Detecção de ameaças internas para pequenas empresas

O que conta como ameaça interna

Uma ameaça interna é o risco de que alguém com acesso legítimo o utilize — de forma deliberada ou não — para prejudicar a organização. A Cybersecurity and Infrastructure Security Agency (CISA), agência de segurança dos EUA, define um insider como qualquer pessoa que tenha ou tenha tido acesso autorizado, ou conhecimento, dos recursos de uma organização, incluindo pessoal, instalações, informações, equipamentos, redes e sistemas. A palavra que faz o trabalho nessa definição é autorizado. Ninguém precisa invadir nada.

A distinção central da CISA é entre dano não intencional e intencional, e ela sinaliza separadamente duas situações que atravessam as duas categorias. Isso dá quatro rótulos que você vai encontrar na prática — vale a pena conhecê-los, porque a frase “os três tipos de ameaças internas” é repetida em toda parte e não corresponde à fonte original:

Agora, a parte que a maioria dos artigos sobre o tema pula. Incidentes internos não são a forma mais comum de uma pequena empresa sofrer uma violação de dados, e você deveria desconfiar de quem afirmar o contrário. O Data Breach Investigations Report de 2026, da Verizon — construído a partir de mais de 31.000 incidentes reais —, encontrou atores internos em 12% das violações, uma queda em relação aos 18% do ano anterior. Seu painel de pequenas empresas, cobrindo organizações com menos de 1.000 funcionários, atribui essencialmente todas as violações a atores externos com motivação financeira.

Então por que gastar uma tarde inteira com isso? Porque o perfil de custo é invertido. O estudo Cost of Insider Risks de 2026, do Ponemon Institute e da DTEX, constatou que incidentes internos levam em média 67 dias para serem contidos, a um custo de aproximadamente US$ 747.000 por incidente por negligência, US$ 742.000 por incidente malicioso, e US$ 842.000 quando um agente externo estava usando credenciais roubadas. Eventos internos são mais raros do que phishing, mas demoram mais para serem percebidos, e o que sai pela porta costuma ser justamente o material sobre o qual a empresa foi construída.

Por que as saídas são o ponto de pressão

Porque o risco se concentra em uma janela estreita e previsível. O Software Engineering Institute da Carnegie Mellon — a divisão CERT que estuda casos internos há duas décadas — colocou isso de forma direta em sua análise de casos de roubo de propriedade intelectual: a maioria dos insiders rouba PI dentro de 30 dias após deixar uma organização. Essa constatação é de 2011, e vale destacar sua idade; ainda assim, ela se manteve como o princípio organizador da prática de risco interno desde então, e todo relatório de telemetria de fornecedor publicado desde então concentra a atividade na mesma janela de saída.

Essa única frase é mais útil operacionalmente do que qualquer feed de threat intelligence que uma pequena empresa pudesse comprar. Isso significa que você não precisa de vigilância contínua sobre todo mundo. Você precisa saber quando alguém está de saída, e estar de olho no punhado certo de sinais nas semanas antes e depois dessa data.

Verifique as estatísticas antes de planejar em torno delas

Três números dominam todos os artigos sobre roubo de dados por funcionários, e cada um deles é citado em uma forma que o exagera. Isso importa na prática: se você acredita que metade da sua equipe rouba dados, vai comprar a coisa errada e vai tratar as pessoas mal ao fazer isso.

• “45% dos funcionários levam dados quando saem.” É real, mas é o subconjunto dos EUA de uma pesquisa da Tessian de maio de 2020. O número geral no mesmo estudo era 34%, e o número do Reino Unido era 23%. O qualificador é descartado quase toda vez que a frase é citada.
• “72% dos funcionários levam dados da empresa.” Isto é uma leitura equivocada. Os 72% no relatório de 2019 da Code42 são a fatia de líderes de segurança da informação que concordaram com a afirmação de atitude não são só dados corporativos, é o meu trabalho — e minhas ideias. É uma constatação sobre como as pessoas se sentem em relação à posse, não sobre quantas delas de fato copiam arquivos.
• “63% trouxeram dados de um empregador anterior.” Esta tem uma fonte real e localizável — o Global Data Exposure Report de 2019 da Code42, publicado em outubro de 2019. Mas atenção à população pesquisada, que é o mesmo deslize em que se apoiam os 72%: os respondentes eram 1.028 líderes de segurança e 615 tomadores de decisão de negócios, não uma amostra representativa dos funcionários em geral. E ela descreve pessoas chegando com dados, o que é um risco diferente daquele que você está tentando detectar na saída.

