Por Erick Schettini Dias
Contexto: ransomware e movimento lateral
Participei da recuperação de um ambiente corporativo atingido por ransomware.
A investigação inicial apontou o e-mail como porta de entrada, um dos vetores mais comuns nesse tipo de ataque.
Neste relato, a microsegmentação é analisada como uma medida prática para limitar o movimento lateral do ransomware e proteger aplicações críticas durante a recuperação.
Vale uma observação sobre detecção:
A proteção de endpoint é indispensável, mas nem sempre vai identificar o ataque. Zero days, técnicas de evasão, uso de ferramentas legítimas do próprio sistema e credenciais válidas fazem parte do repertório de quem ataca. Por isso, a pergunta mais útil não é só “como impedir a entrada”, mas “o que acontece depois que alguém entra”.
Neste caso, a resposta foi: quase tudo ficou ao alcance.
Este texto é um relato de campo. Detalhes do cliente e do ambiente ficaram de fora de propósito.
O cenário encontrado: rede flat e ausência de microsegmentação
- Uma rede flat: servidores e estações de trabalho juntos.
- Extensão de VLAN L2 entre dois sites, o que na prática transformava os dois locais em uma única superfície de ataque.
- Nenhum controle sobre o tráfego leste-oeste, ou seja, o que uma máquina interna pode acessar em outra.
Pense em um prédio com controle de acesso apenas na recepção. Quem passa por ela circula em todos os andares, salas e arquivos. Foi assim que o ransomware se comportou: serviços essenciais, vários servidores e várias estações de trabalho foram criptografados.
A ausência de segmentação interna ampliava os caminhos disponíveis para o movimento lateral entre os ativos.
Como conduzimos a recuperação com microsegmentação
Para apoiar a emergência, a Akamai, fabricante da solução de microsegmentação Guardicore, disponibilizou a plataforma Akamai Guardicore Centra para o cliente. A solução funciona com agentes instalados nos próprios servidores e estações de trabalho, que reportam a agregadores e entregam visibilidade dos fluxos entre os ativos, além de políticas aplicadas a nível de processo. O objetivo do rollout foi claro desde o início: ganhar visibilidade antes de escrever qualquer regra.
Etapa | O que foi feito |
Contenção | Quarentena das máquinas possivelmente infectadas |
Visibilidade | Instalação do agregador e dos agentes em todos os servidores e estações de trabalho |
Mapeamento | Criação de labels e do mapa de fluxos entre os ativos |
Restauração | Formatação dos servidores comprometidos e retorno dos backups, em dois dias seguidos de trabalho, incluindo um fim de semana |
Segmentação | Políticas para os serviços críticos, cercando a aplicação e permitindo somente conexões conhecidas e autorizadas, a nível de processo. |
Em um incidente, a tentação é bloquear tudo rápido. Mas bloquear sem saber o que se comunica com o quê é um bom caminho para derrubar aplicações legítimas e atrasar a restauração. Com o mapa de fluxos, passamos a enxergar quem falava com quem, em quais portas e com que frequência. Isso ajudou a decidir o que restaurar, em que ordem e com qual isolamento, e deu segurança para voltar o ambiente ao ar com agilidade e precisão.
Microsegmentação e Exposure Management: onde se conectam
Exposure Management propõe reduzir continuamente o que pode ser explorado, priorizando pelo risco real e não apenas pela lista de vulnerabilidades.
Aqui, o ponto de entrada foi só o começo. A exposição real era o caminho livre entre qualquer máquina e qualquer servidor. Nem sempre é possível aplicar patch ou trocar uma ferramenta a tempo, mas quase sempre é possível reduzir os caminhos que levam aos ativos críticos. É isso que a microsegmentação faz: limita o raio de impacto caso ocorra o primeiro acesso.
Sob a perspectiva de Exposure Management, mapear essas comunicações também ajuda a identificar caminhos de exposição e priorizar a proteção dos sistemas essenciais.
O que a microsegmentação não resolve
- Não substitui backup, patch, proteção de e-mail ou EDR. É mais uma camada, não a única.
- Exige manutenção. Política que não acompanha a mudança do ambiente vira ponto cego.
- Não elimina o custo humano da recuperação. Dois dias seguidos de trabalho em fim de semana mostram o peso da resposta a incidente.
As lições da recuperação de ransomware
- Rede flat multiplica impacto. O incidente começa em um ponto e se espalha pela topologia.
- Nenhuma camada de detecção é suficiente sozinha. Projete assumindo que alguém vai entrar.
- Visibilidade vem antes de política. Sem mapa de fluxos, qualquer regra é palpite.
- Comece pelo que é crítico. Os serviços e aplicações de maior necessidade para o negócio vêm primeiro. Segmentar tudo de uma vez é inviável.
- Contenção e restauração andam juntas. Voltar backup em uma rede sem isolamento é arriscar repetir o problema.
- Recuperação é oportunidade de arquitetura. Reconstruir sem corrigir a topologia prepara o próximo incidente.
Balanço: visibilidade e redução do movimento lateral
O maior ganho foi a visibilidade. O cliente passou a entender o próprio ambiente: quais sistemas se comunicavam, por quê e com quem. Isso gerou uma lista de melhorias que antes não existia.
Fica uma pergunta que vale para qualquer organização: se um endpoint do seu ambiente fosse comprometido hoje, até onde ele chegaria? E quanto tempo teria levado a contenção se o mapa de fluxos já existisse antes do incidente? Se a resposta é “não sei”, o primeiro passo não é mais uma ferramenta. É enxergar os fluxos e proteger suas aplicações críticas.
Erick Schettini Dias é especialista em redes e cibersegurança na CG One, com atuação em switching, roteamento, SD-WAN, segurança de perímetro, microsegmentação e resposta a incidentes. É pós-graduado em Cibersegurança e possui certificações Check Point (CCSE/CCSA), Cisco (CCNP Enterprise), Fortinet (3 x NSE 7) e Akamai Guardicore (GCSP). Tem mais de 11 anos de experiência na área de redes e cibersegurança, com atuação em ambientes de grandes clientes com soluções Check Point, Fortinet, Akamai Guardicore e Cisco, além de automação de tarefas de provisionamento e migração de políticas com scripts e IA. Atua apoiando empresas no desenho, na implementação e na sustentação de arquiteturas de rede e segurança, com foco em segmentação, redução de superfície de ataque e continuidade operacional.