Handle? (Jan 22, 2015) Baseado em uma pesquisa com 500 Large Enterprises 35% of Large Enterprises Require at Least Three Full-Time Positions for Security Alert Management https://www2.fireeye.com/web-2015rptthenumbersgame.html 9
40 Abordagem Tradicional Copyright 2014 Symantec Corporation 10
41 Desafios Identificar Proteger Descobrir Responder Recuperar Onde o dado importante está Bloquear ataques Encontrar incursões Contenção & correção Restauração da Operação Conclusão A violação é inevitavel Necessidade de mudança Apenas Proteção Proteção + Detecção & Resposta 11
42 Endpoints são a porta de entrada Maioria dos ataques são enviados via Embutir um 0-Day em um anexo é o metodo mais popular Exemplo: RSA Breach Outras táticas incluem URLs maliciosas ou URLs curtas. 12
43 Proteção em camadas do SEP (Symantec Endpoint Protection) Firewall & intrusion prevention Network Antivirus File Insight Reputation Sonar Behaviors Power eraser Repair Bloqueia malware ao atravessar a rede tentando se instalar no sistema Procura e elimina malware que já está residente no sistema Estabelece informações sobre entidades, ex: websites, arquivos, endereços IP Avalia processos em execução e identifica comportamentos maliciosos para indicar a presença de malware Ferramentas agressivas para remover infecções complexas 13
44 Evolução da Tecnologia de Firewalls Tradicional UTM NGFW Determina o que pode entrar/sair, mas não entende o conteúdo Limitado ao que é conhecido Análisa e detecta malwares desconhecidos & 0-day Port & protocol based IP-based detection Some IPS capabilities Signature-based IPS & AV URL filtering Application control Virtual Execution Sandboxing File hash lookups 14
45 E isso te deixa pensando Os ataques detectados na rede infectaram o endpoint? Como posso responder com precisão e rapidez para limitar o impacto dos ataques? Me ajudar a ter uma visão ampla do ataque. 15
46 Integrando inteligência entre rede, endpoint e além Copyright 2014 Symantec Corporation 16
47 SYMANTEC BIG DATA ANALYTICS PLATFORM Programs downloaded/run 336 million/day - Windows, Android Web sites visited 1 billion/day Attacks seen 15 million/day Machine activity 13 billion/day Static features 22 million/day Behaviors 13 million/day Symantec Data Analytics Platform (SDAP) Predictive analytics using machine learning rows of data 200k rows added every second Malicious files Malicious web sites Malicious IP addresses Malicious sources C&C servers Attribution Intelligence Feeds & Forensics Portal
48 Insight: Classificação Baseada na Reputação W H O 120 M I L L I O N U S E R S W H AT 6.3 B I L L I O N F I L E S W H E R E 2 M I L L I O N W E B S I T E S O Insight conta com uma rede que contém praticamente todos os arquivos do planeta, e se baseia na reputação destes arquivos para entregar proteção inteligente 18
49 O Insight detecta os ataques direcionados Utiliza a reputação dos arquivos para detectar ameaças desconhecidas Arquivo A Arquivo B Arquivo C Má Reputação Boa Reputação Nunca antes visto Os ataques direcionados usam malwares customizados que podem enganar os métodos tradicionais de defesa Estes arquivos customizados nunca foram vistos antes, e aparecem apenas no ataque direcionado O Insight pode detectar estes arquivos de forma eficiente sem o risco de falsos positivos 19
50 Abordagem atual HOJE Correlação & Correção Manuais NetSec VX Network Security Group Endpoint Security Group Symantec End Point Protection Manager Tecnologia de segurança de rede detecta suspeita de Malware Determina se o malware é conhecido e se foi bloqueado pelo SEP Verifica se os endpoints estão comprometidos Inicia ações de correção Inicia ações de proteção no endpoint (limpeza, bloqueio, quarantena, coleta forense, ) Determina se/onde a infecção se espalhou. 20
51 Atuação de um Managed Security Services na detecção dos ataques Network Security Endpoint Security Security Intelligence Threat Experts Automated Triage Workflows Integração Resposta rápida Eficiência operacional Visibilidade do Ataque 21
52 Detecção e resposta acelerada com Inteligência HOJE Correlação & Correção automtizada Symantec Security Intelligence Symantec End Point Protection Manager Tecnologia de segurança de rede detecta suspeita de Malware e alerta o MSS Analisa o endpoint para: Determinar se o malware é conhecido e o SEP bloqueou Verificar se o endpoints estão comprometidos Entender se e onde a infecção se espalhou Identifica o malware & bloqueia o IP Inicia ações de proteção no endpoint (limpeza, bloqueio, quarantena, coleta forense, ) 22
53 Visibilidade aumentada e resposta direcionada Symantec Endpoint Protection Network Adv. Threat Detection Virt Exec Symantec Global Intelligence Network Managed Security Services Bilhões de arquivos (20 milhões a cada semana) 150 milhões dendpoints 64Mi de sensores em 200 países Adversary & Threat Intelligence INCIDENT Outcome: Not Protected RESPONSE Fingerprint Quarantine Threat behaviour (VX) Threat info endpoint OUTCOME (multi-source) Search File for Reputation file hash Search Origin for IOCs Intelligence Malware Mitigation clean guidance Network Outcome: containment Protected Increased security policy based on specific IP/app/user 23
54 Symantec IS Security Intelligence 7 Bilhões Classificação de arquivos, URL & IP 1 Bilhão+ Dispositivos protegidos 2.5 Trilhão Linhas de Telemetria Segurança Capturando ameaças & métodos de ataque desconhecidos Mais visibilidade em dispositivos, gera melhor contexto e conhecimento mais profundo Colocar "Big Data Analytics trabalhando para cada cliente 2B+ eventos diários Monitora ameaças em 157+ países Mais de 100,000 alertas de securança 14 Data Centers World Wide 200,000 submissões diárias de código 550 Pesquisadores de ameaças 24
55 Thank you! André Carraretto, CISSP Copyright 2014 Symantec Corporation. All rights reserved. Symantec and the Symantec Logo are trademarks or registered trademarks of Symantec Corporation or its affiliates in the U.S. and other countries. Other names may be trademarks of their respective owners. This document is provided for informational purposes only and is not intended as advertising. All warranties relating to the information in this document, either express or implied, are disclaimed to the maximum extent allowed by law. The information in this document is subject to change without notice.