O número mais defensável é o da Cyberhaven Labs, de 2022, e ele é defensável precisamente porque é telemetria observada, e não autorrelato: em cerca de 1,4 milhão de funcionários que lidam com dados sensíveis, 9,4% exfiltraram dados ao longo de uma janela de seis meses. O post do blog que trazia esse número foi tirado do ar desde então — o relatório original sobrevive como um download restrito a cadastro — então hoje ele é mais facilmente verificado por meio da cobertura de imprensa da época. De qualquer forma, trate-o como desatualizado. O relatório de investigações de 2023 da DTEX situa em 12% a fatia de funcionários que saem levando propriedade intelectual sensível.

A orientação da CISA também vale a pena internalizar aqui: a avaliação de ameaças deve ser baseada em comportamentos, não em perfis, e esses atos são raramente espontâneos — eles seguem uma decisão deliberada. Não existe padrão demográfico a se observar, e procurar por um só vai fazer você errar e ser injusto ao mesmo tempo.

Como os dados realmente saem

Os dados saem de uma pequena rede Windows por uma lista curta e nada emocionante de canais. O que importa operacionalmente não é o canal em si, mas se ele deixa um artefato que você consegue encontrar depois — e, para vários deles, a resposta honesta é que não deixa.

Em termos do MITRE ATT&CK, isso corresponde a T1052.001 (Exfiltration over USB), T1567.002 (Exfiltration to Cloud Storage — a própria descrição do MITRE cita Dropbox e Google Docs) e T1114.003 (Email Forwarding Rule). O analítico de detecção do MITRE para o caso de USB é inserção de dispositivo USB seguida de acesso a arquivos em alto volume ou sensíveis, e preparação para exfiltração — que é exatamente o evento 6416 correlacionado com o 4663, e exatamente o que as próximas seções configuram.

Antes de monitorar qualquer coisa

Antes de ativar uma única política de auditoria, redija o aviso. Isso não é uma nota de rodapé de compliance para resolver depois — em três estados americanos, é uma obrigação legal que precisa existir antes de o monitoramento começar, e nenhuma dessas leis isenta pequenos empregadores. Uma empresa de dez funcionários em Nova York está coberta exatamente como uma de dez mil.

A base federal, e a armadilha

O Electronic Communications Privacy Act é o piso federal. Duas exceções fazem a maior parte do trabalho para os empregadores. A exceção do provedor, prevista em 18 U.S.C. § 2511(2)(a)(i), cobre a interceptação em instalações próprias quando ela é um incidente necessário ao serviço ou à proteção dos direitos ou da propriedade do provedor desse serviço. Separadamente, o § 2511(2)(d) torna a lei federal uma lei de consentimento de uma das partes: lícita quando uma das partes da comunicação tiver dado consentimento prévio.

A vantagem prática — e ela é real, mesmo não sendo a história limpa de documento único que às vezes se ouve por aí — é que um reconhecimento assinado de monitoramento cumpre dupla função. A lei federal não exige consentimento quando a exceção do provedor já se aplica, mas o consentimento é a segunda via, independente, sob o § 2511(2)(d), e ter as duas é uma posição mais sólida do que depender de apenas uma delas. A mesma assinatura satisfaz, simultaneamente, o reconhecimento exigido por Nova York e por Delaware.

Ainda assim, isso não cobre tudo, e vale nomear três lacunas. Uma assinatura sozinha não cumpre a obrigação de afixação — Nova York exige o aviso na parede além do reconhecimento, e em Connecticut a afixação é o aviso exigido. O escopo da exceção do provedor é construído pela jurisprudência, e não uma linha nítida, de modo que “o laptop é nosso” é um bom ponto de partida, não uma defesa já consolidada. E se você grava ligações, verifique separadamente a legislação de interceptação de comunicações do seu estado: vários estados exigem o consentimento de todas as partes, o que é mais rigoroso do que o piso federal.

Se você tem funcionários na UE, a resposta se inverte

Sob o GDPR, a base legal normalmente usada para o monitoramento no local de trabalho são os interesses legítimos previstos no Article 6(1)(f) — não o consentimento. O Opinion 2/2017 do Article 29 Working Party estabeleceu que os funcionários quase nunca estão em posição de dar, recusar ou revogar consentimento livremente e que o consentimento é extremamente improvável de ser uma base legal para o tratamento de dados no trabalho. Isso é exatamente o oposto da posição americana, em que uma assinatura é sua defesa mais forte.

