O que é Desarmamento e Reconstrução de Conteúdo (CDR)?

A infecção por malware geralmente começa com um documento

A grande maioria das infecções por malware começa com um e-mail de phishing. Destes, uma parcela significativa utiliza um documento malicioso como mecanismo de entrega. Em 2020, mais de 70% dos anexos ou links maliciosos de e-mail e cerca de 30% dos downloads maliciosos da web foram entregues por meio de documentos como PDF, Microsoft Office Word, Excel e PowerPoint.

No entanto, embora um documento possa ser transformado em arma, isso não significa que seja completamente malicioso. Os documentos do Microsoft Office são estruturados como arquivos ZIP, contendo pastas com vários arquivos diferentes. Isso significa que o script malicioso em um arquivo do Office é apenas um dos vários arquivos que ele contém.

Os PDFs são semelhantes porque também são construídos a partir de uma coleção de peças diferentes. Um arquivo PDF malicioso contém vários objetos que se combinam para criar o arquivo que o destinatário vê. No entanto, apenas um ou alguns desses objetos contêm o código de script malicioso oculto no documento.

Apresentando desarme e reconstrução de conteúdo

Encaminhar um arquivo Microsoft Office ou PDF potencialmente malicioso para o destinatário pretendido é muito arriscado. Sempre existe a chance de o destinatário abrir o arquivo, ativar macros e infectar seu computador com malware. Além disso, esta abordagem depende da detecção do conteúdo malicioso. Por outro lado, excluir totalmente o arquivo corre o risco de o destinatário perder informações importantes que foram incluídas no documento transformado em arma. O desarme e a reconstrução de conteúdo oferecem uma alternativa segura ao simples bloqueio de arquivos maliciosos.

Em um arquivo Microsoft Office ou PDF transformado em arma, apenas uma pequena fração dos arquivos ou objetos que compõem o documento são potencialmente maliciosos. Trata-se de qualquer conteúdo executável incorporado ao documento. Com o CDR, esses elementos executáveis são extirpados do documento e, em seguida, o documento é reconstruído usando as partes restantes. Muitas vezes, isso requer apenas a reconstrução dos arquivos usados pelo Microsoft Office ou por um leitor de PDF para remover referências ao conteúdo excisado.

Benefícios do CDR

A tecnologia de extração de ameaças do Check Point SandBlast oferece uma solução de desarmamento e reconstrução de conteúdo (CDR) líder do setor. O SandBlast Threat Extraction oferece vários benefícios para a segurança cibernética organizacional e a produtividade dos funcionários, incluindo:

• Impacto mínimo no destinatário: Qualquer conteúdo malicioso é projetado para ser invisível ao destinatário, portanto o CDR não tem impacto nas informações reais transmitidas pelo arquivo.
• Entrega Segura: Ao remover o conteúdo executável do documento, o arquivo torna-se seguro para o destinatário, possibilitando enviá-lo sem o risco de entrega de malware.
• Zero Day Protection: O CDR remove conteúdo executável, independentemente de ser detectado ou não como malicioso. Isso permite proteger contra ameaças de dia zero.
• Entrega rápida: o CDR elimina atrasos associados aos sandboxes tradicionais e permite a implantação no mundo real para proteção de dia zero no modo de prevenção, ao mesmo tempo em que entrega arquivos limpos aos usuários rapidamente.
• Acesso ao arquivo original: Em alguns casos, o acesso ao conteúdo executável pode ser necessário para arquivos benignos. Com o Check Point SandBlast, o arquivo original pode ser acessado pelo usuário após ser confirmado como benigno após a inspeção do sandbox.

Check Point Workspace Security Offers CDR Security Options Across the Board

Embora os e-mails de phishing sejam o método mais comum e conhecido de entrega de documentos maliciosos e malware a um destinatário, eles estão longe de ser a única opção. O conteúdo malicioso pode ser entregue através de plataformas de colaboração corporativa (como Slack e Microsoft Teams), através de mensagens de texto, através de redes sociais e outros aplicativos móveis, e através de downloads de sites maliciosos ou comprometidos.

For this reason, CDR must be deployed to protect all of these potential infection vectors in order to be effective. Check Point’s Workspace Security technology is available for all platforms with Check Point Endpoint Security (endpoint security), Check Point Mobile Security (mobile security), and Check Point Browser Security

By deploying Check Point’s Workspace Security technology, an organization can protect its users against the most common method of malware delivery while minimizing impacts on employee productivity. The multi-stage delivery of potentially malicious files (i.e. ones containing executable code) ensures that employees can receive files quickly but only access executable content once it has been verified to be benign.

To learn more about Check Point’s Workspace Security solutions, check out this video. To see how Workspace Security technology can help to provide comprehensive protection to your organization against weaponized documents, request a demo for Check Point Endpoint Security and a Demo for Check Point Mobile Security.