Acelerando a recuperação cibernética com resposta a incidentes, inteligência contra ameaças e tecnologias de “cleanroom”

Um ponto de recuperação limpo é um conjunto de dados validado como livre de malware, anomalias de criptografia ou indicadores de comprometimento, por meio de inteligência contra ameaças e análise baseada em IA. 

Recovery Sintética reconstrói dados limpos a partir de várias versões de backup, ajudando a preservar alterações recentes e, ao mesmo tempo, a eliminar artefatos maliciosos. 

Uma sala limpa oferece um ambiente isolado para ajudar a validar dados, testar cargas de trabalho e confirmar que os sistemas estão seguros antes da restauração para produção. 

Sem testes, as organizações se baseiam em suposições que muitas vezes se revelam falsas durante incidentes — levando à reinfecção ou a um tempo de inatividade prolongado. 

Integrando detecção, identificação de ponto de Recovery, Recovery automatizada e validação em uma única plataforma.  

Assista ao vídeo aqui para ver a transcrição com marcação de tempo

00:08 – 00:09
Olá a todos.
00:09 – 00:15
Sejam bem-vindos à sessão “Acelerando a recuperação cibernética com resposta a incidentes, inteligência contra ameaças e Cleanroom”.
00:19 – 00:20
Meu nome é Dave Cunningham.
00:20 – 00:23
Faço parte da equipe de gerentes de produto da Commvault.
00:23 – 00:27
Trabalho com nossas soluções de segurança cibernética, como nossa plataforma de detecção de ameaças e integrações de segurança.
00:27 – 00:28
E estou aqui com o Dinesh.
00:28 – 00:30
E aí, Dinesh?
00:30 – 00:31
Oi, obrigado, David.
00:31 – 00:32
Oi, pessoal.
00:32 – 00:33
Meu nome é Dinesh Reddy.
00:33 – 00:39
Faço parte da equipe de gerenciamento de produtos da Commvault e sou responsável pelas nossas soluções de Recovery.
00:39 – 00:44
Então, vamos começar e falar sobre resiliência cibernética.
00:44 – 00:49
O NIST define claramente a estrutura em torno da resiliência cibernética.
00:49 – 01:01
Sabe, a capacidade de antecipar, resistir, se recuperar e se adaptar, restabelecer os negócios e se recuperar de todos os tipos de ameaças ou desastres.
01:01 – 01:07
A discussão sobre resiliência cibernética se torna bastante complexa quando se começa a considerar o cenário de ameaças em constante evolução.
01:07 – 01:15
E vamos falar um pouco sobre alguns dos recursos avançados que oferecemos em nossa plataforma, não apenas para proporcionar resiliência,
01:15 – 01:22
mas também para fornecer a inteligência necessária para estar pronto para se recuperar no caso de um ataque cibernético.
01:23 – 01:37
A realidade é que, embora as organizações tenham uma estratégia para se preparar para a Recovery cibernética e para serem resilientes ciberneticamente, elas geralmente não confiam nessa estratégia.
01:37 – 01:39
E isso fica evidente nos números.
01:40 – 01:42
Mais da metade das organizações
01:42 – 01:53
não confia em sua capacidade de Recovery e não acredita que, caso algo aconteça ao seu ambiente, será capaz de recuperar seus recursos com segurança.
01:53 – 02:05
Na verdade, há um risco 97% maior de falha na recuperação porque as organizações não testam regularmente seus planos e processos de recuperação cibernética.
02:05 – 02:10
E elas começam a perceber lacunas em seus planos durante o incidente cibernético.
02:10 – 02:14
Elas podem nem mesmo saber se seus backups estão limpos ou se estão infectados.
02:14 – 02:14
É.
02:14 – 02:25
E também, sabe, acho que há um aspecto disso que precisamos destacar: 55% das organizações têm pilhas de tecnologia de segurança e TI isoladas.
02:25 – 02:29
E esse é um problema extremamente importante a ser destacado aqui.
02:29 – 02:35
Porque, quando se fala de uma solução de resiliência como a Commvault, mantê-la desconectada
02:35 – 02:45
de uma plataforma de segurança ou da inteligência que uma plataforma de segurança pode oferecer, isso meio que impede que você consiga se recuperar da maneira ideal.
02:45 – 02:50
Portanto, esse é um problema importante que as organizações também enfrentam hoje.
02:50 – 02:50
Sim.
02:50 – 02:53
Na verdade, essa lacuna entre as equipes, certo?
02:53 – 02:59
Os silos geram atrasos, o que, por sua vez, aumenta o tempo médio de Recovery.
03:00 – 03:05
As organizações hoje, acho que existe aquele tipo tradicional de plano de Recovery
03:05 – 03:09
que as organizações vêm usando há bastante tempo.
03:09 – 03:21
Acho que os planos tradicionais de Recovery que muitas organizações estão usando não atendem totalmente às necessidades do cenário atual de ameaças, à forma como as ameaças cibernéticas estão impactando
03:21 – 03:23
as organizações hoje.
03:23 – 03:30
E, por isso, defendemos veementemente esse conceito de planos de Recovery cibernética, a capacidade não apenas
de 03:30 – 03:36
testar suas recuperações, mas também de incorporar algum tipo de inteligência contra ameaças como parte desse plano de Recovery.
03:36 – 03:45
A razão para isso é que, sabe, quando eles restauram os ambientes às cegas, existe o risco de reintroduzir ameaças no ambiente, certo?
03:45 – 03:56
Sabe, a plataforma de proteção de dados está protegendo os dados continuamente e, a qualquer momento, pode haver ameaças sendo protegidas junto com os dados dentro da plataforma
combinada 03:56 – 03:58
em qualquer plataforma de proteção de dados.
03:58 – 04:03
E, ao restaurar às cegas no ambiente, você pode estar reintroduzindo as vulnerabilidades.
04:03 – 04:08
E também a “reversão” é um conceito que ouvimos bastante nas organizações.
04:08 – 04:18
Quando elas sofrem um incidente cibernético e querem recuperar seus dados, voltam no tempo, e esse processo de voltar no tempo e recuperar a partir de um snapshot mais antigo, sabe,
04:18 – 04:21
talvez de uma semana atrás, deixa alguns dados para trás, certo?
04:21 – 04:25
Isso acaba colocando a empresa em risco de não conseguir se recuperar totalmente.
