Os Novos ABCs da Segurança Cibernética: Identidade, Visibilidade e Contenção

Quando Keren Elazari concordou em participar do podcast The Segment comigo, a primeira coisa que ela fez foi vasculhar seu guarda-roupa. Ela estava à procura de uma camiseta com uma frase que ela já havia apresentado em palcos do mundo todo: hackers não invadem, nós fazemos login.

Durante nossa conversa, ela fundamentou sua posição com dados.  

Ano após ano, ela disse, o Relatório de Investigações de Violações de Dados da Verizon (DBIR, na sigla em inglês) contava a mesma história: credenciais roubadas e senhas reutilizadas continuavam sendo a porta de entrada. Embora a exploração de vulnerabilidades tenha ultrapassado o abuso de credenciais como o principal vetor de acesso inicial, o abuso de credenciais ainda aparece em 39% das violações quando se analisa a cadeia de ataque como um todo. Isso a torna a técnica mais difundida nos dados. (Os atacantes costumam usar os dois em conjunto.) Eles invadem um sistema sem as devidas atualizações e vão direto às credenciais.

Enquanto isso, o processo de atualização está regredindo. Apenas 26% das vulnerabilidades exploradas conhecidas foram corrigidas no ano passado, uma queda em relação aos 38% do ano anterior. E o tempo médio para aplicação do curativo aumentou de 32 para 43 dias.

Essa é a lacuna entre a conversa que estamos tendo sobre IA em segurança cibernética e o que os invasores estão realmente fazendo em nossos ambientes. A IA não inventou uma nova classe de intrusão, mas sim reduziu o tempo necessário para explorar vulnerabilidades que já conhecíamos.  

O argumento de Keren é que a indústria precisa acertar os princípios básicos de segurança antes de poder extrair valor significativo da IA de segurança. A versão dela desses fundamentos: identidade, visibilidade e contenção. Cada uma delas preenche uma lacuna que a IA está atualmente ampliando.

Os atacantes não invadem. Eles fazem login.

Pergunte a Keren como ela consegue entrar em uma organização para uma operação de segurança vermelha (red team), e ela lhe dirá o que não fará: ela não desperdiçará tempo e orçamento criando um exploit personalizado do zero.

A maior parte do tempo é dedicada ao reconhecimento, e o que ela está buscando é acesso. As credenciais de um funcionário legítimo são o achado ideal, pois esse acesso ocorre discretamente.  

Só depois de esgotar as vias mais fáceis é que ela considera atacar um sistema público, porque essa é a opção mais chamativa e a que tem maior probabilidade de ser descoberta.

Os verdadeiros grupos criminosos seguem a mesma lógica econômica. Keren analisou as campanhas da ShinyHunters, parte do ecossistema informal que o FBI chama de "The Com". A estratégia deles começava com uma ligação para o suporte técnico da organização, fingindo ser um funcionário com acesso privilegiado, e depois convencendo o atendente a redefinir as credenciais do funcionário.  

Mais recentemente, eles inverteram a situação, se passando pela própria central de atendimento, acionando solicitações de login único e redefinições de senha e coletando as credenciais retornadas. Quando esses grupos recorreram à IA, disse Keren, eles a usaram principalmente para geração de vozes deepfake, a fim de aprimorar suas estratégias de engenharia social.

O ponto que os líderes de segurança devem ficar na memória é que os criminosos são implacavelmente criativos com o que já têm. Eles possuem enormes bancos de dados com nomes de usuário e senhas. A autenticação multifator ainda não foi totalmente implementada em muitas organizações, e muitas das implementações existentes dependem de métodos de autenticação que a Keren considera obsoletos.  

Por que a IA acelera mais os atacantes do que os defensores?

Keren descreveu a IA como uma máquina do tempo para atacantes. O reconhecimento, o fornecimento de ferramentas e o planejamento de campanhas que antes levavam semanas ou meses agora podem ser feitos em dias ou horas.  

Os defensores deveriam estar recebendo um aumento semelhante, mas até agora não estão.

A razão reside naquilo com que um modelo de IA pode comparar o seu próprio trabalho. Quando um modelo de linguagem de grande porte (LLM, na sigla em inglês) busca uma vulnerabilidade, ele possui um teste claro para determinar se obteve sucesso. Pode tentar explorar a falha e verificar se a tentativa funciona. Esse sinal de aprovação/reprovação é o que torna a habilidade treinável, e ela se aprimora a cada repetição.  

A aplicação de patches não oferece esse tipo de sinal. Uma correção precisa sobreviver à produção, em qualquer variante do ambiente em que for implementada, sem quebrar a aplicação que se destina a proteger. Nenhuma verificação automatizada rápida pode confirmar tudo isso.  

Os modelos estão cada vez melhores em detectar falhas. Escrever e enviar o reparo em segurança continua sendo um trabalho lento, cuidadoso e que requer supervisão humana.

Essa é a primeira dura verdade da conversa. A descoberta acelera, a remediação não, e a lacuna entre elas aumenta por si só. Como disse Keren, você não pode "jogar um pouco de pó de LLM por cima" e chamar isso de estratégia.

A IA não criou duas décadas de dívida técnica resultante de senhas, sistemas sem atualizações, proliferação de identidades e redes planas. A data de vencimento foi apenas antecipada.

