Como deve ser a solução de MXDR para PMEs

As soluções Managed Extended Detection and Response (MXDR) há muito tempo são recursos essenciais para grandes corporações. Elas oferecem monitoramento ininterrupto, tratamento contínuo de ameaças e resposta rápida a incidentes, sem a necessidade de uma infraestrutura interna. Além disso, tornam os custos de cibersegurança mais previsíveis. Parece a opção ideal também para pequenas e médias empresas (PMEs). Na prática, porém, nem sempre é assim. Para uma PME, uma solução padrão de MXDR pode tornar o trabalho da equipe interna de segurança da informação mais complexo, sobrecarregando os profissionais com alertas confusos e excesso de ferramentas.

Este post discute as diferenças entre um serviço de MXDR adequado para grandes empresas e o que se encaixaria perfeitamente na estrutura de segurança de uma PME em expansão. Também destacaremos as qualidades que, em nossa visão, a solução ideal de MXDR para PMEs deve possuir.

Por que as soluções de MXDR de nível corporativo não funcionam para PMEs?

Grandes empresas normalmente já contam com uma equipe dedicada de cibersegurança, com processos relativamente maduros e especialistas qualificados capazes de integrar e gerenciar o serviço de forma eficiente. Por isso, as corporações costumam usar soluções de MXDR como parte de um modelo híbrido de SOC: a equipe do provedor externo lida com algumas tarefas, mas uma parte significativa do trabalho permanece sob responsabilidade interna.

A maioria das PMEs, por outro lado, não possui o conjunto necessário de soluções nem uma equipe interna de cibersegurança; quando a equipe existe, geralmente carece de conhecimento aprofundado sobre táticas, técnicas e procedimentos (TTPs) de invasores, assim como das habilidades para neutralizar essas ameaças. Frequentemente, falta tempo ou expertise para integrar múltiplas fontes de telemetria, definir regras de correlação ou analisar uma quantidade muito grande de alertas. Na maioria das vezes, a segurança nas PMEs fica a cargo da equipe de TI, que geralmente não tem disponibilidade para manter comunicação contínua com analistas externos.

O resultado de tentar integrar uma solução de nível corporativo em uma infraestrutura de PME costuma ser uma sobrecarga, em vez de uma simplificação: uma chuva de alertas de incidentes sem que haja alguém para analisá-los, interfaces complexas e processos nos quais a equipe acaba se perdendo. Nessas condições, é extremamente difícil desenvolver expertise interna, já que a equipe está ocupada apenas em manter um nível mínimo de segurança. É exatamente por isso que as PMEs precisam de um formato diferente de MXDR: um que seja mais claro, baseado em parceria e voltado para o desenvolvimento da equipe interna, e não para substituí-la.

Anatomia do MXDR ideal para PMEs

Quando a equipe interna precisa não só garantir a segurança, mas também aprimorar sua própria expertise, o serviço de MXDR deve fornecer suporte de especialistas qualificados, em vez de apenas substituir a função de cibersegurança. Trata-se de uma parceria na qual o provedor não apenas assume parte das responsabilidades e ajuda a neutralizar ameaças, mas também:

• mostra à equipe do cliente como o incidente ocorreu e quais conclusões podem ser extraídas
• fornece ferramentas avançadas para investigação e resposta independentes, sem limitar o time interno
• ajuda a incorporar preocupações com cibersegurança à cultura corporativa da empresa

Em outras palavras, o serviço de MXDR ideal para uma PME trabalha em colaboração com a equipe e não no lugar dela. A seguir, analisamos as qualidades específicas que essa solução deve ter.

Flexibilidade e adaptabilidade ao nível de maturidade da empresa

As PMEs podem variar não apenas em suas necessidades, mas também em seu grau de maturidade em cibersegurança. Portanto, um serviço de MXDR não deve se limitar a automações básicas ou a cenários padronizados. O provedor da solução precisa ser capaz de se adaptar às especificidades de cada cliente.

Isso significa que as regras de detecção e triagem de alertas devem ser configuradas de acordo com as características da infraestrutura, os softwares e ferramentas de segurança utilizados e o comportamento de diferentes grupos de usuários. Essa abordagem permite distinguir uma ameaça real de uma atividade normal e, consequentemente, reduzir o número de falsos positivos.

Esse nível de personalização também reduz as solicitações de esclarecimento que os especialistas em MXDR precisam fazer à equipe do cliente, por exemplo, se o uso do PowerShell por um determinado usuário é padrão ou um comportamento anômalo. Isso agiliza a detecção de ameaças e a resposta a incidentes, além de reduzir a carga de trabalho da equipe interna de cibersegurança, permitindo que ela foque em tarefas estratégicas.