04:25 – 04:27
Portanto, ser capaz de analisar ameaças
04:27 – 04:35
como parte de um teste de Recovery ou de um plano de Recovery cibernético é extremamente importante.
04:35 – 04:36
Com certeza.
04:36 – 04:36
Certo.
04:36 – 04:37
Acho que você acertou em cheio.
04:37 – 04:45
Mas a grande diferença entre os planos de Recovery tradicionais e a Recovery cibernética é que, assim como na Recovery tradicional, não há malícia, certo?
04:45 – 04:47
Em um desastre natural, certo?
04:47 – 04:48
Não há malícia.
04:48 – 04:52
Não há nenhum agente mal-intencionado tentando causar danos ao seu ambiente.
04:52 – 04:55
Você está simplesmente... seu site está fora do ar.
04:55 – 04:56
Você está apenas recuperando seu site.
04:56 – 05:02
E você não está preocupado se seus dados estão infectados, corrompidos ou criptografados.
05:02 – 05:05
Mas a recuperação cibernética é mais complexa do que isso.
05:05 – 05:08
Você precisa garantir que seus backups estejam intactos.
05:08 – 05:19
E, em seguida, você precisa garantir que seja capaz de validar esses backups em um ambiente isolado antes de realmente importá-los para seu ambiente de produção recém-reconstruído, para que
05:19 – 05:20
não haja reinfecção.
05:20 – 05:26
E é aí que nossas soluções ajudam os clientes a fazer isso de maneira simplificada.
05:27 – 05:30
Então, vamos nos aprofundar um pouco mais nisso.
05:30 – 05:40
Vamos dar uma olhada geral na plataforma, como ela funciona e o que incorporamos a ela para ajudar os clientes com esses
05:40 – 05:40
problemas.
05:40 – 05:43
Então, tudo começa com a plataforma de resiliência, a plataforma combinada.
05:44 – 05:48
E oferecemos essa camada imutável usando nossa plataforma principal.
05:48 – 05:53
Portanto, o armazenamento com tecnologias AirGap que temos no produto.
05:53 – 05:56
E isso é extremamente importante porque, antes de tudo,
05:56 – 06:02
precisamos proteger os dados, e esses dados precisam ser protegidos em um estado imutável e indelével.
06:02 – 06:04
Portanto, já temos isso pronto para uso.
06:04 – 06:12
E, além disso, a integração com, você sabe, os conjuntos de ferramentas de Recovery e resposta ou orquestração e segurança também é extremamente importante.
06:12 – 06:21
Mas o que fizemos aqui nessa camada intermediária foi introduzir tecnologias adicionais que, de certa forma, simplificam e quebram esses silos.
06:22 – 06:26
E incorporamos a inteligência contra ameaças como parte do teste de Recovery.
06:28 – 06:31
Então, antes de mais nada, para obter aquele ponto de Recovery limpo, certo?
06:31 – 06:44
E definimos ponto de recuperação limpo ou detecção de ponto limpo como a capacidade de detectar se há ameaças nos dados protegidos e também de obter a última versão válida conhecida
06:44 – 06:51
desses dados, minimizando o retrocesso da sua Recovery.
06:51 – 07:00
Portanto, recebemos alertas de nossos parceiros de segurança por meio de integrações, como com a CrowdStrike e outros, bem como inteligência integrada que vem pronta para uso
07:00 – 07:05
e que não exige que nossos clientes implementem nenhuma tecnologia adicional.
07:05 – 07:12
Essas informações de inteligência fornecerão a você o insight necessário para analisar seus dados em busca de ameaças de malware e criptografia.
07:12 – 07:17
E esse é o primeiro passo para chegar à detecção de pontos limpos.
07:17 – 07:22
Por isso, costumo dizer que você não sabe o quão eficazmente pode recuperar até que faça a recuperação.
07:22 – 07:26
E você nunca quer se encontrar em uma situação em que precise recuperar e não consiga fazê-lo de forma eficaz.
07:26 – 07:33
Por isso, é realmente importante, de forma consistente, testar seus dados e sua capacidade de recuperação.
07:33 – 07:36
Também para confirmar que seus dados estão em boas condições.
07:36 – 07:39
O componente de inteligência contra ameaças é extremamente importante.
07:39 – 07:43
Ele vai lhe proporcionar essa, essa… validação precisa de sua cobertura.
07:43 – 07:51
de que você não apenas é capaz de recuperar seus dados, mas pode recuperá-los naquele estado preciso, naquele bom estado, naquele estado limpo.
07:51 – 07:54
E você está recuperando as versões corretas e mais recentes de seus arquivos.
07:54 – 08:04
Portanto, unificar os conjuntos de ferramentas de segurança e de resiliência, os conjuntos de ferramentas de segurança com essa orquestração de Recovery, é extremamente importante.
08:04 – 08:06
Isso ajudará a reduzir os tempos de resposta.
08:06 – 08:09
Então, vamos nos aprofundar nesse conceito de recuperação sintética.
08:09 – 08:11
Isso é algo novo que lançamos.
08:11 – 08:13
E isso é algo que
08:13 – 08:15
só nós estamos fazendo no mercado atualmente.
08:15 – 08:18
Esse conceito é realmente simples.
08:19 – 08:29
Utilizamos a inteligência da nossa plataforma; como mencionei antes, temos, hum, detecção de malware em nossa plataforma, hum, utilizando um mecanismo baseado em assinaturas e aprendizado de máquina.
08:29 – 08:39
Também nos integramos a ferramentas de SOC, como, por exemplo, regras ER e hashes, para obter inteligência adicional.
08:39 – 08:42
Portanto, o primeiro passo é localizar malware no conteúdo do backup.
08:43 – 08:47
O próximo passo é usar nosso mecanismo de IA para detectar criptografia.
08:47 – 08:56
Portanto, temos um modelo proprietário para detectar estados de criptografia no conteúdo do backup.
08:56 – 09:00
E todas essas informações são armazenadas em nosso índice.
09:00 – 09:07
E, ao fazer isso, conseguimos identificar quais arquivos são afetados por ameaças e quais não são.
09:07 – 09:11
E você pode ver nesta ilustração, do lado esquerdo, que tenho várias 09:11 – 09:15
proteções de dados diferentes
, backups realizados ao longo de um período.
