O custo da deteção tardia nos cuidados de saúde
O setor da saúde tem sido o mais dispendioso em termos de violações de dados há catorze anos consecutivos. De acordo com o Relatório da IBM de 2025 sobre o Custo de uma Violação de Dados, uma violação no setor da saúde custa atualmente, em média, 7,42 milhões de dólares — quase o dobro da média em todos os setores — e as organizações demoram, em média, 279 dias a identificar e conter um incidente. Esse intervalo de deteção define o tempo que decorre entre uma violação e o momento em que a equipa do SOC se apercebe de que algo correu mal.
Um modelo de deteção concebido para a resposta, e não para a prevenção
A principal ferramenta de segurança da organização foi concebida com base na visibilidade dos terminais. Os ficheiros suspeitos só eram sinalizados após a sua execução num dispositivo do utilizador ou num sistema clínico, o que significava que cada deteção marcava o início de uma resposta a um incidente, e não a prevenção do mesmo. Numa rede em que o acesso comprometido ao EHR (registo de saúde eletrónico) ou a interrupção da comunicação dos dispositivos médicos tem consequências imediatas para os cuidados prestados aos doentes, essa sequência era operacionalmente insustentável. O SOC passava o tempo a gerir os danos, em vez de impedir as ameaças na origem.
O volume de ficheiros revelou os limites da análise baseada em máquinas virtuais
À medida que as ameaças baseadas em ficheiros aumentavam através de anexos de e-mail, documentos partilhados e trocas de ficheiros externos, a equipa passou a recorrer cada vez mais às capacidades de detonação da ferramenta. Os fluxos de trabalho baseados em máquinas virtuais exigiam a criação de vários ambientes virtuais por análise, e o tempo de processamento tornou-se imprevisível à medida que o volume aumentava.
A investigação da IBM identificou o phishing como o principal vetor de ataque especificamente no setor da saúde, o que significa que os ficheiros maliciosos enviados por e-mail representavam o risco principal, e não apenas um risco crescente. O SOC não dispunha de nenhuma forma fiável de prever quanto tempo um ficheiro demoraria a ser eliminado e, em ambientes clínicos onde o acesso aos ficheiros está na base dos fluxos de trabalho dos doentes, essa imprevisibilidade constituía um risco que a equipa não conseguia contornar.
A escalabilidade através de máquinas virtuais foi um problema que se agravou progressivamente
Volumes de ficheiros mais elevados exigiam mais recursos de máquinas virtuais. Cada aumento na procura de débito traduzia-se diretamente em sobrecarga da infraestrutura e, durante os períodos de pico, formavam-se atrasos e as filas de investigação ficavam congestionadas. Um SOC que já operava com um quadro de pessoal reduzido enfrentava agora, além disso, estrangulamentos na análise. Para uma rede com milhares de utilizadores e movimentação contínua de ficheiros entre hospitais, instalações de cuidados ambulatórios e ambientes de investigação, a organização tinha atingido o limite prático do que o escalonamento baseado em máquinas virtuais podia oferecer.
Os critérios que não podiam ser postos em causa
O SOC iniciou a sua avaliação com quatro requisitos definidos diretamente com base no que tinha falhado a nível operacional. Cada um deles abordava uma lacuna que a ferramenta existente não conseguia colmatar.
- Impedir as ameaças antes da sua execução
- Manter a precisão face a ameaças desconhecidas e evasivas
- Garantir uma velocidade de análise constante, independentemente do volume
- Expandir sem aumentar a infraestrutura de máquinas virtuais
A deteção foi antecipada
A organização optou pelo Aether da OPSWAT( MetaDefender ). Nas primeiras semanas de implementação, aconteceu algo que a equipa não via há anos: os ficheiros eram bloqueados antes mesmo de o terminal os detetar. As ameaças que anteriormente geravam alertas nos terminais eram bloqueadas antes de chegarem a essa fase. A mudança foi tanto arquitetónica como operacional. As ferramentas de Endpoint continuaram a ser utilizadas para garantir visibilidade e resposta, mas deixaram de ser a primeira linha de deteção. Esse papel passou para o perímetro.
