ISO/IEC 27001:2022 e MITRE ATT&CK na Arquitetura Moderna de Cibersegurança: Por Que Não Devem Ser Contrapostos

No cenário profissional de segurança da informação, tem-se ouvido cada vez mais a tese de que os padrões clássicos da família ISO/IEC 27000 supostamente perderam seu valor prático para a cibersegurança moderna. Normalmente, essa posição é acompanhada por afirmações de que a proteção real hoje é construída em torno do MITRE ATT&CK, Threat Hunting, DFIR (Digital Forensics and Incident Response), Detection Engineering e SOC (Security Operations Center), enquanto a ISO/IEC 27001 é percebida exclusivamente como um compliance-framework para auditoria e certificação.

Essa visão se tornou especialmente popular em meio ao crescimento de ecossistemas de ransomware, ataques à infraestrutura de nuvem, comprometimento de sistemas de identidade, ataques à cadeia de suprimentos, abuso de ferramentas administrativas legítimas e ataques sem o uso de malware clássico. À primeira vista, essa lógica parece convincente. De fato, a ISO/IEC 27001:2022 não descreve lateral movement (movimentação lateral), credential dumping (extração de credenciais), persistence techniques (mecanismos de persistência), command-and-control, privilege escalation e defense evasion. Muitos tiram a conclusão errada de que, se o padrão não descreve ataques modernos, então ele não se aplica à cibersegurança moderna. No entanto, essa lógica é baseada em uma confusão metodológica fundamental de diferentes níveis arquiteturais de segurança.

O problema reside no fato de que ISO/IEC 27001, MITRE ATT&CK, DFIR, SOC, Threat Hunting e Detection Engineering resolvem tarefas diferentes e funcionam em diferentes níveis de um sistema de cibersegurança. Sua comparação direta é metodologicamente incorreta. O principal erro da discussão moderna é que hoje na indústria, uma contraposição errônea está se formando cada vez mais: ou governança e ISO/IEC 27001, ou ATT&CK e segurança operacional. Na prática, essa contraposição surge devido à confusão entre a camada de governança, a camada operacional, a camada de detecção e a camada de resposta a incidentes. A ISO/IEC 27001 nunca foi criada como um modelo de comportamento do atacante. Sua tarefa não é explicar como um invasor realiza o abuso de delegação Kerberos, a persistência OAuth ou a movimentação lateral via PsExec. O padrão responde a perguntas completamente diferentes: como a organização gerencia a segurança, como a responsabilidade é distribuída, como as decisões baseadas em risco são tomadas, como a responsabilidade é garantida, como a melhoria contínua é implementada, como o gerenciamento de incidentes é organizado e como a sustentabilidade dos processos de segurança é mantida. O MITRE ATT&CK, por outro lado, não lida com governança. O ATT&CK não responde quem é o proprietário do risco, como a revisão da gestão é conduzida, como a auditoria interna é organizada, como os fornecedores são gerenciados, como a segurança do fornecedor é implementada e como a prontidão forense é garantida. O ATT&CK resolve uma tarefa completamente diferente - a sistematização do comportamento do adversário. Portanto, o ATT&CK não substitui a ISO/IEC 27001, e a ISO/IEC 27001 não substitui o ATT&CK. Eles funcionam em diferentes níveis arquiteturais e se complementam.

