A Trinity Cyber detém cibercriminosos com a ajuda da F5

As soluções patenteadas de segurança cibernética da Trinity Cyber protegem seus clientes detectando riscos de segurança e removendo ameaças em linha — sejam códigos maliciosos, ransomware ou explorações de arquivos —, ao mesmo tempo que mantêm os falsos positivos próximos de zero. F5 BIG-IP SSL Orchestrator é essencial para viabilizar a inspeção e a mitigação completas do conteúdo.

Desafio de negócios

“Impedir os criminosos” — é assim que a Trinity Cyber descreve a missão da empresa, fundada em 2017 por ex-especialistas da Agência de Segurança Nacional dos Estados Unidos (NSA), liderados por Steve Ryan, ex-diretor adjunto do Centro de Operações contra Ameaças da NSA, e Thomas P. Bossert, ex-assessor de Segurança Interna dos Estados Unidos para dois presidentes norte-americanos. A empresa opera uma nuvem privada distribuída nos Estados Unidos, emprega cerca de 52 pessoas e oferece soluções sofisticadas de segurança cibernética aos seus clientes. Entre eles estão operadores de infraestrutura crítica, setores do Departamento de Defesa e outras entidades com alto risco de perdas, incluindo organizações dos setores financeiro, energético e da administração pública civil.

Embora a equipe da Trinity Cyber simplesmente se autodenomine “os mocinhos”, não há nada de simples em sua tecnologia inovadora e em suas linhas de serviços, que protegem os clientes de forma mais proativa do que a maioria das soluções, com taxas de falsos positivos próximas de zero. Não é de surpreender que tanto a Gartner quanto a Dark Reading tenham recentemente selecionado a empresa como uma das que merecem atenção.

“Muitas empresas dependem fortemente do bloqueio de indicadores tradicionais de comprometimento (IOCs)”, afirma Stefan Baranoff, Diretor de Engenharia. “Há dois problemas nisso: primeiro, os IOCs são obtidos depois que um ataque já ocorreu, geralmente por meio do monitoramento de uma porta SPAN — uma cópia do tráfego; segundo, as características dos IOCs permitem que um invasor as altere mais rapidamente do que você consegue criar assinaturas para elas. Nosso foco está em como os agentes mal-intencionados agem — nas técnicas, nos comportamentos e nos padrões presentes nos dados que os denunciam — e combatemos essas técnicas diretamente para detê-los no ato, em linha, antes que tenham sucesso.”

A Trinity Cyber começa com uma inspeção de conteúdo profunda o suficiente para revelar as técnicas dos adversários e rápida o bastante para agir contra elas. Mas a empresa não se limita a bloquear conteúdo suspeito. Baranoff afirma: “Na verdade, podemos substituir, remover ou modificar conteúdo dentro de uma sessão — algo que nenhuma outra empresa do setor faz —, o que proporciona um nível de proteção mais duradouro.”

Por exemplo, um conteúdo malicioso pode ser anexado ao final de uma imagem baixada que, de outra forma, seria inofensiva. Baranoff afirma: “Parece apenas que alguém acessou uma página da web. Esses dados criptografados parecem um amontoado aleatório de informações, assim como em todas as outras imagens na Internet. Outras soluções bloqueariam a imagem ou o domínio do qual ela foi fornecida, comprometendo uma grande parte da Internet. Nós removemos os dados do final da imagem e a encaminhamos.”

A descriptografia e a inspeção completa são essenciais, mas não são fáceis de realizar tanto no tráfego de entrada quanto no de saída com uma única solução.

Por que escolher a F5

Em 2021, a Trinity Cyber escolheu o F5 BIG-IP SSL Orchestrator para realizar a descriptografia necessária do tráfego bidirecional de clientes que ainda não contavam com recursos suficientes de descriptografia SSL/STARTTLS. A empresa começou com uma máquina virtual para um cliente específico, dando início a uma transição em sua abordagem à descriptografia.

Também foi importante o fato de a solução da F5 ter uma boa relação custo-benefício e oferecer suporte a máquinas virtuais. “O suporte a instâncias virtuais é um grande diferencial”, afirma Baranoff. “Essa flexibilidade nos permite ampliar os recursos de acordo com a demanda dos clientes.”

