Como a segmentação beneficia as empresas de RI e de recuperação na resposta a incidentes

Apesar dos gastos registrados com segurança, as violações ainda são comuns. Em seus Relatório de custo de uma violação de dados de 2022, a IBM entrevistou centenas de organizações que foram violadas e 83% revelaram que foram vítimas de violações mais de uma vez.

Se você for violado, geralmente uma das primeiras ligações a fazer é para sua seguradora cibernética, que normalmente paga por uma empresa digital forense e de resposta a incidentes (DFIR) ou uma empresa de recuperação para interromper o ataque, realizar a remediação e conduzir uma investigação forense.

O desafio para essas empresas é que elas são convidadas a entrar em redes que não conhecem, essencialmente cegas. E então eles estão trabalhando contra o relógio para limitar o impacto e os danos causados à sua empresa.

Sua seguradora também investe fortemente na minimização do impacto das violações, pois quanto mais um ataque se espalha, mais dispositivos são comprometidos, e isso significa que mais tempo e dinheiro são gastos para corrigi-los. Como resultado, os prêmios de seguro cibernético têm aumentado devido às perdas financeiras das operadoras devido ao aumento do número de pagamentos por violações.‍

Por que a segmentação Zero Trust é eficaz na resposta a incidentes

Illumio provou a eficácia do Segmentação Zero Trust (ZTS) em contratos de resposta a incidentes para contenção e recuperação de violações:

• O Illumio ZTS ajuda você a ver o ambiente, fornecendo visibilidade imediata da rede para equipes de DFIR e recuperação que acessam redes que nunca viram antes.
• O Illumio ZTS não afeta a rede física do cliente, o que elimina a necessidade de criar VLANs ou usar firewalls, uma parte comum dos contratos de IR.
• O Illumio ZTS impede a propagação de violações e aumenta a velocidade da recuperação priorizando as funções comerciais mais críticas do cliente, mesmo antes da conclusão do processo de investigação ou recuperação — e mesmo quando o atacante ainda está no ambiente.

As seguradoras estão na linha de frente respondendo ao aumento dos ataques cibernéticos e reconhecem que a segmentação pode impedir a propagação de malware em primeiro lugar, reduzindo drasticamente a superfície de ataque.

‍

Como a segmentação funciona em engajamentos ativos e pós-violação

Em um violação ativa, o Illumio é implantado junto com as ferramentas de EDR, aumentando o tempo alocado do EDR para detectar e corrigir ameaças. A equipe de IR da Illumio gerencia o inquilino em nome do DFIR ou do parceiro de recuperação e usa a segmentação para restaurar linhas de negócios inativas, impedir a propagação de violações e separar de forma inteligente o sistema infectado em tempo real.

Em um pós-violação engajamento, o Illumio é implantado após o contrato com o DFIR e, aqui, a segmentação é usada para auxiliar na proteção de aplicativos essenciais para requisitos de seguro ou medidas de emergência. A equipe de IR da Illumio também pode bloquear proativamente vetores de ataques comuns contra ameaças futuras.

Em ambos os tipos de contratos, os parceiros da Illumio têm acesso 24 horas por dia, 7 dias por semana, aos especialistas da Illumio com ampla experiência trabalhando em violações ativas e reais ao lado das principais empresas de DFIR e recuperação. Como nossa equipe é uma extensão de nossos parceiros do DFIR, garantimos que entendemos suas ferramentas e fluxos de trabalho de acordo com a forma como eles abordam violações reais. Nossa equipe cria locatários da Illumio que são totalmente personalizados para gerenciamento e fluxos de trabalho de projetos de IR e recuperação, e os locatários são fornecidos gratuitamente aos nossos parceiros.‍

A equipe de RI da Illumio trabalha em violações ao lado do DFIR e das empresas de recuperação

Em uma violação ativa, uma das principais coisas que o Illumio ZTS pode fazer usando a segmentação é evitar a reinfecção separando os ambientes comprometidos em bolhas “limpas” e “sujas”.

O ambiente sujo é segmentado para incluir apenas dispositivos infectados que estão contidos e essencialmente colocados em quarentena durante todo o trabalho de resposta e recuperação, mas ainda permitindo que a empresa de IR os acesse. A Illumio cria uma bolha de “recuperação” para que a empresa de recuperação tenha acesso aos dados de que precisa.

O Illumio então configura uma caixa “limpa”, onde todos os dispositivos limpos e corrigidos são colocados online novamente. Fazemos isso para que a equipe de IR ou de recuperação não precise criar VLANs ou redes separadas antes de começar seu trabalho.

Por fim, começamos a segmentar aplicativos comerciais essenciais para colocá-los on-line mais rapidamente em comparação com os métodos tradicionais que usam ferramentas antigas e rearquitetam a rede física.‍

A segmentação muda de forma que a resposta a incidentes pode ser feita

Em muitos casos, você não pode recuperar linhas de negócios enquanto não tem certeza se o invasor está ativo no ambiente. Isso significa que você geralmente precisa primeiro implantar o EDR em todos os lugares e obter um atestado de saúde completo — e só então poderá seguir em frente. Isso pode consumir uma quantidade grande de tempo valioso quando uma equipe está trabalhando contra o relógio.

Tomemos, por exemplo, uma empresa de manufatura que foi atingida por um ransomware que desativou sua área de produção. Eles precisam produzir bens, mas não conseguem. A equipe de IR da Illumio analisa a brecha ativa, segmenta o ambiente comprometido em bolhas — mesmo que o invasor ainda esteja ativo no ambiente — e ajuda a colocar o ambiente de produção on-line novamente e a devolver o acesso ao fabricante para que as operações voltem a funcionar, com o trabalho de investigação e recuperação feito em paralelo.‍

O Programa de Parceiros de Resposta aos Incidentes da Iluminação

A Illumio tem o prazer de anunciar nossa novo programa de parceiros de resposta a incidentes, projetada para trabalhar com as principais empresas de DFIR e de recuperação para incluir a ZTS como parte de contratos forenses e de IR. Para clientes que estão enfrentando o impacto de uma violação de segurança, a Illumio os ajuda a se recuperarem mais rapidamente, priorizando a remediação para que seus negócios voltem a funcionar, muito mais rápido do que as coisas eram feitas tradicionalmente.

Para nossos parceiros de DFIR e de recuperação, a Illumio fornece uma equipe de suporte experiente e sob demanda, locatários personalizados em espera e um programa projetado para integrar a segmentação aos fluxos de trabalho existentes e, ao mesmo tempo, oferecer total confidencialidade em todos os contratos.

Se você quiser saber mais sobre nosso Programa de Parceiros de Resposta a Incidentes, entre em contato com Ben Harel, Chefe de Resposta a Incidentes da Illumio em [email protected].

Ou, se você estiver interessado em se tornar um parceiro de resposta a incidentes, saiba mais aqui.