09:15 – 09:21
E, à medida que o ciclo avançava, várias ameaças surgiram, afetando os arquivos.
09:21 – 09:23
Agora vamos começar.
09:23 – 09:33
E, no lado direito, quando eu realmente faço minha recuperação sintética, com um único clique, sintetizamos ou capturamos automaticamente todas as versões mais recentes desses
09:33 – 09:38
dados nos backups, identificamos as últimas versões válidas entre os backups.
09:38 – 09:41
e usamos isso como ponto de recuperação, colocando--os em quarentena por padrão.
09:41 – 09:49
Então, basicamente, estamos oferecendo uma recuperação limpa e minimizando a reversão, o que resolve alguns dos problemas sobre os quais falamos anteriormente.
09:49 – 09:59
Agora vou passar a palavra para o Dinesh, que vai falar sobre como pegamos esse ponto de recuperação limpo, o transferimos e o integramos ao próprio processo de recuperação.
09:59 – 10:01
David.
10:01 – 10:05
Então, como você mencionou, neste momento identificamos um ponto limpo
10:05 – 10:09
, certo, por meio de vários sinais de ameaça e da verificação dos backups.
10:09 – 10:22
O próximo passo seria validar esses dados em um ambiente seguro e isolado, sem comprometer de fato a produção que você está reconstruindo.
10:22 – 10:33
E você deve sempre validar seus aplicativos dentro de uma “sala limpa” isolada antes de restaurá-los para a produção recém-reconstruída, a fim de minimizar o risco de infecção.
10:33 – 10:34
E uma das etapas-chave
10:34 – 10:39
durante esse processo de validação é reinstalar o sistema operacional em seus servidores.
10:39 – 10:51
Isso é feito removendo completamente o sistema operacional e reconstruindo o servidor a partir de uma imagem padrão personalizada que já
foi validada e fixada, para que você sempre comece a partir de um 10:51 – 10:53
.
10:53 – 11:04
Depois que o aplicativo tiver sido exaustivamente testado e validado dentro desse ambiente isolado (clean room), você estará pronto para promover esse aplicativo para o ambiente de produção.
11:04 – 11:14
Nos próximos minutos, vamos aprender como o Cleanroom Recovery ajuda você a fazer isso da maneira mais eficiente.
11:15 – 11:18
Gosto muito dessa citação do Mike Tyson.
11:18 – 11:23
Ela realmente se alinha ao que estamos tentando resolver com nossas soluções.
11:23 – 11:28
Ele disse: “Todo mundo tem um plano até levar um soco na cara”.
11:28 – 11:33
E isso, hum, definitivamente se aplica à Recovery cibernética e à resiliência.
11:33 – 11:41
Toda organização acha que tem um plano, e a maioria das organizações talvez tenha um plano de Recovery cibernética.
11:41 – 11:45
Mas, no entanto, quando são atingidas por um incidente, certo?
11:45 – 11:48
Então, nos primeiros cinco minutos desse evento cibernético, certo?
11:48 – 11:54
Elas precisam ser capazes de responder com certeza a perguntas como: o invasor ainda está ativo, certo?
11:54 – 11:56
Em quais dados podemos confiar?
11:56 – 11:59
Quais são os próximos passos que preciso tomar?
11:59 – 11:59
Certo.
11:59 – 12:03
Então, e é claro, ter um manual impresso ajuda nesse caso.
12:03 – 12:07
Mas a verdadeira confiança surge quando há orquestração, certo?
12:07 – 12:14
Quando você consegue codificar as etapas que precisa realizar, quando tem etapas definidas, são verificações.
12:14 – 12:27
E executar essa mesma sequência de etapas repetidamente todas as semanas e desenvolver essa memória muscular para que, quando algo acontecer, você seja capaz de executar rapidamente cada uma dessas etapas.
12:27 – 12:29
Isso é resiliência cibernética em ação.
12:29 – 12:31
E a Cleanroom Recovery ajuda
12:31 – 12:33
a resolver isso, certo?
12:33 – 12:36
É assim que a Cleanroom Recovery funciona, certo?
12:36 – 12:40
Então, você tem seu ambiente de produção do lado esquerdo, certo?
12:40 – 12:42
Que é o seu ambiente de produção típico.
12:42 – 12:47
Você tem seus compartilhamentos de arquivos, suas máquinas virtuais e seus servidores de banco de dados, certo?
12:47 – 12:54
E, claro, seu ambiente pode ser um ambiente híbrido, que está dividido entre nuvem e local.
12:54 – 12:56
E então temos a infraestrutura de backup
12:56 – 13:03
, que é um plano de controle combinado na nuvem, responsável por orquestrar o processo de proteção de suas aplicações.
13:03 – 13:14
Hum… Um componente essencial da arquitetura ciber-resiliente é ter uma cópia externa dos dados de suas aplicações no AirGap Protect.
13:14 – 13:26
Isso garante que, mesmo que todo o seu ambiente de produção seja completamente perdido, você tenha uma cópia segura de sua aplicação armazenada no AirGap Protect, com a qual poderá recuperar
13:26 – 13:27
suas aplicações.
13:27 – 13:37
E, por exemplo, se você quiser fazer um teste de Recovery, uma análise forense ou se estiver enfrentando um incidente cibernético real e tentando se recuperar, certo?
13:37 – 13:43
O primeiro passo é, na verdade, recuperar seu plano de controle, porque durante qualquer incidente cibernético real, certo?
13:43 – 13:54
Mesmo antes que as aplicações sejam infectadas, os invasores destruiriam sua infraestrutura de Backup and Recovery, especialmente se elas estiverem implantadas em seu
13:54 – 13:56
ambiente de produção.
13:56 – 14:01
E o Cleanroom Recovery coordena o processo de recuperação do painel de controle.
14:01 – 14:11
Com apenas alguns cliques, seremos capazes de recuperar seu plano de controle e hospedá-lo em nossa infraestrutura, para que você possa fazer login nesse plano de controle recém-recuperado e
14:11 – 14:16
começar a recuperar suas aplicações em um ambiente isolado (cleanroom).
14:16 – 14:24
E essa “sala limpa” isolada pode ser criada tanto em um ambiente AWS quanto em um ambiente Azure, ou mesmo em seu próprio
14:24 – 14:28
data center local, em um ambiente IRE local.
