Sistemas de segurança tradicionais se baseiam na comparação de elementos suspeitos com bancos de dados de ameaças, onde estão reunidos malwares conhecidos, incluindo vírus, ransomware, criptojacks, entre muitos outros. Quando algum programa relacionado é detectado, a ferramenta entra em ação, bloqueando e eliminando ou isolando o item suspeito, impedindo sua disseminação. Este procedimento foi a norma por muitos anos e, em seu ápice, foi responsável por um alto índice de eficiência na contenção de ameaças digitais.
Contudo, a evolução das técnicas e estratégias dos cibercriminosos levou a uma mudança na efetividade destas soluções. Alterações nos códigos, novos recursos para dificultar a detecção e comportamentos adaptáveis dos malwares mais recentes reduziram drasticamente a efetividade das soluções tradicionais. A própria forma de abordagem dos criminosos, baseada em diversas etapas, com inserção de códigos para ações de C&C, movimentação lateral e outras artimanhas também ajudam a superar as defesas digitais típicas.
As equipes de segurança, em resposta, passaram a adotar mais ferramentas isoladas, com funções dedicadas que, em tese, ajudariam a conter as novas ameaças em diversos estágios do ataque. De fato, é inquestionável que mais ferramentas signifiquem mais opções de proteção, mas isso gerou outro problema: excesso de alertas e problemas de priorização. Com mais ferramentas, o aumento de redundâncias indesejadas, falsos positivos, incompatibilidades e excesso de alertas desnecessários frequentemente leva a uma sobrecarga das equipes. Ato contínuo, as equipes, não conseguem priorizar sua atenção e otimizar seu tempo, tornam-se menos eficazes e, portanto, mais espaço se cria para a ação dos agentes maliciosos.
Uma solução inteligente
Ficou claro que a solução não poderia ser simplesmente ampliar linearmente o número de ferramentas e de analistas para administrá-las, o novo cenário pedia uma mudança nos fundamentos das soluções de cibersegurança, uma outra forma de olhar e bloquear ameaças. Assim, surgiu a ideia de se utilizar inteligência artificial (IA) na segurança digital.
Ao invés de se limitar à comparação de elementos em bancos de dados, o que leva a respostas binárias e dá mais chance de evasão aos agentes maliciosos, a IA permite adequação de resposta a contextos e aprendizado. Assim, a ferramenta passa a analisar comportamentos e cenários, não só elementos, e a aprender novas técnicas com base em experiências passadas. Isso eleva a patamares inéditos a qualidade da defesa proporcionada, pois permite algo até então impossível: deter ameaças desconhecidas.
Como os sistemas baseados em IA não se limitam a informações de bancos de dados de ameaças (embora eles ainda sejam utilizados e tenham relevância), eles conseguem detectar comportamentos anormais na rede, nos servidores e nos endpoints. Uma vez que os ciberataques atuais são realizados em diversas etapas, indivíduos mal-intencionados na rede tentando ganhar acesso indevido a servidores, pastas e ambientes tornam-se passíveis de detecção, durante sua movimentação lateral ou no envio de dados em ações de C&C.
Ferramentas desenvolvidas com IA são mais efetivas porque têm uma atuação muito mais contextual do que as tradicionais. Por sua natureza, elas são capazes de bloquear ataques avançados como fileless e exploits, além de conseguir identificar e bloquear a disseminação de infecções de malware e ransomware, mesmo se não constarem nos bancos de dados de ameaças.
Outro ponto de destaque é a capacidade de aprendizado destas soluções. A partir de bancos de dados de CSIRTs, da análise do ambiente, seus programas e usuários e dos próprios ataques contidos, as ferramentas tornam-se mais inteligentes e sólidas, gerando uma proteção mais efetiva ao longo do tempo.
A introdução de uma ferramenta destas traz enormes benefícios para a empresa:
- Proteção em tempo real: a visibilidade e a resposta rápida destes produtos oferecem proteção em imediata antes mesmo do payload de um malware ser instalado, assim como contra ameaças fileless, ações de C&C e outras;
- Análises mais profundas: com os dados coletados e as comparações feitas por IA, as análises são muito mais precisas e relevantes, gerando mais inteligência de ameaças;
- Bloqueio de malwares desconhecidos: como não depende de banco de dados de ameaças conhecidas para identificar potenciais ameaças, essas soluções conseguem conter até mesmo ameaças desconhecidas e não-reveladas com efetividade;
- Defesa contra ataques discretos: malwares que se baseiam em ferramentas nativas do sistema e vulnerabilidades tendem a passar despercebidos, mas com IA, seu comportamento pode ser detectado.
MSS e IA, juntos por mais segurança
Serviços de segurança gerenciados (MSS), tendo que lidar com uma infinidade de dados e precisando responder com rapidez e precisão a incidentes em diversos contextos e clientes, dependendo totalmente de soluções como esta para serem efetivas. Com o uso de ferramentas de AI, sua atuação passa a ser muito mais precisa, com priorização máxima de eventos, permitindo respostas assertivas a cada incidente.
É nítido que o cenário de ameaças está mais complexo e desafiador, por isso o emprego de recursos avançados é prioritário para os principais fornecedores de MSS, com mais inteligência visibilidade e capacidade de resposta, os especialistas podem atuar na velocidade e com a precisão necessária para garantir a construção de ambientes mais seguros para seus clientes e usuários.