56 GISS Apresentação Experiências e Abordagem EY
57 Cyberataques recentes
58 Estudo de casos TARGET Dez/2013: 40MM de números de cartões de crédito vazados JP MORGAN CHASE Set/2014: 83MM contas comprometidas SONY Nov-Dez/2014: Informações pessoais de funcionários e suas famílias, e- mails trocados entre funcionários, informações sobre salários dos executivos, cópias dos filmes ainda não lançados até a data
59 O que esperar? Existem dois tipos de empresas: as que foram invadidas, e aquelas que ainda não sabem que foram invadidas. John Chambers, CEO da Cisco
60 CPM Cyber Program Management Identificando maneiras de se manter à frente do crime cibernético
61 Equilíbrio Custo Risco Valor Custo Risco Valor Recursos de segurança da informação eficientes e eficazes? Risco à segurança da empresa gerenciado? Competitividade e Proteção da marca e valor?
62 Inteligência Governança e Organização Conformidade Framework Direcionadores de Negócio Estratégia Framework de Políticas e Padrões Arquitetura Operações Conscientização Serviços Segurança de Redes Proteção da tecnologia Segurança de Host Segurança de Software Proteção de Dados Gestão de Identidades e Acessos Gestão de ameaças e vulnerabilidades Gestão de Ativos Operações funcionais Monitoramento de segurança Gestão de terceiros Privacidade Gestão de continuidade de negócios Resiliência Gestão de incidentes Infraestrutura de dados Eventos Alertas Logs Métricas e reporte
63 Gráfico de Maturidade 5 Governança e Organização Alinhamento estratégico entre negócio e segurança Proteção de Dados Proteção durante o ciclo de vida da informação 1 0 Métricas e Reporte Reporte dos resultados das ações de segurança Continuidade de Negócios Recuperação de tecnologia, processos e pessoas Estado Atual Estado Futuro
64 A Transformação da Segurança da Informação Identificar Proteger os riscos reais o que mais importa Habilitar desempenho de negócios um programa corporativo para desempenho do negócio Sustentar Otimizar
65 Como se preparar... Riscos Iniciativas de SI Sustentar Planejar As Is To Be Roadmap Melhorias Evolução Impacto mensurável
66 EY Resilience Como gerenciar o desconhecido
67 Gerenciando o desconhecido Inovação Sustentabilidade Posicionamento de Mercado Resposta a Incidentes Cibernéticos Resposta a Emergência Emergências Físicas Ruptura dos Processos de Negócio Ruptura de TI Ruptura da de Processos Produtivos Gestão de Riscos: Segurança Física Fraude Supply Chain
68 Gerenciando o desconhecido
69 Valor de um Framework Integrado Estratégico Liderança Gestão Mobilização de Crises Agilidade Tático Resposta à Emergência Resposta a ameaças Colaboração Multidisciplinar Resposta a Incidentes Operacional Ativação das funções críticas Continuidade de Recuperação de Serviços de TI Negócios Desastres de TI Equipes de Resposta
70 Atributos Fundamentais Liderança Cultura Compromisso executivo Agilidade Decisão One-in, all-in Colaboração Vigilancia Proatividade Preparo Atributos da Resiliência Network Preparo para mudança Relações de confiança Resistência Recuperação rápida Treinamentos Ferramentas e técnicas Detecção e resposta rápida
71 Atributos Fundamentais
72 SOC & Cyber Threat Intelligence Como ficar à frente dos crimes cibernéticos
73 Como ficar à frente dos crimes cibernéticos O que está acontecendo lá fora? E o que minha a organização pode aprender? Minha organização necessita se proteger contra ameaças? Como posso fazer isso? Como as outras organizações enfrentam ameaças e ataques específicos? Como a minha organização pode ajudar outras a enfrentar essas ameaças e ataques? A minha organização compreende a diferença entre um ataque dirigido e um ataque aleatório? Quais fontes de ameaças são relevantes para a minha organização?
