Deteção de ameaças internas para pequenas empresas

O que conta como ameaça interna

Uma ameaça interna é o risco de alguém com acesso legítimo o usar — deliberadamente ou não — para prejudicar a organização. A Cybersecurity and Infrastructure Security Agency dos EUA define um insider como qualquer pessoa que tenha ou tenha tido acesso autorizado aos recursos de uma organização, ou conhecimento deles, incluindo pessoal, instalações, informação, equipamento, redes e sistemas. A palavra que faz o trabalho ali é autorizado. Ninguém tem de forçar a entrada.

A distinção central da CISA é entre dano não intencional e intencional, e a agência assinala em separado duas situações que atravessam ambas as categorias. Isso dá-lhe quatro categorias que vai encontrar na prática — vale a pena conhecê-las, porque a expressão «os três tipos de ameaças internas» é repetida por todo o lado e não corresponde à fonte:

Agora a parte que a maioria dos artigos sobre este tema omite. Os incidentes internos não são a forma mais comum de uma pequena empresa sofrer uma violação, e deve desconfiar de quem lhe disser o contrário. O Data Breach Investigations Report de 2026 da Verizon — construído a partir de mais de 31,000 incidentes reais — encontrou agentes internos em 12% das violações, uma descida face aos 18% do ano passado. O seu painel de pequenas empresas, que abrange organizações com menos de 1,000 colaboradores, atribui praticamente todas as violações a agentes externos com motivação financeira.

Então porque vale a pena dedicar-lhe uma tarde? Porque o perfil de custo está invertido. O estudo de 2026 do Ponemon Institute e da DTEX, Cost of Insider Risks, concluiu que os incidentes internos levam, em média, 67 dias a conter, com um custo aproximado de $747,000 por incidente negligente, $742,000 por um malicioso, e $842,000 quando um agente externo usava credenciais roubadas. Os incidentes internos são mais raros do que o phishing, mas demoram mais tempo a ser detetados, e o que sai pela porta costuma ser precisamente aquilo em que o negócio está realmente construído.

Porque é que as saídas são o ponto de pressão

Porque o risco concentra-se numa janela estreita e previsível. O Software Engineering Institute da Carnegie Mellon — a divisão CERT que estuda casos internos há duas décadas — afirmou-o claramente na sua análise de casos de roubo de propriedade intelectual: a maioria dos insiders furta propriedade intelectual nos 30 dias seguintes à saída de uma organização. Essa conclusão data de 2011, e vale a pena assinalar a sua idade; ainda assim, tem-se mantido válida como princípio organizador da prática de risco interno desde então, e todos os relatórios de telemetria de fornecedores publicados desde então concentram a atividade em torno da mesma janela de saída.

Essa única frase é operacionalmente mais útil do que qualquer feed de threat intelligence que uma pequena empresa pudesse comprar. Significa que não precisa de vigilância contínua de toda a gente. Precisa é de saber quando alguém está de saída, e de estar a observar o punhado certo de sinais nas semanas antes e depois dessa data.

Verifique as estatísticas antes de planear com base nelas

Três números dominam todos os artigos sobre roubo de dados por colaboradores, e cada um deles é citado de uma forma que o exagera. Isto importa na prática: se acreditar que metade da sua equipa rouba dados, vai comprar a coisa errada e tratar mal as pessoas ao fazê-lo.

• «45% dos colaboradores levam dados quando saem.» É real, mas é o subconjunto dos EUA de um inquérito da Tessian de maio de 2020. O valor global do mesmo estudo foi de 34%, e o valor do Reino Unido foi de 23%. O qualificador é omitido quase sempre que é citado.
• «72% dos colaboradores levam dados da empresa.» Isto é uma leitura errada. Os 72% no relatório de 2019 da Code42 são a percentagem de líderes de segurança da informação que concordaram com a afirmação de atitude não são apenas dados da empresa, é o meu trabalho — e as minhas ideias. É uma conclusão sobre como as pessoas sentem a questão da propriedade, não sobre quantas delas copiam ficheiros.
• «63% trouxeram dados de um empregador anterior.» Este tem uma fonte real, localizável — o Global Data Exposure Report de 2019 da Code42 — publicado em outubro de 2019. Mas atenção à população, que é o mesmo deslize em que assenta o número dos 72%: os inquiridos foram 1,028 líderes de segurança e 615 decisores de negócio, não uma amostra representativa da equipa. E descreve pessoas a chegar com dados, o que é um risco diferente daquele que está a tentar detetar na saída.