A implementação levou apenas alguns dias. Desde então, o uso do BIG-IP SSL Orchestrator pela Trinity Cyber evoluiu para incluir mais clientes, mais máquinas virtuais e casos de uso mais complexos.

Um desses casos de uso é a vulnerabilidade Log4j, uma falha grave que colocou milhões de dispositivos em risco e continua sendo amplamente explorada por agentes de ameaças. No final de 2021, a CISA emitiu uma diretriz de emergência exigindo que todos os departamentos e órgãos civis federais avaliassem e corrigissem imediatamente os sistemas ou implementassem medidas de mitigação. Enquanto muitos se apressaram para monitorar e corrigir os sistemas nas primeiras horas após a divulgação, os clientes da Trinity Cyber estavam e continuam protegidos contra qualquer tentativa de explorar a vulnerabilidade Log4j.

Outro dos muitos casos de uso complexos envolve os esforços da Trinity Cyber para impedir a coleta de credenciais nas redes de vários de seus clientes. Os invasores tentaram obter credenciais válidas do Office 365 usando hiperlinks enganosos, técnicas de phishing por e-mail e a criação de domínios fictícios. Os recursos exclusivos de prevenção da tecnologia da Trinity Cyber identificaram as metodologias comuns empregadas pelos invasores e impediram qualquer coleta de credenciais em toda a sua base de clientes, removendo de forma totalmente automatizada as táticas dos invasores do tráfego de rede dos clientes.

Obtenha visibilidade aprofundada do tráfego criptografado

Baranoff afirma que cerca de 95% do tráfego protegido por sua empresa é criptografado e que a Trinity Cyber buscou um parceiro de tecnologia com os recursos necessários para proteger clientes que, de outra forma, não teriam visibilidade desse tráfego.

Ele afirma: “A F5 é uma das poucas opções que não nos obriga a comprometer drasticamente nossa operação.”

O CEO Steve Ryan afirma: “O BIG-IP SSL Orchestrator é essencial para a prestação de nossas linhas de serviço, proporcionando visibilidade do tráfego criptografado e permitindo que a Trinity Cyber identifique e elimine ameaças.”

Baranoff também elogia a capacidade da solução de acompanhar diversos protocolos, independentemente de como a criptografia é iniciada, e descriptografar o tráfego imediatamente após o comando “STARTTLS”. “Não vi nenhuma outra solução capaz de fazer isso”, afirma. “Essa foi uma grande conquista com a F5.”

Assuma o controle e personalize o desempenho com iRules

A capacidade de personalizar o BIG-IP SSL Orchestrator foi outro diferencial.

Baranoff afirma: “Ao trabalhar em nosso próprio sistema, podemos alterar o código sempre que precisamos fazer alguma mudança. Normalmente, isso não é possível com sistemas de outros fornecedores. O F5 iRules nos permite alterar o código para personalizá-lo e obter o comportamento desejado. Assim, podemos oferecer um suporte melhor aos nossos clientes e aos casos de uso deles.”

Na verdade, quando solicitado a resumir os benefícios do BIG-IP SSL Orchestrator, a flexibilidade encabeçou sua lista: “Flexibilidade, estabilidade, desempenho, visibilidade repleta de recursos e controle. A F5 está muito acima.”

Economize tempo e dinheiro

Como resultado, Baranoff afirma: “Economizo muito tempo e dinheiro com a F5.”

Atualmente, sua equipe está trabalhando com a F5 Professional Services na implantação automatizada declarativa e na manutenção do ciclo de vida.

“Está indo muito bem”, diz ele, descrevendo sua equipe da F5 como “incrivelmente ágil e muito empenhada em nos ajudar a aproveitar o produto ao máximo”.

Ele também espera que a F5 em breve tenha uma solução para a iminente questão global de como descriptografar o HTTP3. “Seria uma conquista incrível.”

Enquanto isso, ele afirma: “O produto não para de melhorar, e estamos entusiasmados para ver o que o futuro nos reserva.”

Os agentes mal-intencionados provavelmente farão parte desse futuro, e a Trinity Cyber trabalhará para combatê-los, contando com a ajuda da F5.