Metadados em vez de Vídeo: A Evolução do Armazenamento de Gravações de Sessões Privilegiadas

No cenário de cibersegurança em constante evolução, a necessidade de monitorar e registrar atividades em sistemas críticos torna-se cada vez mais premente. Em 2025, o Centro de Contramedidas de Ciberataques Solar JSOC identificou mais de 1,16 milhão de eventos de segurança em aproximadamente 300 organizações. Dentre os tipos de incidentes, as tentativas de acesso não autorizado representaram 23%, evidenciando a persistência de ataques que exploram vulnerabilidades de autenticação e senhas. A complicação se agrava com a exploração de contas privilegiadas, onde, segundo a GK "Solar", quase um terço dos ciberataques em 2025 foram realizados por meio de terceiros com acesso legítimo a sistemas críticos. Quando um invasor ou contratado opera sob uma conta de administrador, as defesas tradicionais de perímetro podem falhar em detectar atividades maliciosas, pois formalmente se tratam de operações de um usuário com permissões elevadas. A gravação detalhada dessas sessões é, portanto, crucial para entender as ações realizadas. Sistemas de Gerenciamento de Acesso Privilegiado (PAM) gravam essas atividades, e reguladores têm aumentado a exigência de armazenamento dessas gravações.

A escolha de como armazenar essas gravações apresenta um dilema de engenharia: gravação em vídeo da tela ou armazenamento de metadados estruturados (dados brutos do protocolo). A gravação em vídeo oferece uma visualização familiar, mas exige vastos terabytes de armazenamento e dificulta a busca por informações específicas. Por outro lado, o armazenamento de metadados é extremamente compacto, permite buscas instantâneas por comandos e eventos, mas requer uma arquitetura diferente e pode ter limitações na reconstrução de interfaces puramente gráficas sem comandos associados. O Solar SafeInspect adota essa segunda abordagem, focando em metadados estruturados para otimizar o armazenamento e a análise. Essa distinção é fundamental, pois o formato de armazenamento impacta diretamente a velocidade de investigação de incidentes e a conformidade com as exigências regulatórias.

Organizações precisam gravar sessões privilegiadas devido ao risco inerente associado ao acesso de administradores, engenheiros DevOps e terceiros a sistemas críticos. Cada conexão, seja por RDP, SSH ou outros protocolos, carrega o potencial de erros, cópias não autorizadas de dados ou ataques direcionados. A dificuldade em distinguir o abuso de privilégios do uso normal torna o monitoramento essencial. O aumento de ataques via terceiros em 2025 reforça a necessidade de controle de acesso privilegiado como linha de defesa primária. Invasores externos visam contas privilegiadas para obter acesso direto a sistemas, movimentar-se furtivamente pela infraestrutura e, crucialmente, apagar rastros, como logs e desativar defesas. A gravação de ações privilegiadas transforma suspeitas em evidências concretas. Um exemplo notório foi o caso em que um oficial da CISA dos EUA carregou documentos confidenciais no ChatGPT público, um incidente detectado por sistemas de monitoramento e que resultou em investigação interna. Sem o registro detalhado das ações, o incidente poderia ter passado despercebido, destacando a importância dos sistemas de logging em detrimento da proteção de perímetro isolada.

Reguladores na Rússia, como a FSTEC com as ordens №117 e №21, exigem a identificação, autenticação, controle de acesso, registro de eventos de segurança e controle de integridade para sistemas de informação governamentais e de dados pessoais. Em termos de PAM, isso se traduz na necessidade de gravar e armazenar ações de administradores de forma segura e analisável. A Lei Federal №187 estende requisitos semelhantes para infraestruturas de informação críticas (CII), tornando obrigatório o monitoramento e armazenamento de eventos de segurança. A ordem №21 da FSTEC estabelece um prazo mínimo de armazenamento de três meses para eventos de segurança, enquanto para CII, o prazo é definido pela própria entidade, mas recomenda-se um mínimo de um ano para investigações e auditorias. Além disso, a conformidade com a Lei Federal №152 sobre dados pessoais é crucial, pois gravações de sessão frequentemente contêm informações pessoais que devem ser protegidas. O uso de criptografia certificada (SKZI), exigida pelo FSB para GIS e CII, também é um fator importante. Embora antigamente pudesse sobrecarregar a infraestrutura, soluções modernas de criptografia certificada são otimizadas para sistemas de segurança, incluindo PAM, minimizando o impacto na performance. A combinação de soluções como o Solar SafeInspect com sistemas de controle de dados e usuários permite atender a ambos os requisitos de forma integrada.