O número mais defensável é o da Cyberhaven Labs em 2022, e é defensável precisamente porque é telemetria observada e não autodeclaração: em cerca de 1.4 milhões de colaboradores que lidam com dados sensíveis, 9.4% exfiltraram dados ao longo de uma janela de seis meses. A publicação do blogue que continha esse número foi entretanto retirada — o relatório subjacente sobrevive como download com registo obrigatório — pelo que hoje é mais fácil verificá-lo através da cobertura de imprensa da época. Trate-o, de qualquer forma, como desatualizado. O relatório de investigações de 2023 da DTEX situa em 12% a percentagem de colaboradores de saída que levam propriedade intelectual sensível.

Vale também a pena interiorizar aqui a orientação da CISA: a avaliação de ameaças deve ser baseada em comportamentos, não em perfis, e estes atos são raramente espontâneos — seguem-se a uma decisão deliberada. Não há nenhum padrão demográfico a vigiar, e procurar um vai deixá-lo simultaneamente errado e injusto.

Como os dados saem, na prática

Os dados saem de uma pequena rede Windows através de uma lista curta e aborrecida de canais. O que importa operacionalmente não é o canal em si, mas se deixa um vestígio que consiga encontrar mais tarde — e, para vários deles, a resposta honesta é que não deixa.

Em termos do MITRE ATT&CK, isto corresponde a T1052.001 (Exfiltration over USB), T1567.002 (Exfiltration to Cloud Storage — a própria descrição do MITRE nomeia o Dropbox e o Google Docs) e T1114.003 (Email Forwarding Rule). A analítica de deteção do MITRE para o caso do USB é inserção de um dispositivo USB seguida de acesso e preparação de ficheiros em grande volume ou sensíveis — que é exatamente o Evento 6416 correlacionado com o 4663, e exatamente o que as próximas secções configuram.

Antes de monitorizar seja o que for

Antes de ativar uma única política de auditoria, escreva o aviso. Isto não é uma nota de rodapé de conformidade para arrumar mais tarde — em três estados dos EUA é um dever estatutário que se aplica antes de a monitorização começar, e nenhuma dessas leis isenta pequenos empregadores. Uma empresa com dez pessoas em Nova Iorque está abrangida exatamente como uma com dez mil.

A base federal, e a armadilha

A Electronic Communications Privacy Act é o patamar mínimo federal. Duas exceções fazem a maior parte do trabalho para os empregadores. A exceção do fornecedor de serviço, prevista em 18 U.S.C. § 2511(2)(a)(i), cobre a interceção nas suas próprias instalações quando esta constitui um incidente necessário à prestação do serviço ou à proteção dos direitos ou da propriedade do fornecedor desse serviço. Em separado, o § 2511(2)(d) torna a lei federal uma lei de consentimento de uma só parte: lícita quando uma das partes da comunicação tiver dado consentimento prévio.

A vantagem prática — e é real, mesmo não sendo a história limpa de documento único que por vezes se ouve — é que um reconhecimento de monitorização assinado desempenha uma dupla função. A lei federal não exige consentimento onde a exceção do fornecedor já se aplica, mas o consentimento é a segunda via, independente, ao abrigo do § 2511(2)(d), e ter as duas é uma posição mais sólida do que depender apenas de uma. A mesma assinatura satisfaz simultaneamente o reconhecimento exigido por Nova Iorque e pelo Delaware.

Ainda assim, isto não cobre tudo, e vale a pena nomear três lacunas. Uma assinatura, por si só, não cumpre o dever de afixação — Nova Iorque exige o aviso na parede além de reconhecido, e no Connecticut a afixação é o aviso exigido. O âmbito da exceção do fornecedor é definido pela jurisprudência, e não por uma linha clara, pelo que «o portátil é nosso» é uma posição de partida forte, não uma defesa assente. E se gravar chamadas, verifique separadamente a lei de escutas do seu estado: vários estados exigem o consentimento de todas as partes, o que é mais rigoroso do que o patamar federal.

Se tiver colaboradores na UE, a resposta inverte-se

Ao abrigo do GDPR, o fundamento jurídico habitualmente usado para a monitorização no local de trabalho é o interesse legítimo nos termos do Article 6(1)(f) — não o consentimento. O Parecer 2/2017 do Article 29 Working Party sustentou que os colaboradores quase nunca estão em posição de dar, recusar ou revogar livremente o consentimento e que o consentimento é altamente improvável que constitua um fundamento jurídico para o tratamento de dados no trabalho. Isto é exatamente o oposto da posição nos EUA, onde uma assinatura é a sua defesa mais forte.

