Como os dados de identidade são protegidos? Resposta curta: A Cyber Crucible identifica os locais onde os dados de identidade são armazenados e protege esses locais no nível do kernel. Quando um programa tenta acessar um deles, o acesso é rastreado e analisado — sem que as senhas, tokens ou chaves de criptografia em si sejam acessados ou coletados . Com base nessa análise, o programa é permitido, recebe dados falsos, é negado ou suspenso. Protegendo o acesso, não o segredo A maior parte da proteção de identidade atua sobre o segredo: criptografá-lo, guardá-lo em um cofre ou monitorar seu aparecimento em um vazamento de dados. A Cyber Crucible atua sobre o ato de tentar acessá-lo . Ataques automatizados são previsíveis de uma forma específica — eles precisam ir a locais conhecidos para encontrar credenciais. Os armazenamentos de cookies do navegador, os caminhos de credenciais de VPN, o armazenamento de credenciais do Windows, os arquivos de carteiras (wallets) e os dados do Active Directory estão todos localizados onde os atacantes já sabem procurar. Essa previsibilidade é a oportunidade de defesa. A Cyber Crucible identifica esses armazenamentos de dados de identidade e, em seguida, os protege. Qualquer programa que toque em um deles é avaliado, junto com seus processos pai e filho e as bibliotecas que carregou. Os segredos nunca são lidos Essa é uma restrição de design deliberada, não um efeito colateral: o acesso é rastreado e analisado sem que a própria credencial seja acessada. A Cyber Crucible não lê, processa, coleta ou transmite senhas, tokens de sessão, cookies ou chaves de criptografia — para nenhum servidor, seja hospedado pela Cyber Crucible ou pelo cliente. A análise comportamental do acesso à identidade acaba não exigindo os dados de identidade em si. O que importa é qual programa está acessando onde, em que contexto, tendo feito o quê anteriormente — nada disso exige abrir o segredo. A consequência é que a proteção não pode, ela mesma, tornar-se a violação, e não existe um armazenamento central de suas credenciais para ser intimado judicialmente, vazado ou perdido. O que o mecanismo comportamental avalia A decisão não é "este programa está em uma lista?" — é "o que este código está realmente fazendo agora?" Os sinais incluem: Estado e comportamento da memória — rastreados ao longo de todo o ciclo de vida do programa, incluindo alterações em memória que nunca chegam ao disco. Essa é a camada de sensor fundamental da plataforma, compartilhada com a proteção de dados e o FortressAI, e não é específica da identidade. Linhagem de processos — o que iniciou isso e o que isso iniciou, por sua vez. Padrão de acesso — trata-se de uma aplicação normal lendo sua própria credencial, ou de uma varredura simultânea em vários locais de identidade? Atividade de bibliotecas e injeção — este processo confiável foi injetado ou alterado em memória? A resposta é graduada, não binária Nem todo programa que tenta acessar dados de identidade é um atacante, portanto a resposta depende do que o programa é e de como está se comportando: Situação Resposta Uma aplicação conhecida, não explorada, acessando o que legitimamente precisa Permitido Uma aplicação conhecida, não explorada, mas que excede o acesso apropriado Recebe dados falsos, ou o acesso é negado — regido por regras comportamentais de privacidade Uma aplicação desconhecida Rejeitada ou suspensa , conforme o mecanismo comportamental e suas configurações Uma aplicação comprometida — processo ou bibliotecas explorados Rejeitada ou suspensa , conforme o mecanismo comportamental e suas configurações O caso intermediário importa mais do que parece à primeira vista. Muitos softwares legítimos acessam os armazenamentos de identidade mais profundamente do que precisam. Suspendê-los prejudicaria o dia do usuário sem qualquer ganho de segurança — mas entregar-lhes credenciais reais é uma exposição desnecessária. Retornar dados falsos satisfaz o programa enquanto o segredo real permanece intacto. A distinção que o mecanismo está estabelecendo é entre um programa confiável que excede seu escopo e um programa que é desconhecido ou que foi tomado por um atacante . Somente o último é tratado como um ataque. Por que isso acontece no endpoint Um infostealer automatizado pode se infiltrar, coletar e apagar suas próprias ferramentas em memória em questão de segundos. Enviar telemetria para um serviço em nuvem e esperar por um veredito não consegue superar isso. O ciclo completo de detect-decide-respond, portanto, é executado localmente no kernel, o que também é o motivo pelo qual funciona sem qualquer conectividade. Veja também: "Vocês coletam algum dado de identidade?" , "Quais dados de identidade são protegidos?" e "O que acontece quando um programa tenta acessar dados de identidade que não deveria?"