Isolamento de computadores infectados em testes da Microsoft

Um computador infectado é um baita problema em uma rede corporativa, por isso o isolamento de computadores infectados entra em testes.

Já vi empresas de grande porte pararem por um simples computador infectado replicar o malware para todas os outros computadores, por isso o isolamento de computadores infectados parece ser uma solução factível.

Essa novidade estaria em testes pela Microsoft no seu produto Defender for Endpoint.

Este seria mais um esforço da Microsoft para mudar a fama de inseguro que o Windows carrega por todos esses anos.

Isolamento de computadores infectados em testes da Microsoft

Basicamente, ao infectar um computador, a primeira ação do malware é tentar se replicar e levando em consideração que praticamente todos os computadores atualmente estão conectados isso permite uma capacidade de propagação exponencial.

Se um computador em uma residência já é complicado, imagina no ambiente corporativo, onde centenas de computadores estão dentro de uma mesma intranet.

Torna-se impossível eliminar o malware de maneira eficiente, pois ao ser eliminado de um computador, ele é automaticamente infectado novamente.

No começo dos anos 2000 o vírus chamado Sircam mostrou bem como isso pode ser complexo de resolver ao utilizar o compartilhamento administrativo do Windows para se propagar dentro de uma intranet.

Nos testes da Microsoft, a novidade desconecta o dispositivo atacado da rede.

Isso suprime a sua capacidade de propagação, criando uma barreira que protege os demais equipamentos.

Isso dá tempo para o time de segurança isolar e resolver o problema sem ter que lidar com replicas em todos os demais computadores da rede.

Como tudo funciona?

Quando o Defender for Endpoint detecta um computador infectado, ele automaticamente isola o equipamento cortando a conexão com outros equipamentos da rede.

Isso limita o raio de ação de uma infecção e dá tempo para que a equipe responsável lide com a ameaça.

Cabe a equipe de segurança liberar novamente o computador quando a ameaça for efetivamente contida.