O interesse legítimo exige um teste documentado em três partes — uma finalidade específica, uma necessidade genuína sem alternativa menos intrusiva, e um exercício de ponderação face aos direitos dos colaboradores — e o Article 21 dá a todos os colaboradores o direito de oposição. É exigida uma avaliação de impacto sobre a proteção de dados sempre que a monitorização seja sistemática e suscetível de apresentar um risco elevado, o que os reguladores nacionais tratam consistentemente como sendo o caso da monitorização contínua de colaboradores. O Article 88 também permite que os Estados-membros imponham regras nacionais mais estritas, pelo que a Alemanha, a França e os Países Baixos, em particular, vão além do nível de base do GDPR.

A configuração de deteção a custo zero

Para detetar os canais de exfiltração mais comuns, pode começar com definições de Group Policy que já vêm com o Windows e não custam nada. Eis a ordem que dá a maior cobertura pelo menor esforço.

1. Audit Removable Storage — a definição isolada de maior valor

Esta é a primeira a ativar, e a razão é um pormenor que a própria Microsoft indica na sua documentação e que quase ninguém repete: É gerado um evento de auditoria de segurança para todos os objetos e todos os tipos de acesso solicitado, sem dependência da SACL do objeto.

Leia isto de novo se alguma vez tentou configurar a auditoria de ficheiros. A auditoria comum do sistema de ficheiros está inerte até configurar listas de controlo de acesso ao sistema em cada pasta que lhe importa — a Microsoft é explícita ao afirmar que não são gerados eventos de auditoria para as SACL predefinidas do sistema de ficheiros. O Audit Removable Storage salta tudo isso. Ative-o, e obtém um evento 4663 por cada ficheiro lido ou escrito num dispositivo USB, em todas as máquinas, sem qualquer engenharia pasta a pasta. A orientação da Microsoft classifica-o como Success and Failure tanto em estações de trabalho como em servidores membro e controladores de domínio, ao passo que o Audit File System só é classificado como «se necessário».

2. Audit PNP Activity — saber quando um dispositivo apareceu

Esta vive sob Detailed Tracking, não Object Access — um pormenor que custa às pessoas dez minutos à procura na árvore de políticas. Produz o Event ID 6416, «A new external device was recognized by the System», no Windows 10 e no Server 2016 ou posterior. A carga inclui o caminho da instância do dispositivo, os IDs do fornecedor e um ClassName — filtre por DiskDrive para separar armazenamento de teclados e ratos. A Microsoft classifica o volume como normalmente baixo e acrescenta uma dica de ajuste útil: reportá-lo sempre que o Subject Security ID não seja SYSTEM. Note-se a limitação — o 6416 regista a ligação e a ativação, não a remoção, pelo que não lhe dirá durante quanto tempo uma pen esteve ligada.

3. Audit Logon — apanhar o padrão fora de horas

O Event ID 4624 regista inícios de sessão bem-sucedidos com um Logon Type: 2 para interativo no teclado, 3 para rede, 10 para RDP, 7 para desbloqueio. A Microsoft valida explicitamente este caso de uso: pode ser necessário monitorizar a utilização de uma conta fora do horário de trabalho. Um início de sessão de tipo 10 num sábado à noite, numa conta que nunca trabalhou um fim de semana, é o alerta de sinal mais forte e mais barato que alguma vez vai construir.

4. SACLs, mas só onde compensam

Nas duas ou três partilhas que genuinamente contêm as joias da coroa, adicione uma SACL e ative o Audit File System. Uma ressalva que vale a pena conhecer: a lista de tipos de acesso recomendada pela Microsoft para monitorizar cobre escritas, eliminações e alterações de permissões — mas não o ReadData. A leitura é o aspeto que o roubo assume, por isso acrescente-o deliberadamente. A Microsoft também desaconselha a ativação generalizada, e tem razão: aplique SACL a um servidor de ficheiros inteiro e vai afogar-se em dados — e depois deixa de olhar, o que é pior do que não registar nada.

5. Aumente o tamanho do registo e marque mesmo a revisão

O registo de Segurança predefinido roda rapidamente assim que os eventos 4663 começam a fluir, e um registo que já sobrescreveu as provas não é um controlo. Primeiro, aumente o tamanho. Depois, marque um compromisso mensal recorrente no calendário — eventos USB, inícios de sessão fora de horas, quaisquer novas regras de reencaminhamento de caixa de correio. A deteção é um hábito, não uma checkbox; um registo que ninguém lê nunca apanhou ninguém.

