CISA recomenda cyber decoys para detetar ataques

A Cybersecurity and Infrastructure Security Agency (CISA) publicou novas orientações para ajudar organizações de infraestruturas críticas a implementar cyber decoys, sistemas concebidos para atrair atacantes e tornar a sua atividade mais fácil de detetar e analisar.

A abordagem complementa os modelos Zero Trust. Enquanto estes exigem a verificação contínua dos acessos, os cyber decoys partem do princípio de que um atacante pode já ter conseguido entrar no ambiente da organização.

“Os cyber decoys são ativos que aparentam ser sistemas, contas ou dados legítimos, mas são concebidos para distrair os adversários, detetar a sua presença ou facilitar a recolha de informação sobre ciberameaças”, explica a CISA.

Estes mecanismos podem assumir diferentes formas, incluindo lures, tripwires, artefactos falsos, honeytokens e honeypots. O objetivo é criar elementos com os quais os utilizadores legítimos raramente ou nunca interagem, permitindo que qualquer atividade associada gere alertas com maior probabilidade de corresponder a uma ação maliciosa.

A CISA recomenda que os cyber decoys sejam posicionados de forma a interferir com as fases de reconhecimento e movimentação dos atacantes. Podem, por exemplo, apresentar uma imagem enganadora da infraestrutura, encaminhar os atacantes para dados falsos ou levá-los a descarregar grandes volumes de informação sem valor.

Outra possibilidade passa por direcionar a atividade para ambientes controlados, onde as técnicas utilizadas pelos atacantes podem ser observadas e analisadas sem expor sistemas ou informação reais.

Segundo a agência norte-americana, estas técnicas podem ser introduzidas de forma gradual e escalável, sem exigirem necessariamente alterações profundas à arquitetura existente.

Implementação dividida em três fases

As orientações organizam a utilização dos cyber decoys num processo de preparação, execução e análise. Antes da implementação, as organizações devem avaliar as ameaças relevantes, definir objetivos, determinar os comportamentos que pretendem provocar nos atacantes e estabelecer métricas para avaliar os resultados.

Depois da execução, os dados recolhidos devem ser transformados em informação útil para as equipas de segurança, permitindo ajustar os mecanismos de deteção e resposta e identificar aspetos que necessitam de melhoria.

A CISA considera estes sistemas particularmente relevantes perante atacantes que recorrem a credenciais legítimas, ferramentas nativas dos sistemas e técnicas living off the land (LOTL) para realizar reconhecimento, movimentação lateral e acesso a dados. Este tipo de atividade pode ser mais difícil de distinguir das operações legítimas através dos mecanismos tradicionais de segurança.