14:29 – 14:33
Em essência, o Cleanroom Recovery é uma plataforma de orquestração.
14:33 – 14:36
Portanto, ele ajuda a orquestrar a recuperação do plano de controle.
14:36 – 14:51
Ele ajuda a criar um “cleanroom” isolado sob demanda, no qual você pode recuperar seus aplicativos e começar a validá-los antes de promovê-los para o seu, hum, ambiente de produção.
14:51 – 14:54
Agora vamos ver como
14:54 – 15:02
a detecção de ameaças e o funcionamento do “cleanroom” funcionam, e como esses dois elementos atuam em sinergia para ajudá-lo a se recuperar de um incidente cibernético.
15:02 – 15:12
Então, para ajudá-lo a identificar ameaças e a recuperar recursos infectados em um ambiente isolado para validação em nossa demonstração ao vivo.
15:14 – 15:17
Na nova versão do “Cleanroom Recovery”, certo?
15:17 – 15:20
Então, primeiro quero apresentar este painel, certo?
15:20 – 15:29
Estamos apresentando esse novo painel para dar uma prévia rápida de como seu ambiente está preparado para a Readiness, certo?
15:29 – 15:32
Ele traz informações como a Readiness para o “Cleanroom Recovery”.
15:32 – 15:43
Ele mostra quantos dos seus recursos protegidos estão realmente prontos para serem recuperados no “cleanroom”, quantos não estão prontos e quantos não estão configurados para o “Cleanroom
Recovery” 15:43 – 15:44
.
15:44 – 15:54
e você também vê informações sobre, por exemplo, por que os recursos não estão prontos para a “Cleanroom Recovery” — talvez você não tenha uma cópia de backup do ATP para esses recursos ou tenha
15:54 – 16:07
selecionado uma região diferente para a “Cleanroom Recovery”, certo? E essa região não tem, hum, um backup do ATP. Também mostra informações sobre quando foi realizado o último exercício de Recovery para cada
16:07 – 16:09
dos seus grupos
de Recovery 16:09 – 16:19
e, a partir daqui, você verá informações sobre o uso de licenças, bem como as salas limpas ativas por região, caso tenha um ambiente distribuído.
16:19 – 16:21
Vamos abordar os grupos de Recovery.
16:21 – 16:24
Um grupo de Recovery é um contêiner lógico, certo?
16:24 – 16:30
É um agrupamento lógico dos recursos que você deseja recuperar em uma sala limpa.
16:30 – 16:32
Vamos criar um novo.
16:32 – 16:34
Então, vou selecionar “Adicionar grupo de Recovery”.
16:34 – 16:39
Vou chamá-lo de “aplicativo de transação”, porque quero que meu aplicativo de transação esteja
16:39 – 16:47
pronto para Recovery. Em seguida, você pode adicionar a esse grupo os recursos que compõem seu aplicativo de transação.
16:47 – 16:51
Existem várias maneiras de adicionar recursos; você pode adicioná-los.
16:51 – 16:59
Você pode adicionar uma regra indicando que deve incluir todos os recursos que pertencem à pessoa XYZ ou adicionar recursos que tenham a tag XYZ, certo?
16:59 – 17:09
Assim, você pode definir quais são essas regras e, com base nelas, os recursos serão adicionados ao grupo de recuperação; ou você pode selecioná-los
manualmente 17:09 – 17:14
e adicioná-los ao mesmo grupo de recuperação aqui, certo?
17:14 – 17:23
Então, você pode ver que vamos mostrar todos os recursos protegidos pelo Commvault Cloud, e você pode escolher quais recursos deseja adicionar ao grupo
de recuperação 17:23 – 17:25
chamado “transaction application”.
17:25 – 17:33
E uma coisa que quero destacar aqui é que, como vocês podem ver, temos suporte adicional para florestas do Active Directory, certo?
17:33 – 17:38
Então, agora vocês poderão adicionar uma floresta inteira do Active Directory a um grupo
de Recovery 17:38 – 17:43
e, em seguida, executar a Recovery em um ambiente isolado para que possam validar seus aplicativos de ponta a ponta.
17:43 – 17:53
Estou selecionando uma floresta do Active Directory, algumas máquinas virtuais e alguns compartilhamentos de arquivos do Azure, e vou adicionar tudo isso ao grupo de Recovery para, em seguida, executar uma recuperação em
17:53 – 18:05
um ambiente isolado. Em seguida, revise suas configurações nesta página de resumo e, assim que terminar de criar o grupo de recuperação, a próxima etapa do processo
18:05 – 18:12
é criar um manual de operações para executar o ambiente isolado; basta clicar em “Criar” e começar a adicionar um manual de operações.
18:12 – 18:17
Isso o levará ao próximo fluxo de configuração e criação de um manual de operações.
18:17 – 18:18
Vou dar um nome a ele.
18:18 – 18:27
Quero criar um manual de operações forenses para meu aplicativo de transações e, como parte desse manual, quero habilitar a verificação de texto, certo?
18:27 – 18:30
O que isso significa é que, se você ativar essa opção.
18:30 – 18:41
Faremos automaticamente a verificação dos recursos recuperados na sala limpa em busca de qualquer malware, certo? E isso aparecerá no status do seu manual de procedimentos caso seja detectado algum malware.
18:41 – 18:49
Então, vamos habilitar a Threat Scan e, em seguida, avançar. Aqui você tem uma opção caso já tenha criado previamente um destino de sala limpa ou um local de sala limpa.
18:49 – 18:52
Você pode simplesmente selecionar “Usar uma sala limpa existente”.
18:52 – 18:58
Mas, se quiser que criemos uma nova sala limpa, basta escolher “Nova sala limpa” e clicar em “Avançar”
18:58 – 19:04
; então, você pode selecionar onde deseja criar sua sala limpa, seja na AWS ou no Azure.
19:04 – 19:06
Vou selecionar o Azure para esta demonstração.
19:06 – 19:07
Clique em “Próximo”.
19:07 – 19:12
Vou dar um nome a esta sala limpa: “Sala limpa do Azure – Oeste dos EUA”.
19:12 – 19:18
Em seguida, clique em “Avançar”, e é aqui que simplificamos o processo de criação da sala limpa.
19:18 – 19:21
Introduzimos essa opção chamada “configuração expressa”.
