Caminhos de exfiltração de dados

Durante uma auditoria de segurança de um fornecedor de TI para a área da saúde, os auditores identificaram que a equipe de sucesso do cliente do fornecedor enviava regularmente extrações de dados de clientes para suas contas de e-mail pessoais, a fim de trabalhar em apresentações e relatórios fora do horário de expediente. O comportamento não era mal-intencionado: os funcionários precisavam dos dados para preparar materiais para reuniões com clientes, seus laptops corporativos eram lentos e os dispositivos pessoais eram mais práticos para trabalhar no fim de semana. Não havia DLP no sistema de e-mail do fornecedor. Não havia política que tratasse especificamente do uso de dispositivos pessoais com dados de clientes. Os dados saíam do ambiente controlado do fornecedor por e-mail e chegavam a dispositivos pessoais, contas pessoais em nuvem e redes domésticas sem controles de segurança, sem exigência de criptografia e sem monitoramento. Os controles de segurança do fornecedor (sua excelente criptografia de banco de dados, seus controles de acesso baseados em funções, seu monitoramento de segurança) se aplicavam todos aos sistemas em que os dados residiam. Nenhum deles se aplicava ao anexo do Gmail em que os dados viajavam.

Quais são, de fato, os caminhos de exfiltração de dados?

A exfiltração de dados é a transferência não autorizada de dados de um ambiente controlado para um ambiente não controlado, seja por má intenção, negligência de funcionários ou atalhos motivados pela conveniência que contornam os controles de segurança. Os caminhos de exfiltração são os canais pelos quais os dados podem sair do ambiente controlado: e-mail, dispositivos USB, uploads para armazenamento em nuvem, captura de tela, impressão, chamadas de API e qualquer outro mecanismo que permita que os dados passem de um sistema governado para um sistema não governado. Compreender todo o conjunto de caminhos de exfiltração, e não apenas os óbvios, é pré-requisito para implementar controles que reduzam de forma significativa o risco de exfiltração, em vez de criar uma barreira seletiva em torno dos canais mais visíveis.

O problema dos caminhos de exfiltração é, fundamentalmente, de completude. Os programas de segurança costumam implementar controles nos canais de exfiltração mais visíveis, mais explorados e mais acessíveis tecnicamente: DLP de e-mail, bloqueio de USB, monitoramento de uploads pela web. Esses controles oferecem proteção genuína contra os padrões de exfiltração que cobrem. O risco é que os controles criem um perímetro incompleto, cobrindo alguns canais e deixando outros sem tratamento, e que a exfiltração ocorra pelos canais não tratados, e não pelos controlados. A sofisticação da exfiltração não precisa igualar a sofisticação dos controles; ela só precisa encontrar um caminho que os controles não cobrem.

O fator humano na exfiltração é a dimensão mais frequentemente subestimada nos programas técnicos de segurança. O insider mal-intencionado que contorna deliberadamente os controles de segurança é uma ameaça real e significativa. Mas a maioria dos eventos de exfiltração de dados que as organizações investigam envolve funcionários que não agiam com má intenção: estavam resolvendo um problema de conveniência, cumprindo um prazo ou trabalhando como sempre trabalharam, sem entender as implicações para a segurança dos dados. A gerente de sucesso do cliente que enviou a extração de dados para o Gmail não planejava roubar dados de clientes. Planejava terminar uma apresentação. A exfiltração foi o efeito colateral de uma decisão de fluxo de trabalho, não um ataque de segurança. Controles projetados para detectar exfiltração mal-intencionada podem deixar passar completamente a exfiltração motivada pela conveniência que usa os mesmos canais.

O risco de exfiltração de dados se concentra em cinco categorias específicas de caminhos nos ambientes de fornecedores:

E-mail e armazenamento em nuvem pessoais: funcionários que encaminham dados para contas de e-mail pessoais ou os enviam para armazenamento em nuvem pessoal (Google Drive, Dropbox, iCloud) para trabalhar de casa ou por conveniência
Mídias removíveis: unidades USB, discos rígidos externos e outros dispositivos de armazenamento removíveis usados para transferir dados de sistemas gerenciados para dispositivos não gerenciados
Captura de tela e fotografia: dados capturados por meio de capturas de tela, gravações de tela ou fotos do conteúdo da tela tiradas com o celular, um canal que o DLP técnico não consegue interceptar
Impressão e mídias físicas: dados sensíveis impressos para uso externo, documentos físicos retirados do ambiente controlado
Acesso não autorizado por API e integrações: dados extraídos por meio de chamadas de API ou conexões de integração autorizadas para a integração, mas usadas para exportar dados além do escopo pretendido

Por que isso importa

A governança dos caminhos de exfiltração de dados é importante para TPRM porque o risco de exfiltração que um fornecedor apresenta não é determinado pela solidez dos controles que ele implementou nos canais que tratou, mas pela completude dos controles em todos os canais pelos quais os dados podem trafegar. Um fornecedor com DLP de nível corporativo no e-mail institucional, mas sem DLP no encaminhamento para e-mail pessoal, implementou um controle que tanto atacantes sofisticados quanto funcionários em busca de conveniência podem contornar com a mesma ação simples: encaminhar para o Gmail.

