- Início
- Soluções
- Endpoint Protection as a Service
- Análise comportamental
Endpoint Protection as a Service · Recurso
Análise comportamental de processos e memória
Nem todo ataque se denuncia pelo arquivo. A análise comportamental observa o que os programas fazem e interrompe o que foge do normal.
O que é
Análise comportamental de processos e memória, sem complicação
A análise comportamental é a camada do endpoint que observa as ações dos programas durante a execução, em vez de julgar só o arquivo. Ela acompanha a criação de processos, alterações em arquivos e no registro do Windows, conexões abertas e o uso da memória.
Muitos ataques atuais são feitos para passar pela verificação de arquivos. O código chega cifrado e só se revela quando roda, ou usa ferramentas legítimas do próprio sistema para agir. Há também a injeção de código, em que o atacante coloca seu código dentro da memória de um processo confiável para se esconder.
Para lidar com isso, o agente faz varredura de memória dos processos em execução e correlaciona eventos ao longo do tempo. Uma ação isolada pode ser normal, mas a sequência de um documento que abre um script, que baixa um arquivo, que cria uma tarefa agendada, que desativa a proteção, conta outra história. Quando a cadeia indica ataque, o processo é interrompido e o evento é registrado com o contexto completo.
Como funciona
Passo a passo
- 01
Coleta de eventos
O agente registra a criação de processos, alterações em arquivos e no registro, conexões e outras atividades do sistema.
- 02
Inspeção da memória
Processos em execução são verificados para encontrar código malicioso que só aparece depois de descompactado ou injetado.
- 03
Correlação ao longo do tempo
Ações que isoladas parecem normais são analisadas em sequência para reconhecer padrões de ataque.
- 04
Interrupção e registro
Quando a cadeia de eventos indica ataque, o processo é encerrado e o caso fica registrado na console com o histórico.
Por que importa
O que muda para a sua empresa
Ataques feitos para não ter assinatura
Código cifrado, gerado sob medida ou carregado na memória pode não ser reconhecido por uma verificação de arquivos. O comportamento denuncia o ataque.
Uso de ferramentas legítimas
Atacantes usam recursos do próprio sistema, como scripts e ferramentas administrativas. Só a análise do contexto separa o uso normal do malicioso.
Persistência escondida
Tarefas agendadas, serviços e chaves de registro criados para manter o acesso são sinais que a análise comportamental acompanha.
Base para a investigação
Os eventos coletados formam o histórico que permite entender a origem do ataque e o que foi afetado.
Na prática
Situações do dia a dia
Escritório de engenharia
Um documento aparentemente comum abre um script que tenta baixar um arquivo e criar uma tarefa agendada. A sequência é reconhecida e interrompida antes da instalação.
Empresa de serviços com servidor de aplicação
Um processo legítimo do servidor passa a executar código injetado na memória. A varredura de memória identifica o código e o processo é encerrado.
Varejo com equipe administrativa enxuta
Uma ferramenta administrativa do sistema é usada para desativar a proteção. O agente reconhece a tentativa e preserva a proteção da máquina.
Na Strema
Como entregamos Análise comportamental
No Endpoint Protection as a Service, a Strema mantém a análise comportamental ativa nas políticas e analisa os bloqueios que afetam aplicações do negócio antes de criar qualquer exceção.
Os eventos coletados alimentam a análise de causa raiz. Para quem quer analistas acompanhando e respondendo aos alertas de forma contínua, a Strema oferece o MDR.
Análise comportamental gera muitos falsos positivos?
As plataformas atuais combinam o comportamento com reputação e contexto para reduzir alarmes falsos. Os casos que restam são tratados com exceções específicas durante o acompanhamento.
Qual a relação com EDR?
A análise comportamental é a base do EDR: os mesmos eventos usados para bloquear ataques ficam disponíveis para investigar o que aconteceu na máquina.
Funciona sem conexão com a internet?
Sim. A análise acontece no próprio agente. A conexão é necessária para enviar eventos e alertas à console.
O que é injeção de código?
É a técnica de colocar código malicioso dentro da memória de um processo legítimo, para que o ataque rode disfarçado de programa confiável.
Continue explorando
Recursos relacionados
No blog
Todos os recursos de Endpoint Protection as a Service
Fale conosco
Quer Análise comportamental protegendo a sua empresa?
Fale com um Stremer especialista hoje mesmo.
- Telefone4003-7886
- Horário de atendimentoSegunda a sexta-feira, das 07h às 19h.
- Belo HorizonteAvenida Sebastião de Brito, 525
Dona Clara, Belo Horizonte - MG - São PauloRua Gomes de Carvalho, 1629
Vila Olímpia, São Paulo - SP