Transparência e clareza

Para a equipe responsável pela cibersegurança em uma PME, é fundamental não se afogar em centenas de notificações. É preciso compreender rapidamente o que representa uma ameaça real, quais ações já foram tomadas e quais devem ser executadas a seguir. Por isso, uma equipe de serviço MXDR de alta qualidade deve investigar não apenas eventos evidentemente maliciosos, mas também atividades suspeitas provenientes de softwares legítimos. A partir daí, dentre milhares de alertas, apenas aqueles ligados a atividades adversas devem ser selecionados. O cliente deve ter uma visão clara e completa do ocorrido, consolidada em um único incidente com contexto, em vez de várias hipóteses dispersas. Isso inclui a causa raiz identificada, eventos relacionados e ativos afetados.

Para facilitar a navegação, o provedor deve oferecer uma visão geral de todos os ativos protegidos da empresa e de seu status atual, permitindo que o cliente acesse um painel a qualquer momento para saber o que está acontecendo. Caso a equipe interna ainda tenha dúvidas, deve sempre poder entrar em contato direto com os especialistas do serviço para trabalhar em conjunto e, por exemplo, repassar os detalhes de um incidente.

Outro elemento essencial da transparência é a geração de relatórios. Deve haver a opção de personalizá-los conforme as necessidades do cliente, oferecendo, por exemplo, um resumo quinzenal com conclusões-chave e, quando necessário, uma descrição detalhada dos incidentes. A flexibilidade nos métodos de comunicação é essencial, e o cliente deve poder escolher o canal mais conveniente, como aplicativo de mensagens, e-mail ou outros, para que a equipe interna seja acionada rapidamente quando um incidente exigir uma decisão. Isso permite que a gestão da empresa acompanhe a situação de perto, enquanto os especialistas técnicos monitoram os eventos em ritmo adequado e se aprofundam quando necessário.

Com essa abordagem, o MXDR resolve um dos maiores desafios das PMEs: a necessidade de analisar e priorizar centenas de notificações de forma independente.

Acesso à inteligência de ameaças atualizada

Caso a equipe interna prefira lidar com a formulação de hipóteses e análise da causa raiz por conta própria, é essencial que a solução de MXDR permita a identificação proativa de ameaças e a análise de artefatos com as ferramentas de XDR disponíveis. Para isso, o provedor de MXDR deve conceder ao cliente acesso a bases de conhecimento sobre táticas e técnicas de invasores atuais (inteligência de ameaças), informações sobre novas campanhas e análises relevantes. No entanto, se a equipe do cliente perceber que a expertise é insuficiente mesmo tendo acesso aos dados de TTPs, deve poder escalar o alerta para a equipe do MXDR para análise especializada.

Apoio na construção de uma cultura de segurança

Grande parte dos incidentes começa com erro humano. Por isso, um bom provedor de MXDR deve ajudar o cliente a promover uma cultura saudável de cibersegurança dentro da organização. Isso é feito principalmente por meio do aumento da conscientização dos colaboradores de base sobre os truques modernos usados pelos invasores.

A abordagem mais eficaz não envolve palestras abstratas, mas treinamentos baseados em incidentes reais que ocorreram na empresa. Por exemplo, se um ataque começou com funcionários de um determinado setor abrindo um e-mail de phishing, esse grupo deve receber treinamento específico sobre esse cenário. Idealmente, o aprendizado deve ser testado com uma campanha simulada de phishing. Essas medidas proativas ajudam a mitigar riscos associados ao fator humano, reduzindo perdas financeiras potenciais, o que é essencial para organizações em crescimento.

Por exemplo, nosso Kaspersky Next MXDR Optimum permite atribuir treinamentos aos funcionários diretamente a partir do cartão de alerta, com apenas alguns cliques. Além disso, para aprimorar as habilidades dos “defensores de linha de frente”, nossa solução oferece programas de treinamento em resposta a incidentes sob medida para equipes de TI e cibersegurança. Esses programas possibilitam que os especialistas treinem o uso de ferramentas avançadas em ambientes que replicam situações reais, desenvolvendo habilidades para resolver incidentes de maneira rápida e eficiente. Eles podem, por exemplo, verificar hashes de senhas de maneira segura, buscar discrepâncias entre políticas de domínio recomendadas e reais, e avaliar a segurança dos parâmetros do Active Directory.

Conclusão

Para PMEs, uma boa solução de MXDR está longe de ser um serviço “caixa-preta”. Trata-se de um ecossistema de parceria que combina:

• Suporte de especialistas que não apenas oferecem proteção, mas ajudam a equipe a entender o contexto das ameaças
• Acesso a ferramentas de XDR claras e de fácil gestão, que contribuem para o desenvolvimento gradual da expertise interna
• Treinamento para a equipe de TI e para todos os demais colaboradores da empresa

Foi com essa filosofia em mente que criamos nosso Kaspersky Next MXDR Optimum: um serviço que trabalha em conjunto com as ferramentas de XDR e apoia a estratégia de crescimento das PMEs. Você pode saber mais sobre essa solução na página do Kaspersky Next Optimum.