Mapeie as ameaças ao seu ambiente de TI

Este artigo descreve como diagramar o ambiente de TI principal da sua organização e criar um mapa de ameaças. Esses diagramas são ferramentas valiosas para planejar e construir uma camada de segurança defensiva robusta. Compreender seu ambiente de TI e sua arquitetura é crucial para identificar os serviços de segurança necessários para fornecer proteção adequada.

Os sistemas informáticos contêm informações que não só são valiosas para as organizações que as geram, mas também para agentes maliciosos. Esses atores, sejam indivíduos ou grupos, se envolvem em atividades nocivas destinadas a comprometer ou danificar os computadores, dispositivos, sistemas e redes das empresas. Seu objetivo é muitas vezes roubar ou corromper dados confidenciais usando ameaças como malware ou ataques de força bruta.

Neste artigo, exploramos um método para mapear ameaças ao seu ambiente de TI, permitindo que você planeje a implementação dos serviços de segurança da Microsoft como parte de sua estratégia de segurança.

A boa notícia é que você não precisa criar um mapa de ameaças do zero. A matriz MITRE ATT&CK oferece um excelente recurso para ajudá-lo a desenvolver uma. MITRE ATT&CK é uma base de conhecimento global que mapeia ameaças do mundo real com base em táticas e técnicas observadas. A MITRE Corporation documenta cada ameaça conhecida em detalhes, fornecendo informações valiosas sobre como essas ameaças operam e como você pode se defender delas. Este recurso acessível ao público está disponível on-line em MITRE ATT&CK®.

Neste artigo, usamos um subconjunto dessas ameaças para ilustrar como você pode mapear ameaças ao seu ambiente de TI.

Potenciais casos de utilização

Algumas ameaças são comuns em todos os setores, como ransomware, ataques DDoS, scripts entre sites e injeção de SQL. No entanto, muitas organizações enfrentam ameaças específicas exclusivas do seu setor ou baseadas em ataques cibernéticos anteriores que encontraram. O diagrama neste artigo pode ajudá-lo a mapear essas ameaças para sua organização, identificando as áreas com maior probabilidade de serem alvo de agentes mal-intencionados. A criação de um mapa de ameaças permite planejar as camadas de defesa necessárias para um ambiente mais seguro.

Você pode adaptar este diagrama para modelar diferentes combinações de ataques e entender melhor como evitá-los e mitigá-los. Embora a estrutura MITRE ATT&CK seja uma referência útil, ela não é necessária. O Microsoft Sentinel e outros serviços de segurança da Microsoft também colaboram com o MITRE para fornecer informações valiosas sobre várias ameaças.

Algumas organizações usam o Cyber Kill Chain®, uma metodologia da Lockheed Martin, para mapear e entender como um ataque ou uma série de ataques são realizados contra um ambiente de TI. Cyber Kill Chain organiza ameaças e ataques considerando menos táticas e técnicas do que a estrutura MITRE ATT&CK. Ainda assim, é eficaz para ajudá-lo a entender as ameaças e como elas podem ser executadas. Para obter mais informações sobre essa metodologia, consulte Cyber Kill Chain.

Arquitetura

Transfira um ficheiro Visio desta arquitetura.

©2021 A Corporação MITRE. Este trabalho é reproduzido e distribuído com a permissão da MITRE Corporation.

Para o ambiente de TI das organizações, especificamos os componentes apenas para o Azure e o Microsoft 365. Seu ambiente de TI específico pode incluir dispositivos, dispositivos e tecnologias de diferentes provedores de tecnologia.

Para o ambiente do Azure, o diagrama mostra os componentes listados na tabela a seguir.

O diagrama representa o Microsoft 365 através dos componentes listados na tabela a seguir.

Workflow

Para ajudá-lo a entender qual parte do seu ambiente de TI essas ameaças provavelmente serão atacadas, o diagrama de arquitetura neste artigo é baseado em um ambiente de TI típico para uma organização que tem sistemas locais, uma assinatura do Microsoft 365 e uma assinatura do Azure. Os recursos em cada uma dessas camadas são serviços comuns a muitas empresas. Eles são classificados no diagrama de acordo com os pilares do Microsoft Zero Trust: rede, infraestrutura, ponto de extremidade, aplicativo, dados e identidade. Para obter mais informações sobre o Zero Trust, consulte Adote a segurança proativa com o Zero Trust.

O diagrama de arquitetura inclui as seguintes camadas:

1. Em servidor local

   O diagrama inclui alguns serviços essenciais, como servidores (VMs), dispositivos de rede e DNS (Sistema de Nomes de Domínio). Ele inclui aplicativos comuns que são encontrados na maioria dos ambientes de TI e executados em máquinas virtuais (VMs) ou servidores físicos. Ele também inclui vários tipos de bancos de dados, SQL e não-SQL. As organizações geralmente têm um servidor de arquivos que compartilha arquivos em toda a empresa. Por fim, o Serviço de Domínio Ative Directory, um componente de infraestrutura generalizado, lida com as credenciais do usuário. O diagrama inclui todos esses componentes no ambiente local.

2. Ambiente do Office 365

   Este ambiente de exemplo contém aplicativos de escritório tradicionais, como Word, Excel, PowerPoint, Outlook e OneNote. Dependendo do tipo de licença, ele também pode incluir outros aplicativos, como OneDrive, Exchange, SharePoint e Teams. No diagrama, eles são representados por um ícone para aplicativos do Microsoft 365 (anteriormente Office 365) e um ícone para o Microsoft Entra ID. Os usuários devem ser autenticados para obter acesso a aplicativos do Microsoft 365 e o Microsoft Entra ID atua como o provedor de identidade. O Microsoft 365 autentica os utilizadores contra o mesmo tipo de ID Entra da Microsoft que o Azure utiliza. Na maioria das organizações, o inquilino do Microsoft Entra ID é o mesmo para o Azure e o Microsoft 365.