Os interesses legítimos exigem um teste documentado de três partes — uma finalidade específica, necessidade genuína sem alternativa menos intrusiva disponível, e um exercício de ponderação frente aos direitos dos funcionários —, e o Article 21 garante a todo funcionário o direito de se opor. Uma avaliação de impacto sobre a proteção de dados é exigida quando o monitoramento é sistemático e potencialmente de alto risco, o que os reguladores nacionais tratam de forma consistente como sendo o caso do monitoramento contínuo de funcionários. O Article 88 também permite que os estados-membros imponham regras nacionais mais rígidas, de modo que Alemanha, França e Países Baixos, em particular, vão além do piso estabelecido pelo GDPR.

A configuração de detecção a custo zero

Para detectar os canais de exfiltração mais comuns, você pode começar com configurações do Group Policy que já vêm com o Windows e não custam nada. Esta é a ordem que oferece a maior cobertura com o menor esforço.

1. Audit Removable Storage — a única configuração de maior valor

Esta é a primeira a ativar, e o motivo é um detalhe que a própria Microsoft afirma em sua documentação e que quase ninguém repete: Um evento de auditoria de segurança é gerado para todos os objetos e todos os tipos de acesso solicitados, sem depender da SACL do objeto.

Leia isso de novo se você já tentou configurar auditoria de arquivos. A auditoria comum do sistema de arquivos fica inerte até que você configure listas de controle de acesso do sistema em cada pasta que importa — a Microsoft é explícita ao dizer que nenhum evento de auditoria é gerado para as SACLs padrão do sistema de arquivos. O Audit Removable Storage dispensa tudo isso. Ative-o, e você passa a receber um evento 4663 para cada arquivo lido de ou gravado em um dispositivo USB, em cada máquina, sem nenhuma engenharia por pasta. A orientação da Microsoft classifica isso como Success e Failure tanto em estações de trabalho quanto em servidores membros e controladores de domínio, enquanto o Audit File System é classificado apenas como “se necessário”.

2. Audit PNP Activity — saiba quando um dispositivo apareceu

Esta fica em Detailed Tracking, não em Object Access — um detalhe pequeno que custa às pessoas dez minutos vasculhando a árvore de políticas. Ela produz o evento 6416, “A new external device was recognized by the System”, no Windows 10 e no Server 2016 ou posterior. O payload carrega o caminho da instância do dispositivo, os IDs do fabricante e um ClassName — filtre por DiskDrive para separar armazenamento de teclados e mouses. A Microsoft classifica o volume como tipicamente baixo e acrescenta uma dica útil de ajuste: reporte sempre que o Subject Security ID não for SYSTEM. Note a limitação — o 6416 registra inserção e habilitação, não remoção, então ele não vai te dizer por quanto tempo um pendrive ficou conectado.

3. Audit Logon — capture o padrão fora do expediente

O evento 4624 registra logons bem-sucedidos com um Logon Type: 2 para interativo no teclado, 3 para rede, 10 para RDP, 7 para desbloqueio. A Microsoft endossa explicitamente esse caso de uso: você pode precisar monitorar o uso de uma conta fora do horário de trabalho. Um logon tipo 10 em uma noite de sábado, vindo de uma conta que nunca trabalhou em um fim de semana, é o alerta de sinal mais barato e mais valioso que você jamais vai construir.

4. SACLs, mas só onde valem a pena

Para os dois ou três compartilhamentos que realmente guardam os dados mais valiosos da empresa, adicione uma SACL e ative o Audit File System. Uma ressalva que vale conhecer: a lista de tipos de acesso que a Microsoft recomenda monitorar cobre gravações, exclusões e alterações de permissão — mas não ReadData. Ler é o que caracteriza o roubo, então adicione isso deliberadamente. A Microsoft também alerta contra a ativação generalizada, e com razão: aplique SACL a um servidor de arquivos inteiro e você vai se afogar em eventos, parar de olhar, o que é pior do que simplesmente não registrar nada.

5. Aumente o tamanho do log e realmente agende a revisão

O log de segurança padrão é sobrescrito rapidamente assim que os eventos 4663 começam a fluir, e um log que já sobrescreveu a evidência não é um controle. Aumente o tamanho primeiro. Depois, coloque um compromisso mensal recorrente na agenda — eventos de USB, logons fora do expediente, quaisquer novas regras de encaminhamento de caixa de correio. Detecção é um hábito, não uma caixinha para marcar; um log que ninguém lê nunca pegou ninguém.

