Segurança para MSSP e Empresa de Cibersegurança: blindando quem protege os outros

Por que o MSSP é o alvo mais valioso da cadeia

Um Managed Security Service Provider existe para concentrar confiança. Dezenas, às vezes centenas de organizações entregam a ele o acesso mais sensível que possuem: agentes de EDR rodando como SYSTEM em cada endpoint, consoles de RMM capazes de executar scripts remotamente em toda a frota, integrações privilegiadas com Active Directory, nuvem, firewalls e backups. Esse é o modelo de negócio — e é exatamente o que faz do MSSP um multiplicador de risco. Comprometer um fornecedor de segurança não rende um alvo; rende a carteira inteira de clientes dele, de uma vez, através de canais que esses clientes confiam e raramente questionam.

A lógica do atacante avançado é fria e econômica. Invadir cinquenta empresas individualmente custa caro: cinquenta superfícies diferentes, cinquenta times de defesa, cinquenta janelas de detecção. Invadir o MSSP que atende essas cinquenta empresas custa um esforço e entrega o mesmo resultado, com a vantagem de que o tráfego malicioso chega disfarçado de operação legítima de segurança. É por isso que grupos APT e operadores de ransomware passaram a tratar provedores de TI e segurança como alvo prioritário, e por isso casos como o da Kaseya (cujo software de RMM foi usado para distribuir ransomware a clientes downstream) e o da SolarWinds (cuja cadeia de build foi comprometida para distribuir uma atualização envenenada) se tornaram o pesadelo de referência do setor.

Há ainda um agravante reputacional. Quando uma padaria é hackeada, a notícia é local. Quando uma empresa de cibersegurança é hackeada, a notícia é o fim da tese de valor do negócio. O ativo central de um MSSP não é o software; é a confiança. Um incidente mal conduzido não custa apenas dados — custa contratos, renovações e a própria viabilidade comercial. Por isso a defesa de um MSSP precisa ser desproporcional ao seu tamanho: ele carrega o risco de todos os clientes somados.

O vetor que ninguém quer admitir: a própria ferramenta privilegiada

RMM, EDR e PAM: poder operacional vira raio de explosão

Ferramentas de Remote Monitoring and Management (RMM) foram desenhadas para fazer exatamente o que um atacante deseja: executar comandos remotos, distribuir software, coletar dados e operar em escala sobre milhares de máquinas, tudo a partir de um console central. Quando esse console é acessado por um invasor — seja por credencial vazada, MFA contornado, sessão sequestrada ou um insider comprometido — ele herda um canal de comando e controle pronto, confiável e silencioso. Nenhum malware customizado é necessário; a própria infraestrutura do MSSP vira a arma.

O mesmo vale para plataformas de EDR. Um console de EDR comprometido permite ao atacante desabilitar proteções nos endpoints dos clientes, criar exclusões, e em alguns casos usar a capacidade de resposta remota para mover-se lateralmente. A ferramenta que deveria ser o último anteparo torna-se o vetor. E porque tudo isso acontece dentro de canais legítimos e autenticados, os controles tradicionais baseados em assinatura ou em detecção de malware simplesmente não disparam.

A segregação de acesso entre clientes é o controle que mais frequentemente falha em MSSPs em crescimento acelerado. Por velocidade operacional, é comum que um mesmo conjunto de credenciais administrativas, uma mesma VPN plana ou um mesmo jump host dê acesso a múltiplos tenants. Isso significa que comprometer um único operador ou uma única estação de trabalho de engenharia equivale a comprometer toda a base. A segregação adequada — acesso por cliente, contas distintas, segmentação de rede entre ambientes, e idealmente acesso just-in-time — é o que converte um comprometimento total em um incidente isolado e contível.

Anatomia da ameaça em cadeia (supply chain)

A ameaça de supply chain a um MSSP se manifesta em duas direções, e ambas precisam ser tratadas. A primeira é a do MSSP como vítima downstream: ele consome software, bibliotecas, agentes e integrações de terceiros, qualquer um dos quais pode ser comprometido na origem (como no caso SolarWinds) e entregue como atualização confiável. A segunda — e mais devastadora — é a do MSSP como vetor upstream: ele próprio se torna o canal pelo qual o ataque atinge os clientes que confiam nele.

As quatro frentes de risco do setor

O que torna o supply chain tão perigoso é a transferência de confiança. O cliente não auditou o atacante; ele auditou (ou contratou) o MSSP. Quando o tráfego malicioso chega pela conexão do fornecedor de segurança, ele atravessa allowlists, exceções de firewall e políticas de confiança que o próprio MSSP pediu para configurar. A defesa, portanto, não pode terminar no perímetro: ela precisa assumir que a conexão de confiança pode ser abusada e validar comportamento, não apenas origem.

