detection
6 artigos com esta tag
O que é backdoor (porta dos fundos): como o atacante mantém o acesso e como identificá-lo
Backdoor é um ponto de entrada oculto, deixado para que o atacante possa voltar contornando a autenticação normal. Em geral vem depois de uma invasão inicial e transforma uma intrusão em acesso contínuo; também pode chegar dentro de uma dependência envenenada. O que o separa da manutenção remota legítima é se alguém o autorizou, sabe que ele existe e consegue vê-lo nos registros. Defesa: privilégio mínimo, monitoramento de integridade, monitoramento do tráfego de saída, revisão de dependências.
O que é malware? Tipos, rotas de infecção e as defesas básicas
Malware (software malicioso) é o termo guarda-chuva para software feito para causar dano aos seus dispositivos ou dados. Vírus, worms, trojans, ransomware, spyware e bots são todos tipos abaixo dele. Por mais diferentes que pareçam, a defesa é a mesma em três partes: prevenir a infecção (atualizações, não abrir anexos/macros suspeitos, MFA), detectar (EDR, antivírus) e conseguir se recuperar (backups). Acertar essas defesas comuns importa muito mais do que decorar os nomes dos tipos.
O que é C2 (comando e controle): o canal que atacantes usam para controlar um dispositivo após uma invasão
C2 é o canal que um dispositivo comprometido usa para ligar de volta ao servidor do atacante (um beacon) para receber comandos e exfiltrar dados — a etapa após a invasão. As principais pistas são tráfego de saída periódico suspeito e destinos sabidamente maliciosos. Defesas: filtragem de saída, monitoramento de DNS, correspondência de IOC/IOA, privilégio mínimo. Confirmar que 'não há C2 residente' é uma parte fundamental da investigação de uma invasão.
O que é EDR: registrar a atividade dos endpoints para detectar e responder a ataques que passam pelo antivírus
O EDR registra continuamente o comportamento do endpoint, detecta atividade suspeita (no estilo IOA) e apoia a resposta (isolar, investigar). Ele captura ataques sem arquivo e living-off-the-land que o antivírus baseado em assinaturas/IOC perde, por meio de comportamento e de uma linha do tempo. Times pequenos muitas vezes não precisam de um EDR completo — a proteção embutida no SO mais logs mais a mentalidade de IOA já entregam boa parte do valor.
O que é um IOA (Indicator of Attack): detectar uma invasão por comportamento, não por rastros
Um IOA (Indicator of Attack) detecta uma invasão pelo comportamento de um ataque em andamento (escalonamento de privilégios → movimento lateral → exfiltração). É a contraparte do IOC, que é a posteriori. Atacantes trocam hashes e IPs num instante, mas a técnica (comportamento) é difícil de mudar — então os IOAs duram. Até times pequenos podem se aproximar disso observando comportamento que difere do normal.
O que é um IOC (Indicator of Compromise): rastros que revelam uma invasão
Um IOC (Indicator of Compromise) é um rastro que uma invasão deixa para trás — hashes de arquivo sabidamente maliciosos, IPs/domínios de atacantes, URLs, processos incomuns. Seu valor é detectar/bloquear mecanicamente o sabidamente malicioso. Mas é uma pista reativa que os atacantes trocam barato, então a correspondência de IOC é uma verificação final, não uma defesa completa. A defesa principal é um design que resiste a invasões (privilégio mínimo, correções, MFA).