74 Tecnologia e Gestão do Programa Visão tradicional de um SOC Monitoramento de Segurança Monitoramento em tempo real Monitoramento proativo Desenvolvimento de Casos de Uso Triagem e validação de incidentes Monitoramento de Host Monitoramento de Rede Monitoramento de Aplicações Monitoramento de dados em movimento Monitoramento da Infraestrutura Monitoramento de Acessos de Usuários Resposta a Incidentes Investigações de Incidentes Orientação em contenção, erradicação e remediação Recomendação de Contramedidas Forense computacional Comunicação, Coordenação e Reporte Determinação da Severidade dos Incidentes Análise e Resposta em tempo real para end-point Análise de Malware Análise de Causa Raiz
75 Como ficar à frente dos crimes cibernéticos Qual a afirmação abaixo que melhor descreve a maturidade do seu programa de inteligência contra ameaças? Temos uma função avançada de inteligência 5% Temos uma equipe de inteligência 10% Temos um programa formal de inteligência 17% Temos um programa informal 32% Não temos um programa 36%
76 O que fazemos? Como trabalhamos? Quem somos? Visão integrada de um SOC Programa de inteligência contra ameaças cibernéticas Contexto de negócios Missão, Visão e Valores Governança e Modelo Operacional Dados de eventos corporativos Estrutura Organizacional, Papéis e Responsabilidades Habilidades e Capacidades Comunicação e Mensageria Processos Core Internos Tecnologia e Ferramentas Quem somos? Como trabalhamos? O que fazemos? Catálogo de Serviços Qualidade Eficiência Consistência Teaming Monitoramento de Segurança Resposta a Incidentes de SI Análise de Riscos e Relatórios Catálogo de Serviços Segurança Avançada Forense Digital e Análise de Identificação de Ameaças e Otimização da tecnologia de Malware Ger. de Vulnerabilidades Planejamento monitoramento Resposta a Ger. de Risco vulnerabilidades de e ameaças incidentes contramedidas Framework de Mensuração e Melhoria de Desempenho Contínuo Métricas e relatórios
77 GISS Almoço 45 minutos
78 GISS Painel Especialistas do mercado debatem a pesquisa
79 GISS Considerações Finais
80 O que as organizações necessitam fazer Antecipar Foco inovador Adaptar Avaliar e incorporar as constantes mudanças Ativar Estabelecer o alicerce
81 Como temos apoiado aos nossos clientes Alinhar as suas estratégias relacionadas à segurança da informação às necessidades de negócio; Otimizar os gastos relacionados à segurança da informação e tornar a Gestão de Programa Cibernético (CPM) mais sustentável e compensadora; Aprimorar as capacidades do SOC; Investigar as violações cibernéticas complexas e remediar, detectar e responder às ameaças; Ajudar a monitorar, manter e auxiliar no cumprimento da conformidade com políticas de gestão de acesso, bem como lidar com questões legais e regulatórias;
82 Mais publicações da EY sobre o assunto Link da pesquisa GISS e demais publicações: Contatos: Sergio D. Kogan Sócio Assessoria Alberto E. Favero Sócio Assurance Demetrio Carrión Diretor Ilton D. Duccini Gerente Sênior
Prevenção de Perda de Dados. Prevenção de Perda. Cuidados no manuseio de dados e informações.
Prevenção de Perda de Dados Prevenção de Perda de Dados Cuidados no manuseio de dados e informações. Marketing Gantech Maio 2014 Sumário Introdução... 4 Conceito... 5 Custos e consequências... 6 A Prevenção
Desmistificando Ameaças Digitais
Desmistificando Ameaças Digitais De 4º Risk Engineering Workshop 19 de Setembro de 2017 Tiago Santana Eng. Cyber Risk Risk Engineering www.zurich.com.br Brazil INTERNAL USE ONLY Desmistificando Ameaças
Segurança da Informação Cláudio Dodt, CISA, CISSP, CRISC, ISMAS Consultor Senior Gerente regional - Nordeste claudio.dodt@daryus.com.br Quem é a DARYUS? Empresa 100% nacional especializada em Continuidade,
Gerenciamento de crises www.kpmg.com.br 2 Gerenciamento de crises Sua empresa foi alvo de vazamento de dados confidenciais? Você está enfrentando uma greve não prevista e precisa tomar ações para reduzir
Por que você precisa de um plano de resposta a incidentes?
Por que você precisa de um plano de resposta a incidentes? SUMÁRIO 1... Introdução 2... A importância da resiliência cibernética 3... Do que você precisa para gerar um plano de resposta a incidentes? 3.1...
Desenhando uma Estratégia de Resiliência Corporativa
Desenhando uma Estratégia de Resiliência Corporativa Fábio De Franco Senior Managing Consultant 28/04/2011 2011 IBM Corporation Agenda Contexto & Introdução Por que desenvolver uma Estratégia de Resiliência