Este princípio no pilar de segurança do Google Cloud Well-Architected Framework fornece recomendações para criar programas robustos de defesa cibernética como parte da sua estratégia geral de segurança.
Esse princípio enfatiza o uso da inteligência contra ameaças para orientar proativamente seus esforços nas principais funções de defesa cibernética, conforme definido em The Defender's Advantage: um guia para ativar a defesa cibernética.
Visão geral do princípio
Ao defender seu sistema contra ataques cibernéticos, você tem uma vantagem significativa, mas pouco utilizada, contra os invasores. Como o fundador da Mandiant afirma, "Você deve saber mais sobre seus negócios, sistemas, topologia e infraestrutura do que qualquer invasor. Isso é uma grande vantagem." Para ajudar você a usar essa vantagem inerente, este documento fornece recomendações sobre práticas proativas e estratégicas de defesa cibernética que são mapeadas para o framework Defender's Advantage.
Recomendações
Para implementar a defesa cibernética preventiva nas suas cargas de trabalho na nuvem, considere as recomendações nas seções a seguir:
- Integrar as funções de defesa cibernética
- Usar a função de inteligência em todos os aspectos da defesa cibernética
- Entenda e aproveite a vantagem na defesa
- Validar e melhorar suas defesas continuamente
- Gerenciar e coordenar esforços de defesa cibernética
Integrar as funções de defesa cibernética
Essa recomendação é relevante para todas as áreas de foco.
O framework do Defender's Advantage identifica seis funções essenciais de defesa cibernética: Inteligência, Detecção, Resposta, Validação, Busca e Controle de Missão. Cada função se concentra em uma parte única da missão de defesa cibernética, mas elas precisam ser bem coordenadas e trabalhar juntas para fornecer uma defesa eficaz. Concentre-se em criar um sistema robusto e integrado em que cada função apoie as outras. Se você precisar de uma abordagem em fases para a adoção, considere a seguinte ordem sugerida. Dependendo da maturidade atual da nuvem, da topologia de recursos e do cenário de ameaças específico, talvez você queira priorizar determinadas funções.
- Inteligência: a função de inteligência orienta todas as outras funções. Entender o cenário de ameaças, incluindo os invasores mais prováveis, as táticas, técnicas e procedimentos (TTPs) deles e o impacto potencial, é fundamental para priorizar as ações em todo o programa. A função de inteligência é responsável pela identificação das partes interessadas, definição dos requisitos de inteligência, coleta de dados, análise e disseminação, automação e criação de um perfil de ameaça cibernética.
- Detectar e responder: essas funções compõem o núcleo da defesa ativa, que envolve identificar e lidar com atividades maliciosas. Essas funções são necessárias para agir com base na inteligência coletada pela função de inteligência. A função de detecção requer uma abordagem metódica que alinhe as detecções aos TTPs do invasor e garanta uma geração de registros robusta. A função Responder precisa se concentrar na triagem inicial, na coleta de dados e na correção de incidentes.
- Validação: a função de validação é um processo contínuo que garante que seu ecossistema de controle de segurança esteja atualizado e operando conforme projetado. Essa função garante que sua organização entenda a superfície de ataque, saiba onde existem vulnerabilidades e meça a eficácia dos controles. A validação de segurança também é um componente importante do ciclo de vida da engenharia de detecção e precisa ser usada para identificar lacunas de detecção e criar novas detecções.
- Busca: a função de busca envolve a pesquisa proativa de ameaças ativas em um ambiente. Essa função precisa ser implementada quando sua organização tiver um nível básico de maturidade nas funções de detecção e resposta. A função de busca expande os recursos de detecção e ajuda a identificar lacunas e fraquezas nos controles. A função de busca precisa ser baseada em ameaças específicas. Essa função avançada se beneficia de uma base de recursos robustos de inteligência, detecção e resposta.
- Controle de missão: essa função atua como o hub central que conecta todas as outras funções. Essa função é responsável pela estratégia, comunicação e ação decisiva em todo o programa de defesa cibernética. Ele garante que todas as funções estejam trabalhando juntas e alinhadas com as metas de negócios da organização. É preciso se concentrar em estabelecer uma compreensão clara do propósito da função de controle de missão antes de usá-la para conectar as outras funções.