3. Ambiente do Azure

   Essa camada representa os serviços de nuvem pública do Azure, incluindo VMs, redes virtuais, plataformas como serviços, aplicativos Web, bancos de dados, armazenamento, serviços de identidade e muito mais. Para obter mais informações sobre o Azure, consulte a documentação do Azure.

4. Táticas e técnicas MITRE ATT&CK

   Este diagrama mostra as 16 principais ameaças, de acordo com as táticas e técnicas publicadas pela MITRE Corporation. Nas linhas vermelhas, você pode ver um exemplo de um ataque combinado, o que significa que um ator mal-intencionado pode coordenar vários ataques simultaneamente.

Como usar a estrutura MITRE ATT&CK

Você pode começar com uma simples pesquisa pelo nome da ameaça ou do código de ataque na página principal da web, MITRE ATT&CK®.

Você também pode procurar ameaças nas páginas de táticas ou técnicas:

• Táticas empresariais
• Técnicas empresariais

Você ainda pode usar o MITRE ATT &CK® Navigator, uma ferramenta intuitiva fornecida pelo MITRE que ajuda você a descobrir táticas, técnicas e detalhes sobre ameaças.

Componentes

A arquitetura de exemplo neste artigo usa os seguintes componentes do Azure:

• O Microsoft Entra ID é um serviço de gerenciamento de identidade e acesso baseado em nuvem que permite acesso seguro a recursos internos e externos. Nessa arquitetura, ele autentica usuários para serviços do Azure e do Microsoft 365. Ele serve como o provedor de identidade central em todo o ambiente.

• A Rede Virtual do Azure é um serviço de rede no Azure que permite a comunicação segura entre os recursos do Azure, a Internet e as redes locais. Nessa arquitetura, ele fornece infraestrutura de rede isolada e escalável para hospedar cargas de trabalho e impor o controle de tráfego.

• O Azure Load Balancer é um serviço de balanceamento de carga de camada 4 de alto desempenho para tráfego TCP (Transmission Control Protocol) e UDP (User Datagram Protocol). Nessa arquitetura, ele garante alta disponibilidade e escalabilidade distribuindo o tráfego de entrada e saída entre VMs e serviços.

• As Máquinas Virtuais do Azure são uma oferta de infraestrutura como serviço (IaaS) que fornece recursos de computação flexíveis e sob demanda. Nessa arquitetura, as VMs hospedam aplicativos e serviços que fazem parte do ambiente de TI da organização e estão sujeitos ao mapeamento de ameaças.

• O serviço Kubernetes do Azure (AKS) é um serviço Kubernetes gerenciado para implantar e gerenciar aplicativos em contêineres. Nessa arquitetura, ele executa aplicativos em contêineres e oferece suporte a segurança e governança de nível empresarial como parte da superfície de ameaças.

• A Área de Trabalho Virtual é um serviço de virtualização de área de trabalho e aplicativo que é executado na nuvem para fornecer áreas de trabalho para usuários remotos. Nessa arquitetura, ele fornece acesso seguro para usuários remotos e está incluído no mapa de ameaças como um vetor de ataque potencial.

• O recurso Aplicativos Web do Serviço de Aplicativo do Azure hospeda aplicativos Web, APIs REST e back-ends móveis. Você pode programar no idioma escolhido. Os aplicativos são executados e dimensionados com facilidade em ambientes baseados em Windows e Linux. Nessa arquitetura, os Web Apps hospedam aplicativos baseados em HTTP que são protegidos por meio de recursos de segurança integrados, como TLS (Transport Layer Security) e pontos de extremidade privados.

• O Armazenamento do Azure é um serviço de armazenamento escalável e seguro para vários objetos de dados na nuvem, incluindo armazenamento de objetos, blobs, arquivos, discos, filas e tabelas. O Armazenamento do Azure criptografa todos os dados gravados em uma conta de Armazenamento. Ele fornece controle refinado sobre o acesso aos seus dados. Nessa arquitetura, ele armazena dados de aplicativos e sistemas e é incluído no mapa de ameaças devido ao seu papel na proteção de dados e controle de acesso.

• O Banco de dados SQL é um mecanismo de banco de dados relacional gerenciado que automatiza patches, backups e monitoramento. Nessa arquitetura, ele armazena dados estruturados e oferece suporte a recursos internos de segurança e conformidade para mitigar ameaças.

Contribuidores

Este artigo é mantido pela Microsoft. Foi originalmente escrito pelos seguintes contribuidores.

Autor principal:

• Rudnei Oliveira | Engenheiro de Segurança do Azure Senior

Outros contribuidores:

• Gary Moore | Programador/Redator
• Andrew Nathan — Gerente Senior de Engenharia de Clientes

Próximos passos

Este documento refere-se a alguns serviços, tecnologias e terminologias. Você pode encontrar mais informações sobre eles nos seguintes recursos:

• MITRE ATT&CK®
• Navegador ATT&CK®)
• A Cadeia de Morte Cibernética®
• Adote a segurança proativa com o Zero Trust
• Ameaça mista na Wikipédia
• Como os ataques cibernéticos estão mudando, de acordo com o novo Relatório de Defesa Digital da Microsoft do Blog de Segurança da Microsoft

Recursos relacionados

Para obter mais informações sobre essa arquitetura de referência, consulte os outros artigos desta série:

• Parte 2: Criar a primeira camada de defesa com os serviços de Segurança do Azure
• Parte 3: Crie a segunda camada de defesa com o Microsoft Defender XDR Serviços de segurança
• Parte 4: integrar os serviços de segurança do Azure e do Microsoft Defender XDR