Demissão sem Saída: Duas Camadas de Proteção Contra Ameaças Internas

Demissão sem Saída: Duas Camadas de Proteção Contra Ameaças Internas

Uma situação comum em muitas empresas é a de ex-funcionários que, mesmo após a demissão, continuam a ter acesso a informações corporativas. Isso geralmente ocorre devido a falhas no processo de offboarding, onde contas de usuários não são desativadas de forma imediata e completa. No nosso primeiro caso, o Diretor de TI recém-contratado se deparou com essa realidade logo na sua segunda semana de trabalho. Ao ser questionado pelo CEO sobre ex-funcionários recebendo e-mails corporativos, descobriu que as contas de demitidos eram desativadas "situacionalmente", o que significava que, na prática, muitas permaneciam ativas por um período considerável. Essa negligência permitiu que informações confidenciais, como estruturas organizacionais, dados de contratação e demissão, e até mesmo projetos de contratos comerciais, circulassem indevidamente. O incidente, embora não tenha resultado em um vazamento malicioso, evidenciou uma grave falha na disciplina de offboarding.

O problema se aprofundou quando foi descoberto que contas de funcionários remotos, que haviam se desligado no mês anterior, também permaneciam ativas e, segundo os logs, eram ocasionalmente acessadas por seus antigos proprietários. Essa situação é ainda mais alarmante, pois indica que a proteção de dados corporativos estava se tornando um "queijo suíço". Para ilustrar a gravidade potencial, o artigo cita um caso de janeiro de 2024, onde uma empresa de segurança processou um ex-engenheiro que, antes de ser demitido, baixou 50 GB de código-fonte e documentação de novos desenvolvimentos. A perda de vantagem tecnológica foi estimada em 30% da receita anual, e o processo judicial se complicou pela falta de evidências concretas sobre o momento exato do download. Dados do Ponemon Institute de 2024 reforçam essa preocupação, indicando que 74% das empresas nos EUA enfrentaram roubo de dados por insiders durante demissões nos últimos dois anos, com um prejuízo médio de US$ 15,4 milhões, sendo que 89% dos casos foram descobertos post-factum.

Case 1: Active Directory como um Arquivo de Erros

Qualquer Active Directory (AD) com mais de dois anos de existência tende a se tornar um repositório de erros passados. Contas de funcionários demitidos que não foram desativadas, contas de teste deixadas ativas, contas de serviço com senhas antigas e membros de grupos privilegiados adicionados "temporariamente" por administradores anteriores são exemplos comuns. Essas "impurezas" se acumulam naturalmente. Embora existam ferramentas de auditoria como PingCastle, BloodHound e ADRecon, elas fornecem dados, mas não respondem à pergunta crucial: "Quais dessas descobertas são relevantes para a minha empresa hoje?". Essa análise e priorização é responsabilidade de um engenheiro de segurança da informação, uma posição muitas vezes não prevista em orçamentos atuais. Diante dessa lacuna, a solução apresentada é a implementação de um agente de auditoria de AD, o AD Audit Agent, integrado a uma plataforma de IA. Este agente executa regularmente sete verificações para identificar vetores de ataque potenciais, como "Privileged group sprawl" (contas em grupos de administradores de domínio), "Stale accounts" (contas inativas), políticas de senha fracas, contas de serviço vulneráveis a Kerberoasting, senhas que nunca expiram, contas privilegiadas desativadas (risco de ressurreição) e "domain trusts" (vetores de movimento lateral). O relatório gerado destaca as descobertas mais críticas, como a desativação completa da política de bloqueio de contas, contas ativas sem histórico de login, senhas mínimas curtas, contas de administrador integradas com senhas que nunca expiram e contas de serviço sem SPN. A análise de "Attack Path" avalia como essas vulnerabilidades podem se combinar para criar cenários catastróficos, como o controle total do domínio ou o comprometimento de sistemas críticos como o 1C, que em empresas brasileiras representa um ponto único de falha para todo o negócio.

Case 2: Sobre Intenções e Ações

Enquanto o AD Audit aborda o que já foi comprometido, o "Insider Watch Agent" foca em identificar funcionários que estão ativamente se preparando para sair, potencialmente levando dados consigo. Para isso, utiliza a tecnologia de User Behavior Analytics (UBA), que analisa a atividade normal de cada usuário e detecta desvios que podem indicar uma ameaça. Imagine um "segurança inteligente" que conhece os hábitos de cada funcionário: horários de login, acesso a sistemas, uso de recursos externos, etc. Quando um padrão incomum é detectado – como um login em horário não comercial, acesso a arquivos confidenciais nunca antes acessados, cópia massiva de dados para dispositivos externos, ou um aumento súbito na visita a sites de emprego como LinkedIn ou Vagas.com – o sistema UBA gera um alerta. Cada ação individualmente pode ser legal, mas a combinação delas forma um padrão de risco que requer atenção imediata. A dificuldade em implementar UBA em larga escala reside na quantidade massiva de dados gerados diariamente por sistemas como Active Directory, EDR, servidores de arquivos e proxies. SOCs tradicionais tendem a focar em alertas isolados, sem correlacionar eventos para formar um perfil de comportamento de um indivíduo. Soluções comerciais de UBA podem ser extremamente caras e ainda assim gerar um volume de alertas que sobrecarrega as equipes. A solução proposta é um agente de IA que agrega e interpreta esses alertas, priorizando a resposta. Este agente, o "Insider Watch Agent", opera em duas frentes: um "Registro de Atividade" que compila métricas diárias de cada funcionário (horários de login, processos executados, acessos a recursos, etc.) e um "Consultor Experiente" (baseado em modelos como Claude Sonnet) que interpreta esses dados. Ele diferencia atividades normais de padrões de risco, como um aumento de atividade combinado com logins noturnos e acesso a recursos incomuns. Um teste simulado de exfiltração de dados por um usuário "normal" resultou em um alerta de "atenção", mas não de escalada crítica, pois o contexto (conta operacional de um agente de IA) sugeria um falso positivo. Em contrapartida, o mesmo cenário executado por uma "funcionária em processo de demissão" gerou um alerta crítico, recomendando escalonamento imediato. Essa capacidade de discernimento, considerando o contexto e a probabilidade real de ameaça, é o valor central de um sistema UBA eficaz.

Conclusão: Dois Camadas, Uma Proteção

Os agentes AD Audit e Insider Watch, implementados na plataforma de IA, atuam como camadas sequenciais e complementares de proteção. O AD Audit garante que as portas estejam fechadas para ex-funcionários que não deveriam mais ter acesso, verificando permissões e contas inativas. O Insider Watch, por sua vez, monitora o comportamento dos funcionários que estão saindo no momento, identificando atividades suspeitas que possam indicar exfiltração de dados. Sem o AD Audit, um ex-funcionário demitido há um ano pode ter acesso a sistemas críticos. Sem o Insider Watch, um funcionário em período de aviso prévio pode extrair informações valiosas durante duas semanas antes que seu acesso seja revogado. A proteção completa envolve a execução do AD Audit semanalmente para fechar as "portas antigas" e o monitoramento diário do Insider Watch para observar aqueles que estão saindo agora. Essa abordagem em duas camadas, potencializada pela inteligência artificial, oferece uma defesa robusta contra ameaças internas, tanto as passivas (contas esquecidas) quanto as ativas (intenções de exfiltração de dados).