Uma das ilusões mais perigosas da indústria moderna é a crença de que a presença de SIEM, EDR/XDR, Threat Intelligence, mapeamento ATT&CK, Threat Hunting e Detection Engineering torna automaticamente a organização madura em segurança cibernética. A prática mostra o contrário. Em muitas organizações, a segurança operacional existe de forma fragmentada: a cobertura de registro é incompleta, a telemetria é dispersa, a retenção é inadequada, a propriedade dos processos está ausente, os logs de auditoria em nuvem são armazenados por muito pouco tempo, as investigações são realizadas manualmente, a lógica de detecção não é gerenciada centralmente e a visibilidade é criticamente limitada. Ao mesmo tempo, a organização pode ter um SOC moderno, uma plataforma SIEM cara, painéis ATT&CK, Threat Intelligence comercial e infraestrutura XDR. Mas a ausência de governança leva ao fato de que a segurança operacional se transforma em um conjunto de iniciativas técnicas dispersas. Na prática, isso parece significativamente menos bonito do que nas apresentações dos fornecedores. Muitos SOCs estão confiantes de que possuem visibilidade suficiente até que encontrem um incidente sério. Depois disso, de repente, fica claro que os logs DNS nunca foram totalmente coletados, o registro do PowerShell está desativado, a retenção é de sete dias, os logs de auditoria em nuvem já foram sobrescritos, a sincronização de tempo entre os sistemas foi violada e uma parte crítica da infraestrutura não está integrada ao SIEM. Como resultado, a investigação se transforma não na reconstrução da cadeia de ataque, mas na tentativa de restaurar os eventos a partir de fragmentos de artefatos. É aqui que o papel real da ISO/IEC 27001 se manifesta. Um ISMS (Information Security Management System) maduro cria um ambiente organizacional dentro do qual a segurança cibernética operacional se torna possível. São os processos orientados pela governança que fornecem registro centralizado, requisitos de retenção, gerenciamento de mudanças, segurança do fornecedor, alocação de responsabilidades, avaliação regular de riscos, governança de incidentes, prontidão forense e auditabilidade. Sem isso, o SOC começa a trabalhar praticamente às cegas.

Nos últimos anos, o MITRE ATT&CK se tornou, na verdade, um padrão da indústria para defesa informada por ameaças, engenharia de detecção, emulação de adversários e caça de ameaças. No entanto, uma distorção perigosa se formou gradualmente em torno do ATT&CK. Muitas organizações começaram a perceber a cobertura do ATT&CK como um indicador de maturidade de proteção. Na prática, isso geralmente leva à segurança decorativa. Em muitos SOCs, o mapeamento ATT&CK se resume à vinculação formal de alertas a técnicas: T1059, T1027, T1566, T1078. Ao mesmo tempo, a qualidade da lógica de detecção não melhora, a taxa de falsos positivos permanece crítica, as lacunas de telemetria persistem, a movimentação lateral ainda não é detectada, a visibilidade da nuvem é limitada e o abuso de identidade é praticamente incontrolável. Como resultado, o ATT&CK se transforma em uma bela sobreposição de classificação sobre uma arquitetura de detecção fraca. Isso é especialmente evidente durante investigações reais. Muitos SOCs são capazes de mostrar um mapa de calor ATT&CK, mas ao mesmo tempo não são capazes de responder a perguntas básicas: como o invasor se estabeleceu, como o ataque se desenvolveu, quando o comprometimento de credenciais começou, quais contas foram usadas e quais dados foram afetados. A presença da cobertura ATT&CK por si só não significa a capacidade da organização de detectar o comportamento do adversário. ATT&CK é uma base de conhecimento, não uma capacidade operacional.

O modelo tradicional de SOC foi historicamente construído em torno de IOCs (Indicators of Compromise), endereços IP, hashes, domínios, assinaturas e regras de correlação. Essa arquitetura funcionou de forma relativamente eficaz na era do malware de commodities, campanhas de phishing simples e infraestrutura de comando e controle estática. No entanto, os adversários modernos dependem cada vez mais de técnicas living-off-the-land, ferramentas de administração legítimas, tokens de sessão roubados, abuso de OAuth, chaves de API, identidades de nuvem, permissões delegadas e infraestrutura de curta duração. Em muitos comprometimentos modernos, o malware está completamente ausente. O comprometimento do Microsoft 365 hoje pode ser assim: login bem-sucedido de uma nova geografia, consentimento para um aplicativo OAuth malicioso, criação de uma regra de encaminhamento de caixa de correio, upload do arquivo morto de e-mail via API e persistência via permissões delegadas. Ao mesmo tempo, o endpoint permanece "limpo", o antivírus não detecta nada, o binário malicioso está ausente e os artefatos de disco são mínimos. Se o SOC estiver focado exclusivamente no modelo IOC, esse ataque pode passar despercebido por semanas. É por isso que a segurança cibernética moderna está mudando gradualmente para análise de comportamento, correlação de telemetria, monitoramento de identidade, detecção de anomalias e reconstrução da sequência de ataque.