Cenário ilustrativo: o RMM virado contra os clientes

O cenário a seguir é ilustrativo — uma composição técnica de incidentes típicos do setor, não um cliente real — e serve para mostrar como a Decripte atua na prática. Um MSSP de porte médio, com cerca de oitenta clientes sob gestão, percebe algo estranho: alguns endpoints de dois clientes diferentes executaram, em janelas próximas, scripts de descoberta de rede que não constavam em nenhum runbook autorizado. A origem aparente dos comandos era o próprio console de RMM do MSSP — ou seja, a ferramenta legítima, autenticada, agindo fora do esperado.

Ao acionar a Decripte, o quadro se desenhou rapidamente. Uma credencial de operador havia sido comprometida semanas antes — provavelmente por phishing direcionado seguido de roubo de sessão, contornando um MFA que não era resistente a phishing. Com essa credencial, o atacante acessou o console de RMM e descobriu o que todo MSSP sob pressão de produtividade acaba criando: uma estrutura de acesso pouco segregada, em que o mesmo perfil enxergava e comandava múltiplos tenants. O atacante estava na fase de reconhecimento, mapeando quais clientes seriam mais lucrativos para um disparo de ransomware em massa via o próprio RMM — o roteiro Kaseya.

A partir daí, o trabalho deixou de ser apenas 'limpar a máquina' e passou a ser 'fechar o vetor de cadeia antes que o disparo aconteça e provar a todos os clientes que o vetor está fechado'. É esse o foco do desfecho descrito no estudo de caso completo abaixo: contenção imediata do console, erradicação da persistência do atacante, e a estruturação de segregação de acesso e hardening de tooling que impede a recorrência.

Como a Decripte responde quando o incidente já está em curso

A resposta a incidentes em um MSSP tem uma exigência que outros setores não têm: ela precisa ser conduzida sem destruir a confiança dos clientes downstream e, frequentemente, em coordenação com eles. Conter o console de RMM, por exemplo, pode interromper temporariamente a operação de segurança que o MSSP entrega — uma decisão que precisa ser tomada com método, comunicação e SLA. A Decripte trabalha com contenção em até uma hora justamente porque, neste setor, cada hora de console comprometido é uma hora de risco multiplicado por toda a base.

O diferencial de conduzir resposta a incidentes em um MSSP é entender que o ambiente comprometido é, ele próprio, uma plataforma de segurança. Isso significa que o atacante pode ter manipulado os próprios controles — desabilitado regras, criado exclusões, alterado políticas de EDR nos clientes. A erradicação precisa auditar não só os ativos, mas a integridade da postura de defesa que o MSSP entrega. Caso contrário, o cliente sai do incidente com uma falsa sensação de proteção.

Estruturando a segurança para que o próximo ataque seja contido

Responder a um incidente é apenas metade do trabalho. A outra metade — e a que define se haverá um próximo incidente igual — é estruturar a segurança do MSSP de forma que o abuso de acesso privilegiado tenha raio de explosão limitado por design. A Decripte aborda isso por pilares, com foco no que é específico de quem opera ferramentas privilegiadas em escala multi-tenant.

A segregação de acesso é o pilar central e o mais negligenciado. Em um MSSP bem estruturado, comprometer um operador deveria dar ao atacante acesso a um cliente, não a todos. Isso se constrói com identidade forte, segmentação de rede entre ambientes de cliente, e o princípio de menor privilégio aplicado de verdade — operadores recebem acesso ao que precisam, quando precisam, e esse acesso é registrado e revogado. É trabalhoso, e é exatamente por isso que tantos MSSPs adiam até o incidente forçar a conta.

Por que assumed-breach e Red Team são inegociáveis aqui

O pentest tradicional pergunta 'consigo entrar?'. Para um MSSP, essa não é a pergunta mais importante, porque o atacante avançado vai entrar — por phishing, por credencial vazada, por um fornecedor comprometido. A pergunta que importa é: 'uma vez dentro, com um acesso de operador, quanto do reino o invasor alcança e em quanto tempo nós percebemos?'. Essa é a pergunta que o exercício de assumed-breach responde. Ele parte do princípio de que o invasor já tem um ponto de apoio e mede o raio de explosão real.

O Red Team da Decripte, em modo assumed-breach, simula precisamente o cenário que mais ameaça o setor: um operador comprometido tentando pivotar do console de RMM para os ambientes dos clientes, abusando de ferramentas legítimas, criando exclusões no EDR e testando se a segregação entre tenants realmente segura. O resultado não é um relatório teórico de vulnerabilidades; é um mapa concreto de até onde um adversário chega e onde a detecção falha — exatamente o insumo que o MSSP precisa para priorizar hardening e validar que o SOC enxerga o ataque.

