O ataque que não deixa pedido de resgate
O ransomware é um ataque ruidoso. Anuncia-se com um pedido de resgate, ficheiros cifrados e sistemas indisponíveis. O seu SOC fica a saber em poucos minutos. A sua equipa de resposta a incidentes mobiliza-se. A sua equipa de comunicação prepara a notificação da violação de dados.
Os danos são graves e a recuperação é dispendiosa. Mas há uma propriedade do ransomware de que raramente se fala: sabe-se que aconteceu.
A adulteração de dados é o oposto. Um registo financeiro modificado. Um registo de conformidade alterado. Uma entrada de dados clínicos mudada. Uma entrada de um registo de auditoria apagada discretamente. Estes ataques são concebidos para serem invisíveis. O objetivo não é a perturbação - é a manipulação não detetada.
As organizações mais expostas não são as que se defendem do ransomware. São as que nunca consideraram que os seus ativos de dados mais críticos pudessem ser modificados sem que ninguém soubesse.
Anatomia de um ataque de adulteração de dados
Os ataques de adulteração de dados visam ativos de dados específicos e de elevado valor, com a intenção de causar danos através de modificações não detetadas. Alvos comuns:
Registos financeiros. Modificar registos de transações, ajustar saldos de contas ou alterar registos de auditoria para ocultar fraude. Em organizações onde os dados financeiros alimentam sistemas automatizados, um registo adulterado pode propagar-se por todo o modelo financeiro antes de ser detetado.
Evidências de conformidade. Alterar logs de auditoria, relatórios de incidentes ou documentação de conformidade para ocultar infrações ou apresentar aos reguladores uma imagem falsa da postura de segurança da organização.
Dados clínicos. Modificar processos clínicos de doentes, resultados de diagnóstico ou prescrições de medicação. Os danos podem ser diretos (segurança do doente) ou reputacionais (responsabilidade).
Dados de treino de IA. Inserir ou modificar amostras de treino para introduzir enviesamentos sistemáticos ou backdoors em modelos de IA - uma ameaça que analisámos em detalhe no guia sobre ataques de envenenamento de dados.
Cadeia de fornecimento de software. Modificar repositórios de código, artefactos de build ou pacotes de dependências para introduzir funcionalidades maliciosas que passam a revisão por parecerem uma alteração normal.
O que estes ataques têm em comum: a modificação é pequena, direcionada e concebida para parecer uma variação normal dos dados. A monitorização de segurança habitual - centrada em padrões de acesso e anomalias de rede - não a deteta.
Porque é que os controlos de segurança tradicionais não detetam isto
Os controlos de segurança que a maioria das organizações implementou foram concebidos para responder à pergunta: 'quem acedeu a este recurso?' Não foram concebidos para responder: 'este recurso foi modificado?'
As ferramentas FIEM detetam padrões de acesso anómalos. As ferramentas DLP impedem a exfiltração não autorizada de dados. Os sistemas IAM controlam quem pode iniciar sessão e a que pode aceder. As plataformas SOAR automatizam a resposta a alertas baseados em acessos.
Nenhum destes controlos cria um registo independente do estado de um ativo de dados num momento específico. Nenhum deles consegue detetar uma modificação feita por um utilizador autorizado. Nenhum deles consegue provar, de forma forense, que um determinado registo não era diferente há duas semanas.
É esta a lacuna fundamental que a verificação criptográfica da integridade dos dados preenche. A funcionalidade de verificação da plataforma da ROOTKey permite a qualquer parte interessada confirmar o estado atual de um ativo de dados face à sua referência histórica - em tempo real, sem ferramentas especializadas.
Construa a sua referência de integridade antes de precisar de investigar um incidente de adulteração.
- O ransomware é detetado em poucas horas. A adulteração de dados pode passar despercebida durante meses ou anos.
- Os controlos de segurança tradicionais (SIEM, DLP, IAM) detetam anomalias de acesso, mas não conseguem detetar a modificação de dados.
- Os alvos de maior valor - registos financeiros, evidências de conformidade, dados clínicos, dados de treino de IA - são também os mais suscetíveis de serem adulterados para obter o máximo impacto.
- A verificação criptográfica da integridade cria uma referência independente que torna detetável qualquer modificação, independentemente de quem a tenha feito.
- O custo de implementar a verificação da integridade é uma fração do custo de descobrir um incidente de adulteração meses depois de ter acontecido.