19:21 – 19:25
O que isso faz é permitir que você faça login com sua conta da Microsoft, certo?
19:25 – 19:27
Assim, poderemos, às
19:27 – 19:37
criar toda a infraestrutura e os recursos necessários para criar uma sala limpa sob demanda antes de alocar os recursos nela.
19:37 – 19:47
Anteriormente, você precisava criar previamente certos recursos em sua conta do Azure, como um aplicativo do Azure, atribuir as funções e permissões necessárias, criar grupos de recursos e uma rede virtual (VNet),
19:47 – 19:50
e, em seguida, voltar para configurar a Recovery do ambiente controlado.
19:50 – 19:56
Mas eliminamos todos esses pré-requisitos com a introdução dessa opção de Configuração Expressa, pois
19:56 – 20:04
assim que você fizer login com sua conta da Microsoft, poderemos criar tudo o que é necessário para executar com sucesso a Cleanroom Recovery.
20:04 – 20:11
E, é claro, se você já tiver recriado alguns desses recursos e quiser usá-los, sempre poderá optar por uma configuração personalizada.
20:11 – 20:17
Então, vamos fazer uma configuração expressa para mostrar como é fácil criar um “cleanroom” sob demanda.
20:17 – 20:24
Assim, buscamos automaticamente todas as assinaturas que estão no seu locatário da Microsoft.
20:24 – 20:26
Vou selecionar esta
20:26 – 20:36
para minha finalidade de Cleanroom Recovery, clicar em “Avançar”, revisar rapidamente todas as configurações que você selecionou e, em seguida, clicar em “Criar”.
20:36 – 20:43
Como você pode ver, o sistema gerou automaticamente um manual de procedimentos passo a passo para a Cleanroom Recovery da sua sala limpa, certo?
20:43 – 20:47
E uma das etapas aqui é “implantar a sala limpa”, certo?
20:47 – 20:51
Digamos que esse manual de procedimentos ofereça bastante flexibilidade, certo?
20:51 – 20:54
Você pode adicionar e remover etapas se precisar, certo?
20:54 – 20:55
Então, digamos que você queira adicionar
20:55 – 20:59
uma etapa antes ou depois da implantação de uma sala limpa; você poderá fazer isso.
20:59 – 21:08
E se você expandir a fase de implantação da sala limpa, serão exibidas todas as etapas internas que executamos como parte dessa fase.
21:08 – 21:09
Certo.
21:09 – 21:18
Então, como você optou pela implantação de uma nova “sala limpa”, criaremos automaticamente a infraestrutura necessária, como um grupo de recursos, os recursos de rede, a
21:18 – 21:24
conta de armazenamento, tudo isso antes de realmente recuperar os recursos para dentro dela.
21:24 – 21:33
E quanto aos recursos, se você expandir a fase três — que basicamente consiste na recuperação dos seus recursos de prioridade um —, poderá ver que adicionamos uma floresta do Active Directory e que
21:33 – 21:36
temos algumas VMs que foram adicionadas para recuperação.
21:36 – 21:40
E uma das etapas na recuperação da VM é a reinstalação, certo?
21:40 – 21:51
Esse é um recurso avançado que ajuda você a, digamos, reinstalar toda a sua máquina virtual usando uma imagem padrão personalizada e fortificada antes de recuperar os dados
21:51 – 21:59
para ela; isso permite que você comece a partir de um estado conhecido como bom, mesmo antes que os dados tenham sido recuperados dentro do ambiente de recuperação.
21:59 – 22:12
Então, agora vamos executar o manual de procedimentos: selecione um ponto de backup ou um ponto de recuperação que você deseja usar para recuperar seus aplicativos e, em seguida, clique em “Enviar”.
22:12 – 22:18
Isso inicia o processo de Cleanroom Recovery, e você pode monitorar o status diretamente na página do manual de procedimentos.
22:18 – 22:21
Você não precisa ir a nenhum outro lugar para monitorar o status
22:21 – 22:26
e ele mostrará, fase por fase, qual fase está sendo executada e quanto já foi concluído.
22:27 – 22:31
Digamos que haja certas etapas manuais que você tenha adicionado e que exijam confirmação.
22:31 – 22:36
Elas serão destacadas aqui, indicando que há uma etapa aguardando a ação do usuário.
22:36 – 22:42
Você poderá clicar aqui, o que filtrará as etapas para mostrar qual delas está aguardando a ação do usuário.
22:42 – 22:44
Você pode clicar em “Confirmar”
22:45 – 22:48
e, em seguida, clicar em “Enviar”, o que conclui o manual de procedimentos.
22:48 – 22:48
Certo.
22:48 – 22:58
Então, agora todo o processo do Cleanroom Recovery foi executado e seus recursos foram recuperados para uma sala limpa sob demanda que foi criada em sua assinatura do Azure
22:58 – 22:59
.
22:59 – 23:09
Agora você pode conceder acesso a essa sala limpa à sua equipe de operações de segurança ou à sua equipe de aplicativos para que elas possam validar os recursos e, claro, certo.
23:09 – 23:15
Assim, quando você concluir a validação e estiver pronto para limpar seus recursos
23:15 – 23:24
, basta dizer “reset run book” e isso executará automaticamente a operação de limpeza de todos os recursos que foram criados por nós em sua assinatura do Azure.
23:24 – 23:28
Assim, não haverá recursos pendentes que possam gerar custos para você.
23:28 – 23:36
Como você pode ver, simplificamos todo o processo de criação de uma “cleanroom” sob demanda e, em seguida, a recuperação dos recursos para dentro dela.
23:36 – 23:45
Agora, nosso colega David vai mostrar como é fácil executar uma recuperação
23:45 – 23:46
durante um incidente cibernético, certo?
23:46 – 23:56
Quando um incidente é detectado, quando um malware é detectado em seu ambiente, é muito fácil identificá-lo e, em seguida, transferir esses recursos infectados para uma sala limpa para
23:56 – 23:58
qualquer tipo de análise.
23:58 – 23:59
David, a palavra é sua.
24:00 – 24:13
Tudo bem, então vamos dar uma olhada no novo painel de detecção de ameaças e ver como é fácil detectar ameaças dentro do seu ambiente
de proteção de dados 24:13 – 24:17
para conduzir a Recovery segura para o ambiente isolado.
24:17 – 24:20
Como vocês podem ver bem aqui, temos o novo painel.