A dimensão de maiores consequências do ponto de vista de TPRM é o cenário de exfiltração por caminho autorizado, em que os dados saem por um canal que existe para uma finalidade legítima, mas cujo escopo se expandiu além do uso pretendido. Uma integração via API concebida para viabilizar um caso de uso de relatórios e usada para extrair registros de clientes em massa é exfiltração por caminho autorizado. Uma gerente de sucesso do cliente com acesso legítimo a dados de clientes que os exporta para preparar uma reunião é exfiltração por caminho autorizado. Esses cenários exigem controles que tratem não apenas de se um canal é usado, mas de se o escopo de uso nesse canal é compatível com a finalidade pretendida.

Para profissionais de TPRM, a avaliação dos caminhos de exfiltração exige ir além da confirmação do DLP e perguntar sobre os canais específicos pelos quais os dados podem trafegar e se existem controles para cada um. O cenário do anexo do Gmail é um dos padrões de exfiltração de dados mais comuns em ambientes corporativos. Confirmar que o DLP corporativo cobre o e-mail institucional, deixando sem tratamento o encaminhamento para e-mail pessoal, é confirmar um controle que o padrão de exfiltração mais comum contorna.

Onde a maioria das equipes erra

A falha mais recorrente é avaliar a cobertura do DLP nos canais principais e concluir que o risco de exfiltração está gerenciado. O DLP no e-mail corporativo, o bloqueio de USB nos endpoints e o monitoramento de uploads pela web são as implementações padrão de DLP que a maioria das avaliações de fornecedores confirma. Elas tratam dos canais que estão no escopo da ferramenta de DLP. O encaminhamento para e-mail pessoal, o armazenamento em nuvem pessoal, a captura de tela e a impressão são canais que as implementações padrão de DLP frequentemente não cobrem, e representam os caminhos pelos quais ocorre a exfiltração mais comum, motivada pela conveniência.

A segunda falha é não perguntar sobre as políticas de uso de dispositivos e contas pessoais pelos funcionários. Um fornecedor sem uma política que trate especificamente da possibilidade de os funcionários usarem contas pessoais para fins de trabalho não fechou, no nível da política, o caminho de exfiltração por canais pessoais, independentemente dos controles técnicos existentes nos sistemas corporativos. A ausência de uma proibição clara de trabalhar com dados de clientes em dispositivos pessoais é, por si só, uma lacuna de governança dos caminhos de exfiltração.

Confirmar o DLP no e-mail corporativo sem avaliar o encaminhamento para e-mail pessoal, o caminho de exfiltração motivada pela conveniência mais comum
Nenhuma avaliação das políticas de uso de dispositivos pessoais: se os funcionários podem usar dispositivos ou contas pessoais em trabalhos que envolvem dados de clientes
Captura de tela e impressão não tratadas: caminhos físicos de exfiltração que o DLP técnico não consegue interceptar
Escopo dos caminhos autorizados não avaliado: se o acesso por API e integrações é monitorado quanto à compatibilidade do escopo com o uso pretendido
Detecção e prevenção de exfiltração não diferenciadas: detectar a exfiltração depois que ela ocorre ou impedir que os canais sejam usados

Como é uma boa prática

Programas maduros de controle de exfiltração mapeiam todo o conjunto de canais pelos quais os dados podem sair do ambiente controlado e implementam controles ou medidas compensatórias para cada um. O escopo da cobertura do DLP é abrangente, e não seletivo. As políticas de uso de dispositivos e contas pessoais são explícitas e aplicadas. E a detecção de exfiltração complementa a prevenção, monitorando anomalias de escopo nos canais autorizados que os controles de prevenção não conseguem tratar.