Uma adição gratuita que vale a instalação: o Sysmon, do pacote Sysinternals da Microsoft, preenche várias das lacunas acima. O evento 3 registra conexões de rede associadas a um processo — vem desativado a menos que você o configure — e o evento 22 registra consultas DNS, de modo que uma consulta a um domínio de compartilhamento de arquivos de uso pessoal se torna visível. O evento 9 captura leituras brutas de disco, que a Microsoft observa serem usadas para evitar ferramentas de auditoria de acesso a arquivos. Esses três são os que valem a pena manter rodando de forma rotineira.

O Sysmon também pode registrar alterações na área de transferência (evento 24), e você deveria pensar bem antes de ativar isso. Áreas de transferência carregam senhas, mensagens pessoais e dados de outras pessoas, e capturá-las é algo categoricamente mais intrusivo do que registrar que um arquivo se moveu. Se você ativar esse recurso, diga isso explicitamente no aviso de monitoramento, em vez de embutir sob uma descrição genérica — a divulgação precisa corresponder ao que você de fato coleta, ou o aviso não está cumprindo sua função.

O que o Windows não consegue ver

O Windows não consegue ver dentro do tráfego criptografado, e essa única limitação define a fronteira da configuração gratuita. Ser direto sobre isso importa mais do que mais uma lista de recursos, porque um controle que você acredita erroneamente ter é pior do que um que você sabe que não tem.

• Payloads HTTPS. Todo upload de webmail, sincronização de nuvem pessoal e aplicativo de mensagens é opaco. Você pode ver que uma conexão aconteceu; não verá o que passou por ela.
• Tráfego de saída de rede com atribuição. O log do Firewall do Windows vem desativado por padrão, e mesmo ativado ele registra tuplas de conexão — não qual processo ou qual usuário.
• Qual arquivo foi para onde. O Windows registra leituras de arquivo e envios de rede de forma independente, e nunca os correlaciona. Unir essas duas metades é exatamente para isso que servem os produtos de data loss prevention (DLP).
• Uma câmera de celular apontada para a tela. Nenhum artefato, nenhum controle, nenhum produto. É o canal de exfiltração mais antigo que existe, e ainda sem solução.

Duas coisas que a internet erra

Primeiro, a duração da sessão. Muita orientação por aí sugere combinar o evento de logon 4624 com o evento de logoff 4634 para medir quanto tempo alguém trabalhou. A Microsoft documenta esse caso de uso, mas anexa um aviso que a maioria dos textos omite: Os eventos de logoff não são 100% confiáveis. Por exemplo, o computador pode ser desligado sem um logoff e desligamento adequados; nesse caso, um evento de logoff não é gerado. A duração da sessão é uma tendência razoável de acompanhar; construa um alerta rígido em cima dela e ele vai disparar para pessoas que simplesmente fecharam o laptop.

Segundo, o log de impressão. Ativar o log operacional do PrintService costuma ser apresentado como algo que dá a você um registro do que foi impresso. Ele te dá o evento 307 com o trabalho de impressão — mas o nome do documento é ofuscado para a string literal “Print Document” até que você altere uma configuração separada. Ative o log, imprima uma página de teste e confira o nome antes de confiar nele.

Também existem duas alegações amplamente difundidas de forense de USB — um conjunto de IDs de evento do DriverFrameworks para conexão e desconexão, e um evento de diagnóstico de Partition carregando números de série de dispositivo — que aparecem em dezenas de posts de blog, mas não são documentadas pela Microsoft em lugar nenhum, e o log relevante vem desativado por padrão. É bem possível que funcionem. Não construa um controle baseado nelas sem testar primeiro no seu próprio hardware.

Quando vale a pena investir em ferramentas

Investir em ferramentas vale a pena a partir do momento em que a configuração gratuita para de responder às perguntas que você realmente está fazendo — geralmente quando você precisa de visibilidade sobre uploads criptografados, ou quando revisar logs de eventos brutos manualmente deixa de ser realista. Aqui está uma comparação honesta na escala de 10 a 50 PCs.

