Monitorizar a dark web não é «ver tudo»: como transformar indícios de fugas de informação em ação

O que as empresas realmente querem saber não é, em geral, «até que ponto a dark web é misteriosa», mas algo mais prático: se as credenciais dos trabalhadores, os dados dos clientes ou os documentos internos já estiverem à venda publicamente, conseguirá a empresa saber disso antes de o problema se agravar?

A monitorização da dark web pode ajudar a detetar indícios, mas não é uma janela que permita ver todos os riscos. Uma abordagem fiável consiste em cruzar os indícios visíveis publicamente ou disponíveis em canais específicos com o inventário de ativos da própria empresa e os seus procedimentos de resposta a incidentes de segurança, verificando depois cada um deles.

O que é a dark web e porque devem as empresas dar-lhe atenção

A dark web designa, em geral, um conjunto de serviços de rede cujo acesso exige software ou configurações específicos, incluindo fóruns, mercados e comunidades privadas. Nesses espaços podem surgir credenciais roubadas, serviços de software malicioso, documentos empresariais ou alvos discutidos por atacantes. Ao mesmo tempo, muitas fugas de informação surgem primeiro em sites comuns, repositórios de código, grupos de mensagens instantâneas ou canais de revenda de dados. Concentrar a atenção apenas no termo «dark web» pode, por isso, levar a ignorar sinais mais precoces e mais fiáveis.

A primeira pergunta da monitorização: o que é preciso proteger?

As empresas podem começar por listar os elementos realmente relevantes para a sua atividade: domínios e subdomínios da empresa, páginas de início de sessão de trabalhadores e clientes, nomes de marcas, domínios de correio eletrónico, chaves de API, nomes de serviços na nuvem, bem como documentos ou nomes de código de projetos que não devam ser públicos. Sem este inventário, as ferramentas de monitorização tendem a devolver muito ruído sem relação com a empresa.

O passo seguinte é definir condições claras para desencadear uma resposta: o aparecimento de credenciais cuja ligação à empresa tenha sido verificada, de novas contas com privilégios elevados, de excertos de documentos internos, de discussões sobre ataques a sistemas específicos ou de amostras que correspondam a incidentes conhecidos. Quanto mais concretas forem estas condições, mais fácil será para a equipa de segurança decidir o que fazer a seguir.

Entre o indício e a conclusão, tem de haver verificação

Uma publicação, uma captura de ecrã ou um ficheiro comprimido que alegadamente contém dados são apenas indícios. A equipa precisa de verificar a data, a origem, o formato dos dados, se estes incluem campos reais e se continuam válidos. Publicações repetidas podem parecer vários incidentes quando, na realidade, se trata apenas de material antigo a circular de novo; por outro lado, uma amostra de credenciais aparentemente insignificante pode ser suficiente para exigir a substituição imediata de palavras-passe e tokens.

Os serviços de monitorização podem recolher indícios e emitir alertas, mas não podem substituir a empresa na avaliação da autenticidade de um incidente, dos sistemas afetados ou de quem tem autoridade para agir. Separar a «deteção» da «confirmação» ajuda a reduzir os falsos positivos e a evitar que utilizadores legítimos sejam bloqueados precipitadamente com base num conteúdo não verificado.

Um processo verdadeiramente útil: detetar, confirmar, responder e rever

Detetar: recolher continuamente indícios relacionados com os ativos da empresa e registar quando e onde surgiram pela primeira vez.

Confirmar: pedir aos responsáveis pela segurança ou pelos sistemas que validem as amostras e determinem quais as contas, os sistemas ou os dados afetados.

Responder: substituir as credenciais, isolar os sistemas afetados, informar quem precisa de agir e manter um registo rastreável das medidas tomadas.

Rever: analisar porque não detetaram os controlos existentes o problema a tempo e ajustar o inventário de ativos, as permissões, os registos e as regras de alerta.

Que relação tem isto com as questões sobre sistemas discutidas por Lu Heng?

Nos seus Notes, Lu Heng lembra repetidamente aos leitores que é preciso distinguir as designações de um sistema, os seus registos e as suas capacidades reais. A monitorização da dark web tem os mesmos limites: uma pontuação de risco ou um aviso de «deteção» não equivalem ao facto em si; uma ferramenta centralizada pode prestar um serviço, mas isso não lhe confere o poder de tomar todas as decisões em nome da empresa.

Por isso, uma boa solução de monitorização deve permitir à empresa compreender as dependências, verificar as provas e manter vias alternativas, deixando as decisões a quem efetivamente assume as consequências para o negócio. O seu valor não está em criar alarme, mas em dar à organização opções mais claras enquanto ainda é possível lidar com o problema.