O ponto crucial é a aceitação das evidências pelos órgãos reguladores. Um vídeo de tela, embora útil para investigações internas, pode não ser suficiente para auditorias externas. A necessidade de vincular ações a eventos específicos através de metadados com carimbos de tempo é fundamental, tornando os metadados mais valiosos do que um simples vídeo. Casos internacionais, como os de Capital One, McMenamins e Samsung, demonstraram que tribunais exigem relatórios forenses detalhados que reconstruam os eventos, algo difícil de obter apenas com gravações de vídeo de alta resolução, que consomem muito espaço e são menos informativas. Metadados resolvem esses problemas, sendo compactos e imediatamente pesquisáveis.

O Solar SafeInspect aborda o desafio de armazenamento gravando dados brutos do protocolo – metadados estruturados da sessão. Ele registra comandos executados (SSH), processos em execução, títulos de janelas, tempo de cada ação, IP de origem, sistema de destino, tipo de protocolo e eventos chave como escalonamento de privilégios ou comandos proibidos. Essa abordagem elimina a necessidade de compressão de vídeo, resultando em um volume de dados minimizado. A busca por sessões é realizada através de comandos de texto e seus carimbos de tempo em um banco de dados, permitindo que um analista de segurança localize um evento específico em segundos, mesmo em sessões de longa duração. Para compartilhamento com reguladores ou auditores externos, o Solar SafeInspect gera um arquivo de vídeo a partir dos metadados e o criptografa com uma chave interna, garantindo a autenticidade e integridade do arquivo exportado.

A proteção de arquivos contra comprometimento é abordada em várias camadas. Os dados da sessão são armazenados em um formato proprietário criptografado, acessível apenas pelo próprio sistema. A integridade dos arquivos é verificada periodicamente através de checksums, com alertas ou suspensões de operação em caso de alterações. Áreas sensíveis da tela, como campos de senha, são mascaradas, e o acesso a essas áreas é registrado para fins de auditoria. O mecanismo de zonas de auditoria no Solar SafeInspect garante que administradores de TI não tenham acesso a sessões que não lhes dizem respeito, dividindo o acesso com base em responsabilidades. A integração com sistemas SIEM externos enriquece o contexto dos eventos de segurança, permitindo desde a coleta básica de eventos até o controle do sistema via API. A política de retenção de dados é flexível, com dados operacionais mantidos por 3 a 6 meses e um arquivo frio por 6 a 12 meses, ou até mais, conforme exigência regulatória. Políticas de limpeza podem remover dados pesados do protocolo, mas reter metadados essenciais para reconstruir informações significativas.

O investimento em metadados oferece benefícios tangíveis: redução do espaço de armazenamento, aceleração drástica na busca por informações e a capacidade de fornecer aos reguladores a vinculação de ações a eventos, algo que o vídeo puro não consegue. Quando o vídeo é necessário, ele é gerado a partir dos metadados e autenticado. Combinado com zonas de auditoria, controle de integridade e políticas de ciclo de vida flexíveis, o registro de sessões se torna uma ferramenta ativa de investigação. O próximo passo evolutivo, impulsionado pela análise comportamental como padrão da indústria, é o uso desses metadados para detecção automática de anomalias nas ações de administradores, um recurso que o Solar SafeInspect planeja desenvolver, utilizando os comandos de texto e carimbos de tempo já coletados como base para modelos de inteligência artificial.