24:20 – 24:23
E o painel foi projetado para ser orientado a resultados.
24:23 – 24:32
No lado esquerdo, temos os diversos sinais que estamos detectando no ambiente de proteção de dados.
24:32 – 24:41
Realizamos a varredura dos dados de forma programada ou podemos vará-los automaticamente quando ocorrem
diversas anomalias 24:41 – 24:42
, bem como sob demanda.
24:42 – 24:49
Portanto, há modos de varredura muito, hum, flexíveis disponíveis na nova solução.
24:50 – 24:59
E, quando detectamos ameaças, correlacionamos essas informações — incluindo as de parceiros — neste painel para atribuir níveis de risco a elas.
24:59 – 25:05
Assim, você pode ver que temos categorias de risco crítico, alto, médio e baixo.
25:06 – 25:08
Em seguida, no lado direito,
25:09 – 25:10
temos a visão geral dos resultados.
25:10 – 25:19
E isso fornece a você informações sobre quais dados foram analisados e o que a Commvault fez com esses dados do ponto de vista das ameaças.
25:19 – 25:24
Portanto, isso indica que você tem um conjunto de dados limpos que detectamos e verificamos, além de dados que foram afetados.
25:24 – 25:26
Assim, você pode ver que há algum impacto aqui.
25:26 – 25:30
E vamos nos aprofundar nisso para ver como se recuperar da situação.
25:32 – 25:37
E, logo abaixo, temos os componentes operacionais da plataforma de detecção de ameaças.
25:37 – 25:44
Então, vamos clicar duas vezes em alguns dos recursos críticos para ter uma ideia do que está acontecendo aqui.
25:44 – 25:46
Vou clicar no bloco.
25:46 – 25:56
Você pode ver que tenho vários recursos aqui em estado crítico, o que significa que foi detectado malware, entre outras coisas, nos pontos de proteção e Recovery
de dados 25:56 – 25:56
.
25:57 – 26:01
Posso clicar nos diversos componentes diferentes aqui.
26:01 – 26:06
Portanto, temos anomalias para este sistema específico aqui que estão sendo acionadas.
26:06 – 26:09
E isso está utilizando o aprendizado de máquina da Commvault.
26:09 – 26:14
À medida que protegemos os dados, analisamos as diversas mudanças que estão ocorrendo nesse sistema.
26:15 – 26:19
E geramos o evento no painel.
26:20 – 26:22
Em seguida, temos os sinais dos parceiros.
26:22 – 26:33
Portanto, temos várias integrações diferentes nas quais captamos sinais de nossos parceiros, como CrowdStrike, Netscope e Darktrace, para citar alguns.
26:34 – 26:36
E esses sinais fornecem
26:37 – 26:49
um indicador de um ataque ou de algum tipo de comportamento que está ocorrendo no recurso, que mapeamos para um ponto de Recovery para ajudar o usuário a verificar se há algum impacto naquele
26:49 – 26:50
sistema.
26:50 – 26:52
Vamos analisar isso com mais profundidade um pouco mais adiante.
26:52 – 27:04
E, por fim, temos as ameaças, e isso utiliza nosso mecanismo de varredura em múltiplas camadas, nosso mecanismo de varredura Threat Scan, onde detectamos malware usando um mecanismo baseado em assinaturas, uh, aprendizado
de máquina
27:04 – 27:04
e 27:04 – 27:08
além de um modelo de IA para detectar criptografia.
27:08 – 27:22
Também incorporamos suporte a Yara e Hash neste novo produto, ou melhor, nesta versão do produto, para dar aos analistas do SOC a capacidade de inserir suas próprias informações de inteligência na plataforma para identificar
27:22 – 27:23
ameaças de malware.
27:23 – 27:26
No lado direito, temos várias ações diferentes.
27:26 – 27:33
Assim, você pode marcar esse recurso para salvar, colocá-lo em quarentena ou desativar a expiração de dados, o que garante
27:33 – 27:37
que as tarefas anteriores de proteção de dados não sejam eliminadas.
27:37 – 27:41
Assim, se você precisar voltar no tempo, esses pontos de dados ainda estarão lá.
27:41 – 27:42
Eles estarão intactos.
27:42 – 27:43
Não serão eliminados.
27:43 – 27:44
Eles não serão excluídos por expiração.
27:44 – 27:47
Estarão sempre disponíveis para fins forenses ou de Recovery.
27:47 – 27:54
Você pode procurar por ameaças, o que equivale a uma varredura sob demanda, caso queira inserir novas informações de inteligência na plataforma.
27:54 – 27:58
Nós até introduzimos APIs para realizar varreduras de hash.
27:58 – 28:02
Assim, você pode usar hashes para procurar ameaças conhecidas dentro do
28:03 – 28:07
ambiente de proteção de dados e, então, é claro, restaurar.
28:07 – 28:09
Falaremos sobre isso daqui a pouco.
28:09 – 28:13
Vamos nos aprofundar um pouco mais nos detalhes do que está acontecendo com este sistema.
28:13 – 28:18
Vou clicar no recurso, e isso vai me levar ao painel de visão geral.
28:18 – 28:20
Então, esta é a visão geral do recurso.
28:20 – 28:25
Assim, consigo ver todos os sinais que estão sendo acionados para este sistema específico.
28:25 – 28:28
Ah, e posso ver isso nessas linhas de tendência.
28:28 – 28:30
E as linhas de tendência são realmente úteis
28:30 – 28:38
para identificar com precisão quando o problema começou a ocorrer, quando a infecção começou a ocorrer nas tarefas de proteção de dados.
28:39 – 28:44
E esse tipo de visualização pode ser complicado ou exigir um tempo de adaptação.
28:44 – 28:50
Então, o que fizemos foi incorporar IA a todos esses diferentes sinais.
28:50 – 28:59
Assim, você pode usar nosso Arlie Insights para obter um resumo do que está acontecendo com esse recurso específico ou até mesmo em nível global.
28:59 – 29:06
E ele fornecerá todo o contexto sobre o que foi detectado e o que fazer, quais são as recomendações a serem seguidas.
29:06 – 29:11
Portanto, no mínimo, isso é tudo o que você realmente precisa fazer para entender quais são os próximos passos.
29:11 – 29:14
Tudo bem, então, continuando, vamos para a aba “Anomalias”.
