Que papel a análise de memória desempenha em toda a plataforma?
Resposta curta: A análise de memória é a base sobre a qual tudo o mais é construído. É o sensor e a fonte analítica que alimenta toda a modelagem comportamental — proteção de dados, proteção de identidade e FortressAI igualmente. Cada decisão que essas capacidades tomam depende do conhecimento real do que a memória de um programa está fazendo.
Uma base, três capacidades
A Cyber Crucible rastreia o estado da memória de um programa em todo o seu ciclo de vida, do início ao fim, incluindo suas interações em memória com outros programas. Esse fluxo único de análise é o que torna o restante possível:
- Proteção de dados — este processo está se comportando como algo que está prestes a criptografar ou exfiltrar dados?
- Proteção de identidade — este processo é o legítimo proprietário da credencial que está tentando acessar, ou foi comprometido?
- FortressAI — esta ferramenta de IA ainda é ela mesma, e seu acesso a dados está dentro da política?
Não se trata de três motores separados com três conjuntos de sensores separados. São três políticas expressas sobre o mesmo modelo comportamental de memória.
Por que a memória é a base certa
Os ataques modernos cada vez mais não deixam nenhum arquivo para inspecionar. O código é injetado em processos confiáveis e construído em memória, de modo que o único lugar onde a atividade é visível é o estado de memória de um programa em execução. Uma defesa que não consegue ver ali fica cega para toda essa classe de ataques.
A análise de memória também responde à pergunta mais importante antes de conceder acesso a qualquer coisa sensível: este programa ainda é o que afirma ser? Um aplicativo confiável cujo processo ou bibliotecas foram adulterados não é mais confiável, e apenas a inspeção em nível de memória revela isso.
Não é varredura de memória
Isso é rastreamento comportamental em tempo real, não varredura periódica. A varredura copia um bloco de memória e analisa a captura — uma fotografia, em vez de uma filmagem em tempo real. Em uma máquina ocupada, o estado do programa pode ser completamente diferente um instante depois, o que torna as capturas úteis para perícias controladas, mas muito mais fracas para defesa em tempo real.
Consulte também os artigos existentes de Análise de Memória para detalhes técnicos sobre como isso difere da varredura de memória, e o que ocorre quando um ataque de memória é detectado.