Uma adição gratuita que vale a pena instalar: o Sysmon, do conjunto Sysinternals da Microsoft, preenche várias das lacunas acima. O Evento 3 regista as ligações de rede associadas a um processo — está desativado a menos que o configure — e o Evento 22 regista as consultas DNS, pelo que uma pesquisa a um domínio de partilha de ficheiros de consumo se torna visível. O Evento 9 apanha leituras diretas do disco, que a Microsoft nota serem usadas para evitar ferramentas de auditoria de acesso a ficheiros. Esses três são os que vale a pena executar de forma rotineira.

O Sysmon também pode registar alterações na área de transferência (Evento 24), e deve pensar muito bem antes de ativar isso. As áreas de transferência transportam palavras-passe, mensagens pessoais e dados de outras pessoas, e capturá-las é algo categoricamente mais intrusivo do que registar que um ficheiro se moveu. Se optar por ativá-lo, diga-o explicitamente no aviso de monitorização, em vez de o esconder dentro de uma descrição genérica — a divulgação tem de corresponder ao que realmente recolhe, ou o aviso não está a cumprir a sua função.

O que o Windows não consegue ver

O Windows não consegue ver dentro do tráfego cifrado, e essa única limitação define a fronteira da configuração gratuita. Ser direto sobre isto importa mais do que mais uma lista de funcionalidades, porque um controlo que acredita erradamente ter é pior do que um que sabe que lhe falta.

• Cargas úteis HTTPS. Todo o carregamento para webmail, sincronização com a nuvem pessoal e aplicação de mensagens é opaco. Pode ver que uma ligação aconteceu; não verá o que passou por ela.
• Tráfego de saída com atribuição. O registo da Windows Firewall está desativado por predefinição, e mesmo quando ativado regista tuplos de ligação — não qual o processo ou qual o utilizador.
• Que ficheiro foi para onde. O Windows regista leituras de ficheiros e envios de rede de forma independente, e nunca os correlaciona. Unir estas duas metades é precisamente para isso que servem os produtos de prevenção de perda de dados.
• Uma câmara de telemóvel apontada ao ecrã. Sem vestígio, sem controlo, sem produto. É o canal de exfiltração mais antigo, e continua por resolver.

Duas coisas em que a internet se engana

Primeiro, a duração da sessão. Muita orientação sugere associar o evento de início de sessão 4624 ao evento de fim de sessão 4634 para medir durante quanto tempo alguém esteve a trabalhar. A Microsoft documenta esse caso de uso, mas junta um aviso que a maioria dos artigos omite: Os eventos de fim de sessão não são fiáveis a 100 por cento. Por exemplo, o computador pode ser desligado sem um fim de sessão e encerramento adequados; nesse caso, não é gerado um evento de fim de sessão. A duração da sessão é uma tendência razoável a observar; construa sobre ela um alerta rígido e este vai disparar para pessoas que simplesmente fecharam o portátil.

Segundo, o registo de impressão. Ativar o registo operacional do PrintService é geralmente apresentado como algo que lhe dá um registo do que foi impresso. Dá-lhe o Evento 307 com o trabalho — mas o nome do documento é ofuscado para a cadeia literal «Print Document» até alterar uma definição separada. Ative o registo, imprima uma página de teste, e verifique o nome antes de confiar nele.

Há também duas afirmações de forense USB muito difundidas — um conjunto de IDs de evento do DriverFrameworks para ligar e desligar, e um evento de diagnóstico do Partition que transporta números de série do dispositivo — que aparecem em dezenas de publicações de blogue mas que a Microsoft não documenta em lado nenhum, e o registo relevante está desativado por predefinição. É bem possível que funcionem. Não construa um controlo sobre eles sem antes os testar no seu próprio hardware.

Quando as ferramentas compensam

As ferramentas compensam a partir do momento em que a configuração gratuita deixa de responder às perguntas que está realmente a fazer — normalmente quando precisa de visibilidade sobre carregamentos cifrados, ou quando rever manualmente registos de eventos em bruto deixa de ser realista. Eis uma comparação honesta à escala de 10 a 50 PCs.