O caminho prático: comece grátis e estruture a defesa

Você não precisa de um contrato para começar a enxergar a sua exposição. O plano gratuito de Gestão de Ameaças da Decripte, em decripte.io/free, mapeia a superfície exposta do seu MSSP — ativos, credenciais vazadas, exposições de borda — e dá a primeira fotografia objetiva de risco, sem custo e self-service. É o ponto de partida natural para quem opera ferramentas privilegiadas e precisa entender o próprio risco antes de qualquer coisa.

A partir daí, a estruturação evolui pelos planos pagos em /planos, combinados conforme a maturidade e o porte: SOC 24x7 para a vigilância contínua e o threat hunting comportamental, Red Team para os exercícios de assumed-breach que validam o raio de explosão, Resposta a Incidentes para a contenção em até uma hora quando o pior acontecer, e Conformidade para estruturar a evidência contínua de SOC 2 que seus próprios clientes exigem. Tudo self-service, sem fricção de processo comercial, no ritmo da sua operação.

Cenário ilustrativo: assumed-breach fecha o RMM antes do disparo em massa

Como a Decripte responde a incidentes em MSSPs e empresas de segurança

A resposta em um MSSP tem uma exigência única: conter o vetor de cadeia sem destruir a confiança dos clientes downstream e, muitas vezes, em coordenação com eles. Cada hora de console privilegiado comprometido é risco multiplicado por toda a base. Por isso a contenção é em até uma hora e o método é rigoroso.

1. Triagem e correlação imediata pelo SOC 24x7: identificar se a anomalia é abuso de acesso legítimo (living-off-the-land) e qual ferramenta privilegiada está envolvida — RMM, EDR, PAM ou plataforma multi-tenant.
2. Contenção em até uma hora do vetor de cadeia: revogar sessões e contas comprometidas, colocar o console privilegiado em contenção controlada sem interromper abruptamente a operação crítica dos clientes, e bloquear execuções em massa não autorizadas.
3. Isolamento dos tenants atingidos: segmentar os clientes afetados para análise sem propagar o risco ao restante da carteira, preservando evidências forenses.
4. Erradicação com inventário completo: mapear persistência plantada no tooling, exclusões criadas no EDR, tarefas agendadas e caminhos laterais entre clientes; remover tudo e rotacionar credenciais privilegiadas.
5. Auditoria de integridade da postura: validar que as políticas de defesa entregues aos clientes (regras de EDR, configurações) não foram manipuladas, evitando falsa sensação de proteção.
6. Recuperação com hardening: retorno à operação com MFA resistente a phishing, allowlist de scripts no RMM e monitoramento reforçado de ações em massa.
7. Comunicação técnica aos clientes downstream: relatar o que ocorreu, o que foi contido e as evidências de fechamento do vetor, preservando a confiança que é o ativo central do MSSP.
8. Exercício de assumed-breach pós-incidente para validar que o raio de explosão foi efetivamente reduzido e que o SOC detecta a recorrência.

Como a Decripte estrutura a segurança de um MSSP

Estruturar a segurança de quem opera ferramentas privilegiadas em escala multi-tenant significa garantir, por design, que o abuso de um acesso tenha raio de explosão limitado. A Decripte trabalha por pilares específicos do setor.

Planos recomendados para MSSP e Empresas de Cibersegurança

Perguntas frequentes

Termos do setor

MSSP (Managed Security Service Provider)

Provedor que opera serviços de segurança (monitoramento, EDR, resposta) para múltiplos clientes a partir de uma infraestrutura central e privilegiada — o que o torna um multiplicador de confiança e, por isso, um alvo de cadeia.

RMM (Remote Monitoring and Management)

Ferramenta que permite executar comandos, distribuir software e gerenciar remotamente milhares de endpoints a partir de um console central. Poderosa para o MSSP e perigosa quando comprometida, pois vira canal de comando e controle pronto para o atacante.

Assumed-breach

Modalidade de Red Team que parte do princípio de que o invasor já obteve um ponto de apoio (ex.: um acesso de operador) e mede o raio de explosão real e o tempo de detecção, em vez de apenas testar se é possível entrar.

Ataque de supply chain (cadeia)

Comprometimento que se propaga através de uma relação de confiança: o atacante atinge um fornecedor (como um MSSP ou seu software) para alcançar, por meio dele, os clientes downstream que confiam nesse fornecedor. Modelo dos casos Kaseya e SolarWinds.

Living-off-the-land

Técnica em que o atacante abusa de ferramentas e credenciais legítimas (PsExec, PowerShell, o próprio RMM/EDR) em vez de malware detectável, misturando-se à operação normal. Exige detecção comportamental e threat hunting, não apenas assinaturas.

SOC 2

Framework de auditoria (Trust Services Criteria: Security, Availability, Processing Integrity, Confidentiality, Privacy) que evidencia continuamente os controles de segurança de um prestador de serviços — o idioma de confiança que os clientes de um MSSP costumam exigir.