Cobertura abrangente do DLP: e-mail corporativo, encaminhamento para e-mail pessoal, uploads para armazenamento em nuvem, USB e uploads pela web com DLP aplicado de forma consistente
Política de dispositivos e contas pessoais: proibição explícita do uso de e-mail, armazenamento em nuvem ou dispositivos pessoais em trabalhos que envolvem dados de clientes
DLP de endpoint, incluindo mídias removíveis: bloqueio de USB e monitoramento da área de transferência nos endpoints gerenciados
Monitoramento do escopo de API e integrações: detecção de anomalias nos volumes de chamadas de API que indiquem extração de dados além do escopo pretendido da integração
Governança de impressão e capturas de tela: políticas e, quando tecnicamente viável, controles que tratem dos canais físicos de exfiltração

Ferramentas

Um controle abrangente de exfiltração exige ferramentas em camadas que cubram os canais de rede, de endpoint e de nuvem.

DLP de endpoint: Microsoft Purview Endpoint DLP, CrowdStrike, Forcepoint

As ferramentas de DLP de endpoint monitoram e controlam os fluxos de dados no nível do endpoint, detectando e bloqueando dados sensíveis copiados para dispositivos USB, enviados para armazenamento em nuvem, encaminhados para e-mail pessoal ou capturados em capturas de tela. O Microsoft Purview Endpoint DLP cobre especificamente endpoints Windows e se integra ao marco mais amplo de classificação de dados do Purview. Para profissionais de TPRM, perguntar se o fornecedor utiliza DLP de endpoint que cubra o encaminhamento para e-mail pessoal e os uploads para armazenamento em nuvem é a pergunta específica sobre capacidade que revela a lacuna do anexo do Gmail.

Segurança de e-mail com DLP: Proofpoint, Mimecast, Microsoft Defender for Office 365

As plataformas de segurança de e-mail com recursos de DLP inspecionam os e-mails de saída em busca de dados sensíveis, aplicando políticas baseadas em classificação para detectar e bloquear e-mails que contenham informações pessoais, dados financeiros ou credenciais. É fundamental notar que esses controles se aplicam ao envio pelo e-mail corporativo, mas não conseguem impedir que os funcionários acessem serviços de webmail (Gmail, Outlook.com) pelo navegador em um dispositivo corporativo. É necessário um DLP de endpoint que bloqueie uploads para webmail pelo navegador para tratar o caminho de exfiltração pelo webmail pessoal.

Análise do comportamento de usuários e entidades: Exabeam, Varonis, Microsoft Sentinel

As plataformas de UEBA detectam padrões anômalos de comportamento de usuários que indicam possível exfiltração: volumes incomuns de acesso a dados, atividade fora do horário, downloads de arquivos grandes seguidos de uploads externos e outros indicadores comportamentais que sugerem a preparação de dados para exfiltração. Para profissionais de TPRM, perguntar se o fornecedor utiliza UEBA para detectar padrões comportamentais de exfiltração é uma pergunta sobre capacidade de detecção que complementa as perguntas sobre prevenção via DLP.

Desafios de governança

O desafio de governança da cobertura dos caminhos de exfiltração é o problema da completude. Cada novo tipo de dispositivo, novo canal de comunicação e nova ferramenta de colaboração acrescenta um caminho potencial de exfiltração. Programas de DLP que eram abrangentes quando foram concebidos podem desenvolver lacunas de cobertura à medida que o cenário de canais evolui: um programa de DLP concebido antes de o Slack se tornar um dos principais canais de comunicação no trabalho pode não ter nenhum DLP para o Slack. O inventário de caminhos de exfiltração exige revisão periódica à medida que o ambiente de dados evolui.

Para programas de TPRM, a questão prática de governança não é apenas se existe DLP, mas se o mapa de cobertura do DLP foi comparado com os canais pelos quais os dados realmente circulam no ambiente do fornecedor. Um fornecedor capaz de descrever o escopo do seu DLP e confirmar que ele cobre o encaminhamento para e-mail pessoal, o armazenamento em nuvem pessoal e as mídias removíveis refletiu sobre a completude dos caminhos de exfiltração. Um fornecedor cuja confirmação de DLP descreve a proteção do e-mail corporativo sem tratar dos canais pessoais confirmou um perímetro parcial.

Perguntar sobre a cobertura do DLP para e-mail pessoal e armazenamento em nuvem: se o encaminhamento para canais pessoais é tratado
Perguntar sobre as políticas de uso de dispositivos pessoais: proibição explícita do uso de dispositivos pessoais em trabalhos com dados de clientes
Perguntar sobre o incidente de exfiltração mais recente: qual canal foi usado e qual controle o detectou ou deixou de detectá-lo
Incluir o mapeamento dos caminhos de exfiltração na avaliação: inventário de canais comparado com a cobertura do DLP
Perguntar sobre o monitoramento do escopo de API: detecção de anomalias em integrações autorizadas para extrações de dados que excedam o escopo