A lacuna que empurra a maioria das pequenas empresas para fora do nível gratuito não é a capacidade de detecção, mas a legibilidade. O Windows registra milhares de eventos 4663 sem hesitar; transformar isso em “eis o que esta pessoa fez na última quinzena” é um trabalho manual que ninguém sustenta. É esse o papel que o monitoramento declarado de atividade em máquinas da empresa cumpre — e ele só funciona, do ponto de vista legal e cultural, sobre a base de transparência estabelecida antes.

Seja qual for a sua escolha, aplique-a a todos no mesmo nível, em vez de isolar a pessoa que você suspeita. É no monitoramento direcionado e secreto de um único funcionário que mora a exposição legal, e é também assim que você destrói a confiança dos outros nove colegas que acabam descobrindo depois.

A checklist de saída e a primeira hora

Dado que a maior parte do roubo de propriedade intelectual acontece dentro de 30 dias após a saída, a checklist abaixo vale mais do que qualquer ferramenta da lista anterior. Todo mundo diz “revogue o acesso imediatamente”; quase ninguém escreve o que isso significa na prática.

• Desative a conta, não a exclua. Excluir destrói o rastro de auditoria e qualquer caixa de correio que você possa precisar depois.
• Revogue sessões ativas e tokens, não apenas a senha. Uma sessão já autenticada em um celular pessoal sobrevive a uma troca de senha.
• Verifique as regras de encaminhamento da caixa de correio — tanto o encaminhamento em nível de caixa de correio quanto as regras de caixa de entrada. As regras podem ser criadas de forma que não apareçam no Outlook, então verifique do lado do servidor.
• Extraia o log de auditoria agora, não depois. O Microsoft 365 Audit (Standard) mantém os registros por 180 dias por padrão — mas a busca de auditoria de administrador, já descontinuada, alcança apenas 90, e a retenção varia conforme a licença. Exporte o que você precisa em vez de confiar que ainda estará lá no próximo trimestre.
• Desconecte os clientes pessoais de sincronização em nuvem da máquina e verifique quais pastas estavam sendo sincronizadas.
• Troque credenciais compartilhadas — a chave do Wi-Fi, o login de administrador compartilhado, as contas para as quais ninguém ainda arranjou tempo de criar logins individuais. Em uma pequena empresa, esta costuma ser a parte mais longa da lista.
• Recolha o hardware, incluindo quaisquer drives ou dongles em posse pessoal, e registre o que foi devolvido.
• Mantenha o dispositivo de quem saiu intocado por uma quinzena antes de reformatá-lo, caso a saída tenha sido de alguma forma conturbada.
• Conduza a entrevista de desligamento com o acordo de propriedade intelectual em mãos. A divisão CERT da Carnegie Mellon recomenda há muito tempo usar a entrevista de desligamento para revisar com a pessoa o acordo que ela assinou, e fazê-la reconhecê-lo novamente. Isso custa dez minutos, e é o único item desta lista que aborda a intenção, e não a oportunidade.

Se você acha que isso está acontecendo agora

Preserve primeiro, investigue depois, aja em terceiro lugar — nessa ordem, porque o instinto natural inverte os três.

1. Não desligue a máquina. Desligá-la faz você perder tudo o que está na memória e pode disparar uma limpeza durante o desligamento. Em vez disso, isole-a da rede e deixe-a ligada.
2. Não fique navegando nela. Cada pasta que você abre reescreve os timestamps de acesso — a mesma metadata da qual você dependeria mais tarde. Se houver alguma chance de o caso ir parar diante de um tribunal ou de qualquer autoridade, providencie uma imagem forense primeiro.
3. Capture os logs antes que sejam sobrescritos. Exporte o log de segurança do endpoint e a busca de auditoria relevante do Microsoft 365 imediatamente.
4. Nunca abra as contas pessoais da pessoa. Credenciais salvas em um navegador da empresa não dão a você autorização, e é usá-las que faz a posição forte de um empregador desmoronar.
5. Chame um advogado antes de confrontar quem quer que seja. Uma conversa baseada em evidências incompletas alerta justamente a única pessoa que ainda pode apagar coisas — e, se você estiver errado, terá acusado um funcionário de um crime.

Nada disso exige uma equipe de segurança. Exige decidir, antes que qualquer coisa aconteça, que você vai fazer direito a versão sem graça: o aviso assinado no primeiro dia, três políticas de auditoria ativadas, uma checklist que roda toda vez que alguém sai, e uma hora por mês realmente dedicada a olhar. É assim que a detecção de ameaças internas se parece nesse porte de empresa, e está totalmente ao seu alcance.

Perguntas frequentes