Detecção de anomalias é a técnica que identifica atividades fora do padrão normal de um ambiente, como picos de tráfego, acessos em horários incomuns ou downloads atípicos. Diferente do UEBA (análise do comportamento de usuários e entidades), focado em contas e equipamentos, ela se aplica a qualquer dado: rede, logs ou transações. Por exemplo, alerta se um servidor envia de madrugada dez vezes mais dados.
Como a TecnetOne resolve isso: TecnetSOC
anomaly detection, detecção de comportamento anômalo, análise de anomalias, detecção baseada em comportamento, anomalias de rede
Termos relacionados
Patch virtual
Patch virtual é uma regra que bloqueia, na rede, as tentativas de explorar uma vulnerabilidade conhecida, em um firewall, um IPS (sistema de prevenção de intrusões) ou um WAF (firewall de aplicações web), sem modificar o software afetado. Protege enquanto o patch oficial não chega ou em equipamentos sem suporte do fabricante, mas não substitui o patch.
Priorização de vulnerabilidades (KEV e EPSS)
Priorização de vulnerabilidades é decidir quais falhas corrigir primeiro com base no risco real, e não só na severidade. Além da nota CVSS (Common Vulnerability Scoring System), considera o catálogo KEV (vulnerabilidades sabidamente exploradas) da CISA, a agência de segurança cibernética dos EUA, e o EPSS (sistema de previsão de exploração), que estima a probabilidade de uma falha ser explorada nos próximos 30 dias.
Casos de uso de SIEM (regras de detecção)
Um caso de uso de SIEM (gerenciamento de informações e eventos de segurança) é um cenário de ameaça que o sistema deve detectar, com suas fontes de logs, sua regra de correlação e a resposta esperada. Por exemplo, alertar quando uma conta acumula várias tentativas de login malsucedidas e depois entra de outro país. Sem eles, o SIEM acumula logs com poucos alertas úteis.
Compromise assessment (avaliação de comprometimento)
Compromise assessment (avaliação de comprometimento) é uma análise que procura evidências de que um invasor está ou esteve dentro da rede de uma organização, mesmo sem nenhum incidente detectado. Examina endpoints, contas, logs e tráfego em busca de indicadores de comprometimento; é útil, por exemplo, para uma empresa sem um SOC (centro de operações de segurança) antes de uma aquisição ou após um alerta isolado.
Regras de engajamento (pentest)
Regras de engajamento são o documento que define, antes de um pentest (teste de intrusão), quais sistemas podem ser atacados, com quais técnicas, em que horários e quem contatar se surgir um problema. Por exemplo, podem excluir engenharia social ou proibir testes de negação de serviço em horário comercial; elas protegem a empresa e dão à equipe de testes a autorização legal.
Quer levar o conceito para a sua operação?
Conte o que você precisa e um engenheiro da TecnetOne responde.
Falar com um engenheiroFalar com um engenheiro
Conte o que você precisa e respondemos em português.