Usar a função de inteligência em todos os aspectos da defesa cibernética
Essa recomendação é relevante para todas as áreas de foco.
Essa recomendação destaca a função de inteligência como parte essencial de um programa de defesa cibernética forte. A inteligência contra ameaças fornece conhecimento sobre agentes de ameaças, suas TTPs e indicadores de comprometimento (IOCs). Esse conhecimento deve informar e priorizar ações em todas as funções de defesa cibernética. Uma abordagem orientada por inteligência ajuda a alinhar as defesas para enfrentar as ameaças que têm maior probabilidade de afetar sua organização. Essa abordagem também ajuda na alocação e priorização eficientes de recursos.
Os seguintes Google Cloud produtos e recursos ajudam você a aproveitar a inteligência contra ameaças para orientar suas operações de segurança. Use esses recursos para identificar e priorizar possíveis ameaças, vulnerabilidades e riscos e, em seguida, planejar e implementar as ações apropriadas.
O Google Security Operations (Google SecOps) ajuda a armazenar e analisar dados de segurança de maneira centralizada. Use o Google SecOps para mapear registros em um modelo comum, enriquecer os registros e vinculá-los a linhas do tempo para ter uma visão abrangente dos ataques. Também é possível criar regras de detecção, configurar a correspondência de IoC e realizar atividades de caça a ameaças. A plataforma também oferece detecções especializadas, que são regras predefinidas e gerenciadas para ajudar a identificar ameaças. O Google SecOps também pode ser integrado à inteligência de linha de frente da Mandiant. O Google SecOps integra de forma exclusiva a IA líder do setor, além de inteligência contra ameaças da Mandiant e Google VirusTotal. Essa integração é fundamental para avaliar ameaças e entender quem está visando sua organização e o impacto potencial.
O Security Command Center, que usa a tecnologia da IA do Google, permite que os profissionais de segurança avaliem, investiguem e respondam com eficiência a problemas de segurança em vários ambientes de nuvem. Os profissionais de segurança que podem se beneficiar do Security Command Center incluem analistas de centrais de operações de segurança (SOC), analistas de vulnerabilidade e postura e gerentes de compliance. O Security Command Center enriquece os dados de segurança, avalia riscos e prioriza vulnerabilidades. Essa solução fornece às equipes as informações necessárias para lidar com vulnerabilidades de alto risco e corrigir ameaças ativas.
O Chrome Enterprise Premium oferece proteção de dados e contra ameaças, o que ajuda a proteger os usuários contra riscos de exfiltração e impede que malware entre em dispositivos gerenciados pela empresa. O Chrome Enterprise Premium também oferece visibilidade de atividades não seguras ou potencialmente não seguras que podem acontecer no navegador.
O monitoramento de rede, por meio de ferramentas como o Network Intelligence Center, oferece visibilidade do desempenho da rede. O monitoramento de rede também pode ajudar a detectar padrões de tráfego incomuns ou quantidades de transferência de dados que podem indicar um ataque ou uma tentativa de exfiltração de dados.
Entenda e aproveite a vantagem do defensor
Essa recomendação é relevante para todas as áreas de foco.
Como mencionado anteriormente, você tem uma vantagem sobre os invasores quando tem uma compreensão completa dos seus negócios, sistemas, topologia e infraestrutura. Para aproveitar essa vantagem de conhecimento, use esses dados sobre seus ambientes durante o planejamento da defesa cibernética.
OGoogle Cloud oferece os seguintes recursos para ajudar você a ganhar visibilidade de forma proativa para identificar ameaças, entender riscos e responder em tempo hábil para mitigar possíveis danos:
O Chrome Enterprise Premium ajuda a melhorar a segurança dos dispositivos corporativos, protegendo os usuários contra riscos de exfiltração. Ele estende os serviços de Proteção de Dados Sensíveis para o navegador e evita malware. Ele também oferece recursos como proteção contra malware e phishing para evitar a exposição a conteúdo não seguro. Além disso, ele oferece controle sobre a instalação de extensões para ajudar a evitar extensões não seguras ou não verificadas. Esses recursos ajudam a estabelecer uma base segura para suas operações.