A emulação eliminou o estrangulamento da máquina virtual
Enquanto a análise baseada em máquinas virtuais exigia a criação de ambientes virtuais para cada execução, MetaDefender a sandbox adaptativa baseada em emulação da Aether executa ficheiros ao nível das instruções. A análise é concluída numa média de dez segundos, 40 vezes mais rapidamente do que as sandboxes tradicionais, e a plataforma suporta mais de 50 000 análises de ficheiros por dia por servidor.
Uma vez que a emulação funciona ao nível das instruções, é significativamente mais difícil de detetar por malware concebido para identificar ambientes de sandbox. As ameaças que, em condições normais, entrariam em paralisação ou se comportariam de forma diferente durante a análise em máquina virtual (VM), executam-se conforme o esperado, expondo comportamentos que as amostras concebidas para evitar deteção, de outra forma, ocultariam. O SOC obteve uma velocidade de análise consistente e previsível, mesmo com os volumes gerados por uma rede que abrange vários hospitais, com uma taxa de deteçãode 99,5% e sem necessidade de adicionar infraestrutura de máquinas virtuais para o efeito.
Detecções que chegaram prontas para serem utilizadas
O que alterou a carga de trabalho de investigação da equipa foi a rapidez da deteção e o que cada deteção trazia consigo. Em vez de um aviso que exigisse uma investigação de seguimento, cada resultado vinha acompanhado de dados de reputação, análise comportamental, uma pontuação de risco baseada na confiança e contexto de deteção proativa de ameaças já incluídos.
A inteligência de ameaças integrada verifica continuamente URLs, endereços IP e domínios em relação a indicadores em tempo real, sinalizando ficheiros suspeitos antes do início da análise dinâmica. A pesquisa de semelhanças de ameaças baseada em aprendizagem automática permitiu ao SOC identificar variantes de malware relacionadas, detetar ameaças modificadas ou nunca antes observadas e correlacionar ficheiros suspeitos com padrões maliciosos conhecidos, reduzindo a carga de triagem manual sobre os analistas, que já operavam com recursos limitados.
O caminho da reação à prevenção
Pergunte a qualquer analista do SOC o que mudou primeiro e a resposta será sempre a mesma: a fila de espera. Os ficheiros foram processados, não se acumularam atrasos e as investigações que chegaram já vinham acompanhadas de contexto, como dados de reputação, análises comportamentais e pontuação de risco, em vez de um alerta que precisasse de ser investigado.
Operações de segurança antes e depois de « MetaDefender : Aether»
Capacidade | Antes | Depois de |
Tempo de deteção | Após a execução, dependente do ponto final | Antes da execução, no perímetro |
Velocidade de análise | Variável, imprevisível sob carga | Consistente, com uma média de cerca de 10 segundos |
Escalabilidade | Dependente da VM, com estrangulamento em volumes elevados | Mais de 50 000 ficheiros/dia por servidor, sem sobrecarga de máquinas virtuais |
Carga de trabalho do SOC | Ciclos repetidos de IR, triagem manual | Redução dos incidentes nos terminais, decisões contextuais |
Cobertura de ameaças | Reação a ameaças conhecidas | Malware evasivo, vulnerabilidades «zero-day» e variantes modificadas |
Segurança concebida para a rapidez dos cuidados prestados aos doentes
Este prestador de cuidados de saúde alterou o ponto do fluxo de trabalho em que a segurança entra em ação. A prevenção no perímetro substituiu a resposta reativa nos terminais; os atrasos na análise deram lugar a um rendimento consistente e as investigações que antes exigiam uma triagem manual passaram a ser recebidas com o contexto já incluído.
Para as equipas de segurança do setor da saúde, o caminho a seguir é o mesmo que esta organização seguiu: antecipar a deteção, eliminar a infraestrutura que atrasa a análise e criar uma estratégia de segurança que funcione à velocidade exigida pelos ambientes clínicos.