29:15 – 29:21
Se vocês estiverem dando continuidade à investigação e quiserem entender quais arquivos são anômalos, acessem esta aba aqui.
29:22 – 29:25
E, em seguida, temos a aba “Ameaças”.
29:25 – 29:28
Ela fornecerá uma visão geral dos diversos
29:28 – 29:34
malwares e criptografia detectados por meio do nosso mecanismo multicamadas.
29:34 – 29:45
E, mais uma vez, só para reiterar, temos o mecanismo de detecção de malware que utiliza varredura baseada em assinaturas, aprendizado de máquina, bem como Yara e hashes.
29:46 – 29:52
E também temos um modelo de criptografia com IA para detectar criptografia com altos níveis de precisão.
29:52 – 29:57
E ele é treinado para distinguir como é um arquivo criptografado em comparação com um arquivo limpo.
29:57 – 30:02
Então, bem aqui, podemos clicar em uma ameaça específica que foi detectada e obter mais detalhes.
30:02 – 30:09
E, mais uma vez, como mencionei antes, usamos o Arlie em todas as interfaces do painel para fornecer o contexto de que você precisa.
30:09 – 30:16
Você pode obter mais detalhes sobre essa ameaça, incluindo hashes e, você sabe, os detalhes desse impacto específico.
30:17 – 30:19
E, por fim, temos os sinais dos parceiros.
30:19 – 30:24
Como mencionei antes, temos integração com vários parceiros de segurança diferentes.
30:24 – 30:27
Incorporamos esses sinais à nossa plataforma.
30:27 – 30:36
Esses seriam indicadores de ataque ou sinais precoces de comportamento malicioso em andamento, comportamento potencialmente malicioso nesses sistemas.
30:36 – 30:38
E mapeamos esses sinais aos pontos de Recovery.
30:38 – 30:41
Como vocês podem ver aqui, esses são os tempos de Recovery.
30:41 – 30:50
E isso indica ao usuário que, nesses momentos específicos, ocorreu algum tipo de atividade maliciosa nesses sistemas.
30:50 – 30:56
E, portanto, esse sinal, de certa forma, determina o resultado de
30:56 – 31:02
: você deve realizar uma verificação ou, caso haja outros sinais diferentes indicando que pode haver um impacto em seu ponto de Recovery.
31:02 – 31:06
Também nos integramos ao CrowdStrike NextGen Sim.
31:06 – 31:07
Essa é uma novidade.
31:07 – 31:15
E bem aqui você pode ver no CrowdStrike NextGen Sim que estamos enviando sinais para a plataforma Sim.
31:15 – 31:19
E isso é ótimo para fornecer informações adicionais ao analista do SOC.
31:19 – 31:24
E você pode ver que uma das informações aqui é a nossa análise de Risk Analysis.
31:24 – 31:25
E isso está indicando
31:25 – 31:30
aos analistas do SOC que foram encontrados dados confidenciais nesse sistema específico.
31:31 – 31:40
Isso é muito importante porque, se você tiver sinais de ameaça sendo acionados, além dos alertas sobre dados confidenciais, isso vai, de certa forma, acionar o alarme.
31:40 – 31:44
É realmente necessário dar uma olhada no sistema para garantir que tudo esteja bem.
31:44 – 31:48
Não compartilhamos nenhuma informação de dados confidenciais.
31:48 – 31:55
Apenas fornecemos a informação de que o sistema detectou algumas violações de política com base em
31:55 – 31:57
como a Risk Analysis está configurada.
31:57 – 32:08
Essas violações de política podem ser personalizadas, bem como específicas para certos tipos de, hum, conjuntos de dados.
32:09 – 32:20
E, claro, além da detecção de dados confidenciais, também enviamos alertas, como quaisquer ameaças detectadas por nossos recursos de varredura.
32:20 – 32:23
Assim, enviamos algumas informações para o NextGenSim.
32:24 – 32:27
para que o analista do SOC possa receber essas notificações.
32:27 – 32:29
Tudo bem, então agora vamos fazer uma Recovery.
32:29 – 32:30
Vamos voltar ao sistema.
32:30 – 32:32
Vamos para a Recovery.
32:32 – 32:36
E bem aqui, temos três opções diferentes de Recovery.
32:36 – 32:37
A primeira é a restauração manual.
32:37 – 32:40
E essa opção seria usada caso você queira selecionar um ponto de recuperação válido.
32:40 – 32:45
Você pode ver aqui que, de fato, estamos detectando os pontos de recuperação válidos.
32:45 – 32:53
Estamos indicando quais deles foram afetados por ameaças com, hum, o indicador aqui, o triângulo.
32:53 – 32:59
E até detalhamos, por exemplo, que tipo de ameaças existem nesses pontos de recuperação.
32:59 – 33:09
Agora, se eu fizesse uma recuperação clicando no ponto de recuperação, por exemplo, no dia 25, e fizesse uma recuperação a partir daí, eu poderia, potencialmente, estar deixando dados válidos para trás, pois tenho
33:09 – 33:15
mais dois pontos de recuperação posteriores a esse; mesmo que estejamos infectados, talvez nem todos os dados estejam infectados.
33:15 – 33:17
Portanto, haveria algum nível de reversão.
33:17 – 33:20
E é por isso que introduzimos esse recurso
, 33:20 – 33:24
que chamamos de recurso de recuperação sintética.
33:24 – 33:37
Nosso recurso de recuperação sintética cria o ponto de recuperação pegando o ponto de recuperação mais recente disponível, identificando o que está infectado por meio de nossas tecnologias de varredura
33:37 – 33:46
e, em seguida, voltando no tempo para extrair as versões válidas dos arquivos dos conjuntos de backup, a fim de, de certa forma, sintetizar um ponto de recuperação.
33:46 – 33:48
Assim, minimiza a reversão.
33:48 – 33:49
Vamos usar essa opção.
33:49 – 33:57
Como você pode ver aqui, fornecemos até mesmo informações sobre a quantidade de dados que está realmente sendo revertida e a quantidade proveniente da atualização mais recente ou do ponto de recuperação mais recente.
33:58 – 34:00
E, rapidamente, quero mencionar a opção forense.
34:00 – 34:05
Essa é uma opção na qual você pode recuperar os dados infectados.
34:05 – 34:08
E só permitimos que a recuperação seja feita em ambiente controlado.