O Security Command Center oferece um mecanismo de risco contínuo que fornece análise e gerenciamento de riscos abrangentes e contínuos. O recurso de mecanismo de risco enriquece os dados de segurança, avalia riscos e prioriza vulnerabilidades para ajudar a corrigir problemas rapidamente. O Security Command Center permite que sua organização identifique pontos fracos de forma proativa e implemente mitigações.
O Google SecOps centraliza os dados de segurança e fornece registros enriquecidos com linhas do tempo. Isso permite que os defensores identifiquem proativamente comprometimentos ativos e adaptem as defesas com base no comportamento dos invasores.
O monitoramento de rede ajuda a identificar atividades irregulares que podem indicar um ataque e fornece indicadores iniciais que você pode usar para tomar medidas. Para ajudar a proteger seus dados contra roubo de forma proativa, monitore continuamente a exfiltração de dados e use as ferramentas fornecidas.
Valide e melhore suas defesas continuamente
Essa recomendação é relevante para todas as áreas de foco.
Essa recomendação enfatiza a importância de testes direcionados e da validação contínua de controles para entender os pontos fortes e fracos em toda a superfície de ataque. Isso inclui validar a eficácia dos controles, das operações e da equipe usando métodos como os seguintes:
- Testes de penetração
- Exercícios de equipe vermelha-azul e equipe roxa
- Exercícios de simulação
Você também precisa buscar ativamente ameaças e usar os resultados para melhorar a detecção e a visibilidade. Use as ferramentas a seguir para testar e validar continuamente suas defesas contra ameaças reais:
O Security Command Center oferece um mecanismo de risco contínuo para avaliar vulnerabilidades e priorizar a correção, o que permite a avaliação contínua da sua postura de segurança geral. Ao priorizar os problemas, o Security Command Center ajuda a garantir que os recursos sejam usados de maneira eficaz.
O Google SecOps oferece detecção de ameaças e detecções especializadas que permitem identificar proativamente pontos fracos nos seus controles. Esse recurso permite testar e melhorar continuamente sua capacidade de detectar ameaças.
O Chrome Enterprise Premium oferece recursos de proteção de dados e contra ameaças que podem ajudar você a lidar com ameaças novas e em evolução, além de atualizar continuamente suas defesas contra riscos de exfiltração e malware.
O Cloud Next Generation Firewall (Cloud NGFW) oferece monitoramento de rede e de exfiltração de dados. Esses recursos podem ajudar você a validar a eficácia da sua postura de segurança atual e identificar possíveis pontos fracos. O monitoramento de exfiltração de dados ajuda a validar a força dos mecanismos de proteção de dados da sua organização e fazer ajustes proativos quando necessário. Ao integrar as descobertas de ameaças do Cloud NGFW com o Security Command Center e o Google SecOps, é possível otimizar a detecção de ameaças baseada em rede, otimizar a resposta a ameaças e automatizar playbooks.
Gerenciar e coordenar esforços de defesa cibernética
Essa recomendação é relevante para todas as áreas de foco.
Como descrito anteriormente em Integrar as funções de defesa cibernética, a função de controle de missão interconecta as outras funções do programa de defesa cibernética. Essa função permite a coordenação e o gerenciamento unificado em todo o programa. Ele também ajuda a coordenar com outras equipes que não trabalham com cibersegurança. A função de controle de missão promove empoderamento e responsabilidade, facilita a agilidade e a experiência e impulsiona responsabilidade e transparência.
Os produtos e recursos a seguir podem ajudar você a implementar a função de controle de missão:
- O Security Command Center atua como um hub central para coordenar e gerenciar suas operações de defesa cibernética. Ele reúne ferramentas, equipes e dados, além dos recursos de resposta integrados do Google SecOps. O Security Command Center oferece visibilidade clara do estado de segurança da sua organização e permite identificar configurações incorretas de segurança em diferentes recursos.
