Caçando com Iscas: Como Criar Armadilhas para Cibercriminosos à Maneira de Suvorov

A segurança cibernética moderna exige abordagens inovadoras para combater ameaças cada vez mais sofisticadas. Uma dessas abordagens, inspirada em estratégias militares clássicas, é o uso de tecnologias de deception, ou ciberengano. O conceito central é criar "ativos falsos" – iscas e armadilhas – projetados para atrair e detectar atividades maliciosas sem comprometer os sistemas reais da organização. Essa estratégia, detalhada em um relatório técnico de Suril Desai, vice-presidente da Acalvio, foca em "não pelo número, mas pela habilidade", visando atrair o atacante com precisão e inteligência.

As tecnologias de deception funcionam com base no princípio de criar armadilhas e iscas que visam os objetivos do atacante, como acesso a sistemas críticos ou comprometimento de contas de usuário. Esses ativos falsos, que podem variar desde um arquivo de senhas "acidentalmente" deixado para trás até uma sessão de navegador salva, não participam dos fluxos de trabalho normais. Sua única finalidade é servir como um sinal confiável de atividade maliciosa quando interagidos. Uma das grandes vantagens dessa abordagem é que ela não depende das táticas, técnicas e procedimentos (TTPs) específicas do atacante. Independentemente do exploit ou script utilizado, o sistema de deception reage à intenção do invasor de acessar algo que não deveria, mantendo sua eficácia mesmo com a constante evolução das ferramentas dos atacantes. Para a "equipe azul" (defensores), as tecnologias de deception oferecem um meio de implementar múltiplos cenários de defesa, atuando como uma ferramenta de detecção de ameaças de alta precisão e auxiliando na caça proativa de ameaças (Threat Hunting), minimizando assim o dano potencial. Ao forçar os atacantes a gastar recursos em alvos falsos, as tecnologias de deception alteram a economia do ataque, permitindo que os defensores se concentrem em ativos verdadeiramente importantes.

Para construir uma defesa eficaz, é crucial entender a mentalidade do adversário. Isso envolve olhar para a infraestrutura da perspectiva de um invasor que já obteve acesso inicial. A principal tarefa do atacante após a infiltração é alcançar ativos de alto valor, que podem variar de bancos de dados de clientes a controladores de domínio. Para isso, o atacante precisa primeiro identificar a localização desses ativos valiosos e encontrar contas com os privilégios necessários para acessá-los, e em seguida, traçar um caminho (vetor de ataque) até eles. Essa fase de reconhecimento envolve a varredura da máquina comprometida, da rede e de serviços de diretório como o Active Directory (AD) ou DNS em busca de pistas como credenciais, arquivos de configuração e informações sobre outros hosts. Adversários experientes, como os de grupos APT, agem metodicamente para minimizar rastros, utilizando ferramentas especializadas como o BloodHound para planejar seus ataques. Sistemas de segurança tradicionais, focados em TTPs e assinaturas, podem falhar em detectar essa fase de reconhecimento, especialmente quando novas ferramentas são introduzidas. As tecnologias de deception, por outro lado, não dependem de técnicas ou assinaturas, detectando não apenas a varredura, mas também tentativas de ping ou acesso a portas de serviço conhecidas. Incidentes gerados por sistemas de deception podem complementar outros sistemas de segurança (SIEM, EDR), auxiliando na pontuação de incidentes e automatizando ações como bloqueios ou quarentenas de hosts suspeitos.

As tecnologias de deception categorizam suas ferramentas em quatro tipos principais: contas-isca (honey accounts), tokens-isca (honey tokens/baits), armadilhas (decoys) e iscas (baits). Essencialmente, existem duas entidades-chave: iscas e armadilhas. As iscas se dividem em duas categorias: de domínio (honey accounts) e de host (honey tokens, baits). As iscas de domínio incluem credenciais falsas no diretório do domínio e contas de serviço, como as iscas SPN (Service Principal Name). Um sistema de deception pode gerar essas credenciais falsas ou utilizar informações de registros de domínio inativos ou desativados. As iscas de host são artefatos criados em estações de trabalho, como arquivos de texto (password.txt) ou arquivos de configuração (config.yaml), além de favoritos de navegador, histórico, entradas de registro e histórico de comandos. Diferente das iscas de domínio, as de host contêm não apenas credenciais, mas também uma referência a uma armadilha. Elas são posicionadas em estações de trabalho e servidores para direcionar o atacante. Exemplos incluem senhas salvas em navegadores para portais inexistentes, entradas no arquivo hosts, ou um arquivo "passwords.txt" deixado na área de trabalho. Ao interagir com essas iscas, o atacante é levado a um ambiente controlado para análise. As iscas também podem ser usadas para identificar riscos associados a ações de insiders. As armadilhas (decoys), anteriormente conhecidas como honeypots, são alvos falsos na rede. Em vez de exigir a implantação de um servidor completo, as armadilhas modernas são emuladores leves de sistemas reais, capazes de imitar servidores de arquivos, aplicações web com vulnerabilidades conhecidas ou portas SSH. Elas servem como novos alvos para o atacante, permitindo a detecção de sua atividade na rede.