Se você faz parte de uma equipe pequena

Faça aos seus fornecedores de maior risco duas perguntas que vão além da confirmação do DLP e chegam à cobertura real dos canais. Primeira: o seu DLP cobre funcionários que encaminham dados para o Gmail ou outras contas de e-mail pessoais a partir de dispositivos corporativos? Especificamente, um funcionário que enviasse uma extração de dados de clientes para sua conta pessoal acionaria um alerta do DLP ou seria bloqueado? Segunda: qual é a sua política sobre o uso, pelos funcionários, de dispositivos pessoais ou contas pessoais em nuvem para trabalhar com dados de clientes fora do escritório? A primeira pergunta testa a cobertura técnica. A segunda testa a cobertura de políticas. Juntas, elas revelam a lacuna dos canais pessoais, o caminho de exfiltração motivada pela conveniência mais comum.

Perguntar se o encaminhamento para e-mail pessoal gera alertas do DLP ou é bloqueado
Perguntar sobre a política de uso de dispositivos e contas pessoais com dados de clientes
Perguntar sobre o incidente de exfiltração de dados mais recente e qual canal estava envolvido
Perguntar se USB e mídias removíveis são bloqueados nos endpoints gerenciados

O que exigir

Pergunte diretamente:

“Se um funcionário enviasse uma extração de dados de clientes para sua conta pessoal do Gmail a partir do laptop corporativo, os seus controles de DLP detectariam ou bloqueariam essa ação? E o que, especificamente, cobre o encaminhamento para e-mail pessoal nos endpoints gerenciados?”

“Qual é a sua política sobre o uso, pelos funcionários, de dispositivos pessoais, contas de e-mail pessoais ou armazenamento em nuvem pessoal em trabalhos que envolvem dados de clientes? E essa política é aplicada tecnicamente, em vez de depender apenas do cumprimento pelos funcionários?”

“Vocês tiveram algum incidente de exfiltração de dados nos últimos dois anos, inclusive exfiltração motivada pela conveniência por funcionários que não agiam com má intenção? Qual canal estava envolvido e qual controle falhou ou funcionou?”

O que esperar como evidência

Confirmação da cobertura do DLP para o encaminhamento a e-mail pessoal: controle técnico ou reconhecimento explícito da lacuna
Documentação da política de dispositivos e contas pessoais: proibição explícita e mecanismo de aplicação
Histórico de incidentes de exfiltração: incidentes recentes, canal envolvido e resultado do controle
Confirmação do controle de USB e mídias removíveis nos endpoints gerenciados

Um fornecedor que responde à pergunta sobre o encaminhamento para o Gmail com “nosso DLP cobre o e-mail” deve ser questionado se essa cobertura se aplica quando um funcionário abre o Gmail no navegador do laptop corporativo e anexa um arquivo. O DLP do e-mail corporativo e o DLP do webmail pessoal exigem implementações de controle diferentes. Confirmar o primeiro não confirma o segundo.

Como comprovar

A prevenção da exfiltração de dados é tratada no Requisito 12 do PCI-DSS (políticas de segurança da informação), nas salvaguardas de treinamento da força de trabalho e de gestão de acessos do HIPAA e no NIST SP 800-53 SI-12 (gestão e retenção de informações). Demonstrar a devida diligência exige evidências de que a cobertura dos caminhos de exfiltração foi avaliada em todo o cenário de canais, e não apenas nos sistemas principais de DLP.

Registros de avaliação de fornecedores que documentam as perguntas sobre a cobertura do DLP em canais pessoais e sobre a política de dispositivos pessoais
Documentação do escopo de cobertura do DLP: canais cobertos e canais não cobertos
Evidências da política de dispositivos e contas pessoais
Registros do histórico de incidentes de exfiltração e do resultado dos controles

Principal conclusão

A exfiltração de dados normalmente não é um ataque sofisticado. Normalmente é um funcionário que precisava terminar algo, pegou o caminho mais fácil disponível e enviou uma planilha para o Gmail. O ataque sofisticado exige derrotar os controles sofisticados. A exfiltração motivada pela conveniência exige apenas que o caminho conveniente exista e que os controles não o cubram. O DLP no e-mail corporativo não cobre o Gmail no navegador. O bloqueio de USB no endpoint não cobre o upload para o Dropbox. O inventário de caminhos de exfiltração é o mapa de todas as formas pelas quais os dados podem sair. O mapa de cobertura do DLP é o mapa dos caminhos que os controles tratam. A distância entre esses dois mapas é o risco de exfiltração. Pergunte quais canais estão cobertos. Pergunte quais não estão. A planilha que foi para o Gmail percorreu um caminho que ninguém mapeou.