Um dos problemas mais subestimados da segurança cibernética moderna é a crise da visibilidade da telemetria. Muitas organizações acreditam que ter um SIEM significa automaticamente ter visibilidade. Na prática, isso não é verdade. Um SOC moderno depende criticamente não do número de painéis, mas da qualidade da arquitetura de telemetria. Sem telemetria, DFIR, Threat Hunting, mapeamento ATT&CK, análise de comportamento, reconstrução de ataque e engenharia de detecção são impossíveis. Ao mesmo tempo, o problema mais perigoso não é a ausência de detecções, mas a ausência dos próprios dados. Na prática, isso acontece o tempo todo: não há logs DNS, os logs do PowerShell não são coletados, os rastreios de auditoria em nuvem são armazenados por alguns dias, a atividade privilegiada não é registrada, a telemetria de autenticação é incompleta e o rastreamento de atividade de API está ausente. Como resultado, após o comprometimento, a organização é fisicamente incapaz de restaurar a cronologia da intrusão. Na verdade, a investigação começa com uma tentativa de entender quais dados existem. É por isso que as lacunas de telemetria devem ser consideradas um risco de segurança independente. Isso é especialmente crítico para ambientes nativos da nuvem, infraestrutura híbrida, operadoras de telecomunicações e ecossistemas empresariais distribuídos.

Os modelos clássicos como o Cyber Kill Chain desempenharam um papel enorme no desenvolvimento da indústria. No entanto, a realidade operacional moderna corresponde cada vez menos a um modelo de ataque linear. Hoje, o comprometimento se desenvolve ciclicamente. O atacante obtém acesso inicial, realiza reconhecimento interno, altera a persistência, executa novamente a escalada de privilégios, reconstrói as ferramentas, se move entre a nuvem e o local, usa relacionamentos confiáveis ​​entre sistemas e adapta o comportamento ao ambiente de telemetria. Um ataque moderno não é uma cadeia de ataque linear, mas um processo de intrusão continuamente adaptável. É por isso que o DFIR maduro hoje se concentra não em IOCs individuais, mas na reconstrução da narrativa do ataque. A principal questão da investigação não soa mais como: "Qual malware foi usado?" Hoje, a principal questão é outra: "Como o oponente desenvolveu o controle sobre o ambiente?"

Um dos erros mais sérios é a percepção do SOC como um "centro de monitoramento SIEM". Esse modelo era relevante há dez a quinze anos. Um SOC moderno é um ambiente analítico continuamente adaptável, dentro do qual a lógica de detecção está constantemente mudando, a qualidade da telemetria é continuamente avaliada, a cobertura ATT&CK é corrigida, os falsos positivos são otimizados, o comportamento do adversário é reavaliado continuamente e a engenharia de detecção é desenvolvida iterativamente. Na verdade, um SOC maduro hoje está cada vez mais próximo da disciplina de engenharia. A Detection Engineering está gradualmente combinando engenharia de software, análise comportamental, arquitetura de telemetria, inteligência de ameaças e simulação de adversários. Ao mesmo tempo, muitas organizações ainda acreditam que ter um SIEM já equivale à capacidade de detecção. A prática mostra o contrário: SIEM sem telemetria é inútil, telemetria sem análise é cega, análise sem governança é instável e governança sem segurança operacional é ineficaz.

