Como os dados de identidade são protegidos?
Resposta curta: A Cyber Crucible identifica os locais onde os dados de identidade são armazenados e protege esses locais no nível do kernel. Quando um programa tenta acessar um deles, o acesso é rastreado e analisado — sem que as senhas, tokens ou chaves de criptografia em si sejam acessados ou coletados. Com base nessa análise, o programa é permitido, recebe dados falsos, é negado ou suspenso.
Protegendo o acesso, não o segredo
A maior parte da proteção de identidade atua sobre o segredo: criptografá-lo, guardá-lo em um cofre ou monitorar seu aparecimento em um vazamento de dados. A Cyber Crucible atua sobre o ato de tentar acessá-lo.
Ataques automatizados são previsíveis de uma forma específica — eles precisam ir a locais conhecidos para encontrar credenciais. Os armazenamentos de cookies do navegador, os caminhos de credenciais de VPN, o armazenamento de credenciais do Windows, os arquivos de carteiras (wallets) e os dados do Active Directory estão todos localizados onde os atacantes já sabem procurar. Essa previsibilidade é a oportunidade de defesa.
A Cyber Crucible identifica esses armazenamentos de dados de identidade e, em seguida, os protege. Qualquer programa que toque em um deles é avaliado, junto com seus processos pai e filho e as bibliotecas que carregou.
Os segredos nunca são lidos
Essa é uma restrição de design deliberada, não um efeito colateral: o acesso é rastreado e analisado sem que a própria credencial seja acessada. A Cyber Crucible não lê, processa, coleta ou transmite senhas, tokens de sessão, cookies ou chaves de criptografia — para nenhum servidor, seja hospedado pela Cyber Crucible ou pelo cliente.
A análise comportamental do acesso à identidade acaba não exigindo os dados de identidade em si. O que importa é qual programa está acessando onde, em que contexto, tendo feito o quê anteriormente — nada disso exige abrir o segredo.
A consequência é que a proteção não pode, ela mesma, tornar-se a violação, e não existe um armazenamento central de suas credenciais para ser intimado judicialmente, vazado ou perdido.
O que o mecanismo comportamental avalia
A decisão não é "este programa está em uma lista?" — é "o que este código está realmente fazendo agora?" Os sinais incluem:
- Estado e comportamento da memória — rastreados ao longo de todo o ciclo de vida do programa, incluindo alterações em memória que nunca chegam ao disco. Essa é a camada de sensor fundamental da plataforma, compartilhada com a proteção de dados e o FortressAI, e não é específica da identidade.
- Linhagem de processos — o que iniciou isso e o que isso iniciou, por sua vez.
- Padrão de acesso — trata-se de uma aplicação normal lendo sua própria credencial, ou de uma varredura simultânea em vários locais de identidade?
- Atividade de bibliotecas e injeção — este processo confiável foi injetado ou alterado em memória?
A resposta é graduada, não binária
Nem todo programa que tenta acessar dados de identidade é um atacante, portanto a resposta depende do que o programa é e de como está se comportando:
| Situação | Resposta |
|---|---|
| Uma aplicação conhecida, não explorada, acessando o que legitimamente precisa | Permitido |
| Uma aplicação conhecida, não explorada, mas que excede o acesso apropriado | Recebe dados falsos, ou o acesso é negado — regido por regras comportamentais de privacidade |
| Uma aplicação desconhecida | Rejeitada ou suspensa, conforme o mecanismo comportamental e suas configurações |
| Uma aplicação comprometida — processo ou bibliotecas explorados | Rejeitada ou suspensa, conforme o mecanismo comportamental e suas configurações |
O caso intermediário importa mais do que parece à primeira vista. Muitos softwares legítimos acessam os armazenamentos de identidade mais profundamente do que precisam. Suspendê-los prejudicaria o dia do usuário sem qualquer ganho de segurança — mas entregar-lhes credenciais reais é uma exposição desnecessária. Retornar dados falsos satisfaz o programa enquanto o segredo real permanece intacto.
A distinção que o mecanismo está estabelecendo é entre um programa confiável que excede seu escopo e um programa que é desconhecido ou que foi tomado por um atacante. Somente o último é tratado como um ataque.
Por que isso acontece no endpoint
Um infostealer automatizado pode se infiltrar, coletar e apagar suas próprias ferramentas em memória em questão de segundos. Enviar telemetria para um serviço em nuvem e esperar por um veredito não consegue superar isso. O ciclo completo de detect-decide-respond, portanto, é executado localmente no kernel, o que também é o motivo pelo qual funciona sem qualquer conectividade.
Veja também: "Vocês coletam algum dado de identidade?", "Quais dados de identidade são protegidos?" e "O que acontece quando um programa tenta acessar dados de identidade que não deveria?"