- O Google SecOps oferece uma plataforma para que as equipes respondam a ameaças mapeando registros e criando linhas do tempo. Também é possível definir regras de detecção e pesquisar ameaças.
- O Google Workspace e o Chrome Enterprise Premium ajudam você a gerenciar e controlar o acesso do usuário final a recursos confidenciais. É possível definir controles de acesso granulares com base na identidade do usuário e no contexto de uma solicitação.
- O monitoramento de rede fornece insights sobre o desempenho dos recursos de rede. É possível importar insights de monitoramento de rede para o Security Command Center e o Google SecOps para monitoramento e correlação centralizados com outros pontos de dados baseados em linha do tempo. Essa integração ajuda a detectar e responder a possíveis mudanças no uso da rede causadas por atividades maliciosas.
- O monitoramento de exfiltração de dados ajuda a identificar possíveis incidentes de perda de dados. Com esse recurso, é possível mobilizar de forma eficiente uma equipe de resposta a incidentes, avaliar danos e limitar a exfiltração de dados. Também é possível melhorar as políticas e os controles atuais para garantir a proteção de dados.
Resumo do produto
A tabela a seguir lista os produtos e recursos descritos neste documento e os mapeia para as recomendações e os recursos de segurança associados.
| Google Cloud produto | Recomendações aplicáveis |
|---|---|
| Google SecOps |
Use a função de inteligência em todos os aspectos da defesa cibernética:
permite a busca de ameaças e a correspondência de IoC, além de se integrar à
Mandiant para uma avaliação abrangente de ameaças.
Entenda e aproveite a vantagem do profissional de defesa: oferece detecções especializadas e centraliza dados de segurança para identificação proativa de comprometimento. Valide e melhore suas defesas continuamente: permite testes e melhorias contínuas dos recursos de detecção de ameaças.Gerenciar e coordenar esforços de defesa cibernética com o Mission Control: oferece uma plataforma para resposta a ameaças, análise de registros e criação de linhas do tempo. |
| Security Command Center |
Use a função de inteligência em todos os aspectos da defesa cibernética:
usa a IA para avaliar riscos, priorizar vulnerabilidades e fornecer
insights úteis para correção.
Entenda e aproveite a vantagem do seu defensor: oferece análise de risco abrangente, priorização de vulnerabilidades e identificação proativa de pontos fracos. Valide e melhore suas defesas continuamente: oferece avaliação contínua da postura de segurança e priorização de recursos.Gerenciar e coordenar os esforços de defesa cibernética pelo controle de missão: atua como um hub central para gerenciar e coordenar operações de defesa cibernética. |
| Chrome Enterprise Premium |
Use a função de inteligência em todos os aspectos da defesa cibernética:
protege os usuários contra riscos de exfiltração, evita malware e
oferece visibilidade sobre atividades não seguras no navegador.
Entenda e aproveite a vantagem do defensor: melhora a segurança dos dispositivos corporativos com proteção de dados, prevenção de malware e controle sobre extensões. Valide e melhore suas defesas continuamente: enfrente ameaças novas e em evolução com atualizações contínuas das defesas contra riscos de exfiltração e malware.Gerenciar e coordenar esforços de defesa cibernética pelo Mission Control: gerencie e controle o acesso do usuário final a recursos confidenciais, incluindo controles de acesso granulares. |
| Google Workspace | Gerenciar e coordenar esforços de defesa cibernética pelo Mission Control: gerencie e controle o acesso do usuário final a recursos confidenciais, incluindo controles de acesso granulares. |
| Network Intelligence Center | Use a função de inteligência em todos os aspectos da defesa cibernética: oferece visibilidade do desempenho da rede e detecta padrões de tráfego ou transferências de dados incomuns. |
| Cloud NGFW | Valide e melhore suas defesas continuamente: otimiza a detecção e a resposta a ameaças baseadas em rede por meio da integração com o Security Command Center e o Google SecOps. |