Entre a falha e a correção, quem está olhando o servidor?

Uma falha de segurança é publicada numa segunda-feira. A correção existe, mas entrar com ela num servidor não é instantâneo: tem teste, tem janela de manutenção, tem o sistema que não pode parar no meio do mês. Por dias, às vezes semanas, o servidor fica exposto.

Durante esse tempo, a pergunta que importa é simples: se alguém tentar explorar essa falha, você vai ficar sabendo? O registro comum do Windows, sozinho, responde mal: ele anota quem entrou, mas pouco do que foi feito lá dentro.

Monitorar o que acontece nos servidores críticos

A camada extra é o Sysmon, uma ferramenta gratuita da própria Microsoft. Instalado nos servidores, ele registra o que o log comum deixa passar:

• cada programa aberto, com a linha de comando completa, quem o abriu e a impressão digital do arquivo;
• qual programa abriu qual conexão de rede, e que endereço ele procurou;
• um executável gravado numa pasta temporária ou de inicialização;
• uma alteração no registro feita para algo voltar sozinho depois de reiniciar.

Sozinho, isso seria só mais um monte de registro. O que faz diferença é o que acontece com ele depois.

1. 1 O Sysmon registra O que acontece no servidor, com detalhe que o log comum não tem.
2. 2 O SIEM reconhece Regras que conhecem técnicas de ataque separam o suspeito do normal.
3. 3 O aviso chega O que passa do nível combinado vai ao celular, com o processo e o usuário.
4. 4 Ou a regra age Em casos combinados, o próprio servidor recusa a origem por um tempo.

Quando o servidor se defende sozinho

Para alguns casos, avisar não basta, e a regra pode agir. O exemplo mais comum é a sequência de senhas erradas: quando um servidor recebe muitas falhas de login em pouco tempo, o SIEM manda o firewall do próprio servidor recusar aquele endereço por alguns minutos, e a regra sai sozinha depois. Quem está tentando adivinhar senha perde o acesso no meio da tentativa, sem ninguém precisar intervir.

Por que essa solução é boa

• Cobre o intervalo que ninguém cobre. Entre a falha publicada e a correção aplicada, o servidor deixa de ser uma caixa-preta.
• Avisa com contexto. O alerta diz o que aconteceu, em que servidor, com qual programa e qual usuário, e não só que algo deu errado.
• Usa o que você já tem. O Sysmon é gratuito, e a camada que reconhece e avisa é a mesma do SIEM que vigia o resto do parque.

Quer saber o que os seus servidores registram hoje? A implantação do SIEM começa por eles.

Os cuidados de monitorar e bloquear nos servidores

• Só onde o risco justifica. O Sysmon registra muito. Nos servidores críticos o volume vale a pena; em todas as estações, viraria mais registro do que alguém consegue acompanhar.
• A resposta automática não distingue ataque de engano. Ela bloqueia também quem errou a conta ou entrou com um usuário de fora do domínio. As exceções são estreitas, para aquela conta e naquele contexto, nunca desligando a resposta inteira.
• Quem administra pode parar o vigia. Um acesso de administrador consegue desligar o Sysmon, e isso só é notado se houver uma regra olhando para esse evento.

O Sysmon também pode ser configurado para impedir que um executável seja gravado onde não deveria. É um recurso que se liga com cuidado, porque um bloqueio mal calibrado derruba junto o instalador legítimo, e qualquer ação automática só entra com a sua aprovação.

Por onde começar

Se os seus servidores mais críticos têm hoje uma falha conhecida esperando a janela de correção, esse é o intervalo que vale cobrir. Em 30 minutos de conversa, a gente vê com você quais servidores entrariam primeiro, o que iria para o celular e que resposta automática faria sentido no seu caso.