34:08 – 34:09
Estamos fora de contexto.
34:09 – 34:12
E você pode usar isso para investigações e análises forenses.
34:12 – 34:15
Então, agora, vamos escolher a opção de recuperação sintética.
34:15 – 34:17
Em seguida, é
aqui 34:17 – 34:20
que algumas das outras inovações entraram em ação.
34:20 – 34:23
A sala limpa está totalmente integrada como local de recuperação.
34:23 – 34:29
Assim, você não precisa mais passar por um processo complicado para levar seus dados à sala limpa para investigação posterior.
34:30 – 34:31
Então, vou selecionar a opção “sala limpa”.
34:31 – 34:34
Vou realizar a Recovery sintética na sala limpa.
34:34 – 34:39
E vou selecionar a sala limpa existente que o Dinesh criou em sua demonstração.
34:39 – 34:41
E vamos prosseguir com a restauração.
34:42 – 34:45
E isso vai enviar um
34:45 – 34:51
sistema infectado realizará uma Recovery completa e limpa desse sistema para a sala limpa.
34:51 – 34:57
Assim, podemos realizar essa validação final na sala limpa antes de colocar os dados de volta em produção.
34:57 – 34:59
Para que você tenha uma Recovery ideal.
35:00 – 35:04
Agora que vimos a demonstração de como o produto funciona, certo?
35:04 – 35:12
Como é fácil ativar uma “sala limpa” sob demanda e testar sua Readiness para a Recovery cibernética.
35:12 – 35:14
E quando você estiver enfrentando um incidente cibernético,
35:14 – 35:25
com que rapidez e eficácia nossa plataforma de detecção de ameaças será capaz de identificar quais ameaças existem em seus backups e ajudá-lo a se recuperar com perda mínima de dados, certo?
35:25 – 35:27
Usando essa Recovery sintética.
35:28 – 35:33
Se há uma coisa que quero que vocês lembrem desta sessão é este slide, certo?
35:33 – 35:41
Ele mostra toda a jornada, desde a Readiness para a Recovery até a Recovery de produção limpa, tudo em um único fluxo integrado, certo?
35:41 – 35:43
Começamos com a Readiness, certo?
35:43 – 35:44
Trata-se de
35:44 – 35:54
configurar e estabelecer varreduras regulares de seus backups e monitorar continuamente as cargas de trabalho críticas para verificar se estão limpas ou não.
35:54 – 36:00
Então, uma vez feito isso, o próximo passo seria realizar um teste de Recovery.
36:00 – 36:12
Use a funcionalidade de “sala limpa” para programar e validar seus planos e processos de Recovery cibernética, a fim de identificar quaisquer lacunas que possam existir, para que você esteja preparado quando um
36:12 – 36:13
evento
real 36:13 – 36:14
ocorra, certo?
36:14 – 36:16
Os KPIs aqui são simples, certo?
36:16 – 36:21
Você verifica seus backups, garante que todas as suas cargas de trabalho críticas estejam cobertas, certo?
36:21 – 36:28
Você realiza testes com frequência, garante que seu plano de segurança cibernética tenha sido minuciosamente avaliado e que não haja lacunas.
36:28 – 36:31
E então você está pronto para avançar para a próxima etapa.
36:32 – 36:33
Sim, com certeza.
36:33 – 36:41
E parte dessa fase de planejamento e de Readiness são, você sabe, as políticas de varredura, os planos de varredura que você tem em vigor.
36:41 – 36:43
Tudo isso faz parte do contexto.
36:43 – 36:47
operações e utilizamos os sinais automaticamente para você.
36:48 – 36:57
Nosso mecanismo de detecção de anomalias, sabe, o mecanismo de criptografia para detecção de malware, como falamos antes, e todas as ferramentas do SOC por meio de suas integrações, bem como conjuntos de ferramentas
36:57 – 36:58
integrados.
36:58 – 37:10
Tudo isso funciona automaticamente para você em segundo plano, detectando se há ou não ameaças em seus, seus, seus dados protegidos e chegando facilmente a esse,
37:10 – 37:11
ponto de limpeza.
37:11 – 37:12
ah
, 37:12 – 37:13
para essa Recovery a partir do ponto de limpeza.
37:13 – 37:25
E falamos sobre a recuperação sintética, que é um dos principais recursos do nosso produto; não se trata apenas de recuperar esse ponto de recuperação limpo, mas também de
37:25 – 37:32
otimizar essa recuperação no sentido de que não estamos revertendo para um ponto anterior no tempo para obter seus dados limpos.
37:32 – 37:36
Portanto, é um ponto de Recovery limpo totalmente otimizado.
37:36 – 37:40
E é aí que a mágica acontece
37:40 – 37:50
: agora você deve ter sua Recovery sintética limpa, pode enviá-la para sua sala limpa para as próximas etapas operacionais e de validação.
37:51 – 37:52
Exatamente, certo?
37:52 – 38:03
E durante esse processo, ao realizar essa recuperação na sala limpa, você pode aplicar camadas adicionais de segurança para garantir que ela esteja realmente limpa.
38:03 – 38:06
Por exemplo, você poderá reinstalar todo o sistema
operacional 38:06 – 38:17
removendo o sistema operacional, importando uma nova imagem padrão personalizada e, em seguida, reconstruindo o servidor usando essa imagem antes de recuperar os dados nele.
38:17 – 38:28
E, finalmente, assim que toda essa validação for concluída e você tiver uma decisão clara de “seguir em frente” ou “não” para as equipes de segurança, você estará pronto para migrar esses aplicativos
limpos 38:28 – 38:33
da “sala limpa” para um novo ambiente de produção.
38:33 – 38:35
O resultado final é como se você tivesse aplicativos limpos
38:35 – 38:45
, validados e restaurados, que foram recuperados com perda mínima de dados e da forma mais eficiente possível em seu novo ambiente de produção.
38:45 – 38:45
Muito bem.
38:45 – 38:47
Então, isso encerra a sessão.
38:47 – 38:51
Espero que todos tenham gostado desta sessão e aprendido algo.
38:51 – 38:59
E estamos ansiosos para ter mais conversas com vocês, especialmente com nossos clientes e com qualquer um de vocês que tenha perguntas adicionais.
38:59 – 39:02
Então, muito obrigado da parte minha e do Dinesh.