Uma das mudanças mais fundamentais dos últimos anos foi a destruição do modelo de segurança centrado no endpoint. Historicamente, o DFIR se concentrava em forense de disco, análise de memória, artefatos de malware, evidências do sistema de arquivos e persistência do Windows. No entanto, o comprometimento nativo da nuvem deixa cada vez menos artefatos forenses clássicos. O comprometimento da identidade na nuvem pode existir exclusivamente no nível de tokens de acesso, permissões delegadas, concessões OAuth, sessões de nuvem e atividade de API. Ao mesmo tempo, o malware está ausente, o endpoint é legítimo, os artefatos de disco são mínimos e a persistência é implementada exclusivamente através da camada de identidade. Isso muda radicalmente a natureza da investigação. O DFIR moderno está cada vez mais mudando para análise de identidade, análise de auditoria em nuvem, telemetria de API, reconstrução de sessão e investigação comportamental. É por isso que as organizações que continuam a construir segurança exclusivamente em torno da visibilidade do endpoint estão gradualmente perdendo a capacidade de ver o comprometimento moderno.

É muito indicativo que muitas organizações comecem a pensar em prontidão forense somente após um incidente sério. Nesse ponto, geralmente fica claro que a retenção é inadequada, os logs já foram excluídos, os carimbos de data/hora são inconsistentes, a telemetria é incompleta e a cadeia de custódia está ausente. É aqui que se torna óbvio que a prontidão forense não pode ser construída exclusivamente pelas forças do SOC. Requer governança, políticas, gerenciamento de retenção, responsabilidade, coordenação legal e propriedade do processo. Em outras palavras, a prontidão forense é uma consequência operacional direta de um ISMS maduro. É a ISO/IEC 27001 que cria os pré-requisitos organizacionais para a preservação de evidências, registro centralizado, governança de incidentes, auditabilidade e defesa legal. A principal falha da maioria das discussões é a tentativa de encontrar o "principal" modelo de segurança. Na realidade, uma arquitetura de segurança cibernética madura é sempre multicamadas. Cada camada resolve sua própria tarefa. A Camada de Governança responde por gerenciamento, responsabilidade, gerenciamento de riscos, melhoria contínua e alocação de recursos. As principais estruturas são ISO/IEC 27001, COBIT e Gerenciamento de Riscos Empresariais. A Camada de Controle implementa controles preventivos e protetivos: MFA, segmentação, PAM, hardening, segurança de backup e gerenciamento de vulnerabilidades. A Camada de Comportamento do Adversário descreve táticas, técnicas, ciclo de vida da intrusão e progressão do ataque. As principais estruturas são MITRE ATT&CK, Unified Kill Chain e Diamond Model. A Camada de Detecção e Resposta responde por monitoramento, detecção, investigação, contenção, erradicação e recuperação. As principais áreas são SOC, DFIR, Threat Hunting e Detection Engineering. A Camada de Segurança Adaptativa fornece reavaliação contínua, otimização de telemetria, evolução de análise, defesa informada por adversários e purple teaming. É a interação de todas essas camadas que forma a segurança cibernética madura.

A contraposição da ISO/IEC 27001 e do MITRE ATT&CK é conceitualmente errada. Eles não competem. Eles funcionam em diferentes níveis da arquitetura de segurança. A ISO/IEC 27001 cria governança, responsabilidade, gerenciamento de processos, tomada de decisão baseada em risco e estabilidade organizacional. O MITRE ATT&CK sistematiza o comportamento do adversário, auxilia na engenharia de detecção e é usado para defesa informada por ameaças. O DFIR restaura a cronologia do comprometimento, fornece a reconstrução da narrativa do ataque e revela as fraquezas sistêmicas. O SOC implementa monitoramento baseado em telemetria, fornece visibilidade operacional e suporta detecção continuamente adaptável. Consequentemente, a segurança cibernética moderna não pode ser construída exclusivamente com base na governança, exclusivamente no ATT&CK, exclusivamente no SOC ou exclusivamente no DFIR. A proteção madura surge somente quando governança, controles, telemetria, detecção, resposta e adaptação são integrados em um ecossistema de segurança em constante evolução. É nisso que reside a diferença fundamental entre a segurança cibernética madura e um conjunto de tecnologias de proteção dispersas.