A arquitetura de deception ideal não se baseia em "bombardeio de carpet bombing" com armadilhas, mas sim em um planejamento estratégico. A quantidade de armadilhas deve ser cuidadosamente considerada: poucas podem passar despercebidas, enquanto um excesso pode levantar suspeitas. A definição do número ideal de armadilhas e iscas requer a resposta a perguntas como: quais segmentos da rede queremos proteger? Quais sistemas e ativos são valiosos para a empresa e para o atacante? Quais ações são realizadas por usuários e sistemas legítimos? Com base nessas informações, as sub-redes podem ser preenchidas com iscas relevantes, comparando o processo à pesca, onde a escolha do local, equipamento e isca são cruciais. Os princípios-chave para desenvolver uma estratégia de deception incluem: posicionamento, realismo e atratividade das iscas, garantindo que elas se integrem organicamente ao ambiente e pareçam um alvo fácil. O uso de modelagem de ameaças pode ajudar a identificar os ativos mais prováveis de serem alvos, permitindo que os defensores posicionem armadilhas ao redor desses ativos e iscas nos caminhos prováveis de acesso. A isolação é fundamental: nenhuma armadilha deve se tornar um ponto de pivô para o atacante, e todas as ações devem ser registradas e analisadas em um ambiente isolado (sandbox). A dinamicidade é igualmente importante, pois a infraestrutura e as táticas dos atacantes mudam constantemente, exigindo a atualização periódica de iscas e armadilhas para mantê-las relevantes e críveis. A frequência de atualização deve refletir a realidade dos ativos reais da empresa, como a frequência de troca de senhas dos usuários.

Para tornar uma isca convincente, é necessário um conhecimento aprofundado e uma abordagem meticulosa. A criação de uma conta falsa no Active Directory, por exemplo, envolve a consideração de mais de cem atributos de um objeto de usuário. O atributo userAccountControl, uma máscara de bits que define propriedades da conta, como "conta desativada" ou "senha não expira", requer uma configuração cuidadosa para evitar que a conta pareça recém-criada. A decisão de imitar um usuário comum ou uma conta de serviço, e a sua localização dentro da estrutura organizacional (OU), são cruciais. O objetivo é criar uma realidade alternativa convincente, mas totalmente controlada, onde cada ação do atacante seja monitorada. Em termos de atratividade para o atacante, credenciais privilegiadas são geralmente mais desejáveis do que credenciais comuns, pois abrem acesso a sistemas críticos. O nível de interatividade das armadilhas varia: baixo (apenas detecção de conexão), médio (troca de dados limitada, sem autenticação bem-sucedida) e alto (autenticação bem-sucedida em um ambiente isolado e monitorado). O nível de interatividade escolhido depende do objetivo: detecção simples ou caça a ameaças podem usar níveis baixos ou médios, enquanto a coleta de inteligência sobre ameaças ou o perfilamento de atacantes exigem níveis altos. Independentemente do nível, o objetivo principal é a detecção precoce. Uma estratégia eficaz é construir a estratégia de deception em torno de ativos-chave, identificando-os primeiro e, em seguida, analisando os caminhos de acesso a eles usando ferramentas como o BloodHound. A matriz MITRE ATT&CK é uma ferramenta valiosa para mapear as técnicas de ataque e identificar onde posicionar armadilhas e iscas. A busca proativa por ameaças, baseada em hipóteses específicas (como vazamento de dados), também pode ser aprimorada com iscas especializadas. Fontes de informação como resultados de campanhas anteriores de threat hunting, análise da arquitetura de rede e relatórios de inteligência de ameaças (Threat Intelligence) são essenciais para refinar a estratégia de deception.

Existem diversos cenários práticos para a aplicação de tecnologias de deception. Um cenário comum envolve a técnica de "living off the land", onde atacantes utilizam ferramentas legítimas do sistema. Por exemplo, uma isca SPN pode ser configurada para parecer um servidor SQL legítimo. Ao tentar obter um ticket Kerberos para esse serviço (técnica de Kerberoasting), o sistema de deception dispara um alerta. Essa técnica é difícil de detectar por meios tradicionais, pois o tráfego Kerberos é considerado legítimo. A combinação de SIEM, EDR e deception é recomendada nesses casos. Outro cenário eficaz é o combate a ameaças internas. Um administrador descontente, utilizando uma conta de serviço legítima para desativar usuários em massa, pode parecer estar realizando suas funções normais para sistemas de monitoramento tradicionais. No entanto, se uma conta-isca for criada no AD, a tentativa de desativá-la gerará um alerta, permitindo a intervenção. Este cenário demonstra a proteção de ativos críticos (contas e privilégios) onde o deception reage à tentativa de manipulação de um objeto valioso. Em ambientes de nuvem, onde atacantes usam táticas "living off the cloud" explorando APIs e SDKs, iscas como credenciais falsas ou chaves de API podem ser espalhadas em arquivos de configuração ou metadados de VMs. Qualquer tentativa de uso dessas credenciais falsas para acessar recursos na nuvem gerará um alerta. Esses exemplos ilustram como construir uma arquitetura de engano bem pensada, protegendo ativos-chave, cobrindo vetores de ataque com a matriz MITRE ATT&CK e criando armadilhas direcionadas para cenários de ameaças específicos. Para empresas iniciantes, a recomendação é começar com iscas (honey tokens), dada a sua simplicidade e eficácia inicial.