Os ataques mais avançados que ela viu comprovam isso. Ela mencionou a campanha de Estado-nação que a Anthropic documentou no final de 2025 como GTG 1002, na qual o atacante usou agentes de IA para orquestrar uma intrusão de ponta a ponta. Essa orquestração foi um verdadeiro avanço. Ainda assim, Keren suspeita que o acesso inicial em si tenha parecido completamente normal: provavelmente credenciais roubadas ou uma falha esquecida no ambiente que fundamentos sólidos teriam corrigido.

Por que uma avaliação de segurança de rede deve começar de fora para dentro?

A segunda dura verdade de Keren é que os atacantes muitas vezes entendem o ambiente alvo melhor do que as pessoas que o defendem.

Ela não acha que isso seja um problema de competência. As equipes de segurança protegem uma empresa em funcionamento, não um laboratório. Uma empresa em funcionamento processa a folha de pagamento, integra fornecedores, inicia cargas de trabalho na nuvem e conecta APIs. Cada uma dessas atividades necessárias cria uma superfície de ataque.

A TI paralela e a IA paralela seguem a mesma lógica. As pessoas adotam aquilo que as ajuda a desempenhar suas funções. Os atacantes exploram essa vulnerabilidade partindo do pressuposto, considerado seguro, de que as brechas existem, um pressuposto que, segundo Keren, quase sempre se mostra eficaz.

Ela mencionou um padrão semelhante em ferramentas de segurança. Atualmente, a maioria das equipes utiliza entre 50 e 60 produtos de segurança e presume que toda essa cobertura seja suficiente. Mas compare essas capacidades com um caminho de ataque real, seja a cadeia de destruição da Lockheed Martin ou o MITRE ATT&CK, e as lacunas se tornam óbvias.  

Keren disse que geralmente consegue encontrar alguém dentro de uma organização altamente madura que admita que um sistema específico, ou um ambiente de nuvem, ou um novo projeto de IA de um departamento, está fora do escopo geral.

O desafio prático que ela propõe às equipes de segurança: realizar uma avaliação interna de segurança da rede. Ferramentas como Shodan e Censys estão disponíveis há anos, mas ela ainda encontra equipes que nunca as utilizaram para analisar seu próprio ambiente da mesma forma que um invasor faria.  

Qualquer avaliação séria de segurança de rede deve incluir essa visão de fora para dentro, porque você não pode defender o que não pode ver.

Paranoia proativa: os 3 fundamentos essenciais de segurança

Quando Keren se preparou para a profissão de cibersegurança, os fundamentos eram a tríade da CIA: confidencialidade, integridade e disponibilidade. Essas afirmações ainda são válidas. Mas elas descrevem o que você está protegendo, e não como os invasores realmente chegam até ele.

Em vez disso, ela propõe um conjunto atualizado:

• Identidade. Durante a maior parte da última década, a identidade foi o principal vetor de acesso inicial em violações de segurança relatadas, e a forma como a maioria das organizações a gerencia ainda está presa ao pensamento do século XX. Segundo estimativas de Keren, a correção elimina pelo menos 20% dos vetores de ataque iniciais .
• Visibilidade. Se os atacantes conseguirem inventariar ativos que você esqueceu, você começará a luta em desvantagem. A visibilidade é o que transforma um ambiente desconhecido em um ambiente defensável. ‍
• Contenção. Essa é a coisa que Keren mais valoriza como hacker, justamente porque ela não quer ser contida. Um ataque é interrompido quando o movimento lateral é difícil, quando as redes estão segmentadas e quando entrar em um sistema não garante o acesso aos dez sistemas seguintes. A microsegmentação cria esse confinamento diretamente, colocando políticas entre as cargas de trabalho, de modo que um sistema comprometido não tenha para onde ir em seguida.

Keren chama a mentalidade por trás dos três casos de "paranoia proativa" e a distingue cuidadosamente do medo. O medo paralisa, enquanto a paranoia proativa prepara o terreno. Como ela mesma diz, você não espera a chuva para montar sua barraca.

Então, por que mais equipes de segurança não realizam esse trabalho? Keren acredita que isso é em parte da natureza humana, já que organizar a dispersão da identidade é como limpar um sótão. E isso se deve em parte à priorização, porque é difícil posicionar identidade, visibilidade e contenção como a próxima grande iniciativa estratégica.  

São os fundamentos que tornam a IA digna de ser adotada.

Todas as funcionalidades de IA que uma equipe de segurança deseja implementar se baseiam no mesmo fundamento: saber quem está na sua rede, o que existe no seu ambiente e para onde uma intrusão pode se propagar.  

Um agente de IA que tria alertas só é útil se o inventário de ativos por trás dele for eficiente. A resposta automatizada só é segura em uma rede onde o raio de alcance de um ataque já esteja delimitado.

Essa é a parte do argumento de Keren que vale a pena levar para uma discussão sobre o orçamento. Identidade, visibilidade e contenção são as condições prévias para uma estratégia de IA eficaz. Ignorá-los significa adicionar automação a um ambiente que ninguém consegue visualizar completamente, o que agrava o problema de visibilidade inicial.

O prazo para o atacante continua diminuindo. A questão para os defensores é se o terreno sob suas ferramentas é suficientemente sólido para que alguma delas seja útil.

Ouça o episódio completo de The Segment: A Zero Trust Leadership Podcast em Podcasts da Apple,  Spotify, ou nosso site.