A lacuna que empurra a maioria das pequenas empresas para fora do nível gratuito não é a capacidade de deteção, mas a legibilidade. O Windows regista alegremente milhares de eventos 4663; transformá-los em «eis o que esta pessoa fez na última quinzena» é trabalho manual que ninguém sustenta no tempo. É essa a função que a monitorização de atividade divulgada em computadores da empresa desempenha — e só funciona, legal e culturalmente, com base na divulgação estabelecida anteriormente.

Seja qual for a opção escolhida, aplique-a a todos ao mesmo nível, em vez de isolar a pessoa que suspeita. A monitorização direcionada e secreta de um único colaborador é onde reside a exposição legal, e é também a forma de destruir a confiança dos outros nove colegas que vierem a descobrir mais tarde.

A lista de verificação de saída e a primeira hora

Dado que a maioria dos roubos de propriedade intelectual acontece nos 30 dias seguintes à saída, a lista de verificação abaixo vale mais do que qualquer ferramenta da lista anterior. Toda a gente diz «revogar o acesso de imediato»; quase ninguém escreve o que isso significa na prática.

• Desative a conta, não a elimine. Eliminá-la destrói o registo de auditoria e qualquer caixa de correio de que possa precisar mais tarde.
• Revogue as sessões ativas e os tokens, não apenas a palavra-passe. Uma sessão iniciada num telemóvel pessoal sobrevive a uma alteração de palavra-passe.
• Verifique as regras de reencaminhamento da caixa de correio — tanto o reencaminhamento ao nível da caixa de correio como as regras da caixa de entrada. As regras podem ser criadas de forma a não aparecerem no Outlook, por isso verifique do lado do servidor.
• Extraia o registo de auditoria agora, não depois. O Microsoft 365 Audit (Standard) mantém os registos durante 180 dias por predefinição — mas a pesquisa de auditoria de administrador, já obsoleta, só recua 90, e a retenção varia consoante a licença. Exporte o que precisar em vez de confiar que ainda lá estará no próximo trimestre.
• Desligue os clientes de sincronização com a nuvem pessoal da máquina e verifique que pastas estavam a ser sincronizadas.
• Rode as credenciais partilhadas — a chave do Wi-Fi, o início de sessão de administrador partilhado, as contas a que ainda ninguém teve tempo de atribuir inícios de sessão individuais. Numa pequena empresa, esta costuma ser a parte mais longa da lista.
• Recupere o hardware, incluindo quaisquer unidades ou dongles em posse pessoal, e registe o que foi devolvido.
• Mantenha o dispositivo da pessoa que saiu intocado durante uma quinzena antes de o reinstalar, se a saída tiver sido de alguma forma azeda.
• Faça a entrevista de saída com o acordo de propriedade intelectual em mãos. A divisão CERT da Carnegie Mellon recomenda há muito que se use a entrevista de saída para rever com a pessoa que sai o acordo que assinou, e para que o reconheça de novo. Custa dez minutos e é o único ponto desta lista que aborda a intenção, e não a oportunidade.

Se achar que está a acontecer neste momento

Preserve primeiro, investigue depois, aja em terceiro lugar — por esta ordem, porque o instinto natural inverte os três passos.

1. Não desligue a máquina. Desligá-la perde tudo o que estava em memória e pode desencadear uma limpeza ao encerrar. Em vez disso, isole-a da rede e deixe-a ligada.
2. Não ande a mexer nela. Cada pasta que abre reescreve as marcas temporais de acesso — os mesmos metadados de que mais tarde dependeria. Se o assunto puder acabar por ser apresentado a alguém, mande primeiro tirar uma imagem forense.
3. Capture os registos antes que rodem. Exporte de imediato o registo de Segurança do endpoint e a pesquisa de auditoria relevante do Microsoft 365.
4. Nunca abra as contas pessoais dessa pessoa. Credenciais guardadas num navegador da empresa não lhe dão autorização, e usá-las é exatamente onde a posição forte de um empregador se desmorona.
5. Contacte um advogado antes de confrontar seja quem for. Uma conversa mantida com base em provas incompletas alerta precisamente a única pessoa que ainda pode apagar coisas — e, se estiver errado, acusou um colaborador de um crime.

Nada disto exige uma equipa de segurança. Exige decidir, antes de qualquer coisa acontecer, que vai fazer bem a versão aborrecida: o aviso assinado no primeiro dia, três políticas de auditoria ativadas, uma lista de verificação que se cumpre sempre que alguém sai, e uma hora por mês passada a olhar mesmo. É isto que a deteção de ameaças internas parece a esta escala, e está inteiramente ao alcance.

Perguntas frequentes