Pontos principais
- Muitos ataques baseados em navegadores são bem-sucedidos devido à falta de gerenciamento dos navegadores, o que deixa credenciais, extensões e dados de sessão expostos.
- Cinco falhas comuns de segurança nos navegadores são: extensões não gerenciadas, sincronização de perfis descontrolada, gerenciamento inadequado de senhas, atualizações inconsistentes e visibilidade limitada do navegador.
- Uma política de gerenciamento de navegadores impõe controles consistentes em todo o ambiente, incluindo gestão de extensões, regras de perfil, armazenamento de senhas, imposição de atualizações e monitoramento dos navegadores.
- A política de navegadores funciona melhor quando está alinhada à infraestrutura de segurança existente, de modo que os controles se reforcem mutuamente, em vez de entrarem em conflito entre si.
- Priorize o gerenciamento de usuários privilegiados, equipes de alto risco e dispositivos não gerenciados antes de ampliar a cobertura para sistemas de menor risco.
Os navegadores são a forma como os funcionários acessam as ferramentas, os sistemas e as plataformas necessárias para realizar o trabalho; segundo o site , o funcionário médio passa 85% do seu dia em um. No entanto, apesar de sua importância para as operações diárias, os navegadores também funcionam como possíveis pontos de entrada para o sequestro de sessões, extensões maliciosas e ataques de roubo de credenciais.
A maioria dos ataques baseados em navegadores é bem-sucedida não por causa de uma vulnerabilidade sofisticada e altamente elaborada, mas simplesmente porque o navegador não recebeu a devida manutenção. Este guia abordará as melhores práticas de gerenciamento de navegadores d para ajudá-lo a eliminar as vulnerabilidades que os invasores buscam e exploram ativamente.
Por que a gestão da segurança na navegação na web é importante
Muitas organizações possuem controles bem estabelecidos em relação aos terminais, à identidade e ao acesso à rede, mas deixam o navegador — onde, na verdade, ocorre a maior parte do trabalho — a critério do usuário. Os navegadores armazenam credenciais d , acessam aplicativos SaaS e interagem com serviços de terceiros em uma única sessão, o que os torna um alvo fácil para os invasores.
Quando não são gerenciados, fica difícil monitorar os navegadores e controlar o que está instalado, como os dados circulam e o que é acessado durante as sessões. Uma estratégia de gerenciamento de navegadores ajuda você a aplicar políticas em toda a sua organização, garantindo que extensões, perfis, senhas, atualizações e monitoramento funcionem de acordo com suas necessidades.
Dica nº 1: Aplicar uma política de navegador gerenciado para o controle de extensões
As extensões são fáceis de instalar e aumentam a produtividade do usuário final; no entanto, raramente são revisadas após a instalação. Uma extensão com permissão de acesso ampla pode ler silenciosamente o conteúdo das páginas, capturar credenciais, acessar o histórico de navegação e redirecionar atividades por meio de servidores externos.
Para gerenciar corretamente as extensões, leve em consideração o seguinte:
- Manutenção e aplicação centralizada de uma lista de extensões aprovadas e bloqueadas
- Exigir que as equipes de TI analisem e aprovem as solicitações de instalação de extensões
- Aplicar restrições mais rigorosas às prorrogações para equipes e departamentos de alto risco
- Revisar regularmente o inventário de extensões e remover aquelas que não estão sendo utilizadas
A gestão eficaz de extensões não é uma estratégia do tipo “configure e esqueça”; ela deve fazer parte de um fluxo de trabalho contínuo de gerenciamento de políticas do navegador.
Dica nº 2: Definir regras de segurança do navegador relacionadas a perfis e sincronização
A maioria dos navegadores modernos permite que os usuários façam login usando várias contas, sincronizando automaticamente os dados de navegação — incluindo senhas, extensões, favoritos e preenchimento automático — entre dispositivos. Embora isso seja conveniente para os usuários finais, cria uma lacuna significativa no controle para as equipes de TI.
Em ambientes de “ do tipo “traga seu próprio dispositivo” (BYOD), os dados de navegação de uma conta corporativa podem ser sincronizados acidentalmente com um perfil pessoal, saindo do controle e da supervisão da organização. Isso pode fazer com que senhas acabem sendo armazenadas em dispositivos pessoais ou que extensões sejam replicadas para dispositivos não gerenciados.
Para evitar isso, a política do seu navegador deve definir:
- Se é permitido o uso de perfis pessoais em dispositivos corporativos
- Se os usuários devem se autenticar com contas corporativas
- Quais tipos de dados, se houver, podem ser sincronizados entre dispositivos?
- Como os dados do navegador são tratados e removidos durante o encerramento do contrato
Definir limites claros entre o trabalho e a navegação pessoal é o que mantém os dados corporativos dentro dos limites da sua política de navegadores gerenciados.
Dica nº 3: Aumente a segurança na navegação na web por meio de controles de senha e preenchimento automático
Os navegadores oferecem recursos integrados de salvamento de senhas e preenchimento automático para eliminar a necessidade de digitar novamente as credenciais. No entanto, essa prática pode entrar em conflito com as melhores práticas de política de senhas d , especialmente em ambientes que utilizam um gerenciador de senhas aprovado.
Quando os funcionários salvam credenciais em seus navegadores, você perde o controle e a supervisão sobre o armazenamento, a segurança e a retenção dessas informações. O preenchimento automático agrava essa situação ao inserir automaticamente credenciais e dados confidenciais, que podem acabar sendo inseridos em páginas de phishing ou sites não autorizados.
As práticas recomendadas para senhas e preenchimento automático incluem:
- Defina claramente se deve usar o armazenamento de senhas do navegador ou um gerenciador de senhas corporativo dedicado
- Desativar o armazenamento de senhas para contas com privilégios
- Restringir o preenchimento automático para campos confidenciais e de alto risco
- Exigir a autenticação multifatorial (MFA) do para aplicativos essenciais aos negócios
Embora a educação contribua para melhorar os hábitos de segurança em relação às senhas, as políticas ainda devem ser aplicadas sempre que possível, pois mesmo usuários bem treinados estão sujeitos a cometer erros.
Dica nº 4: Trate as atualizações do navegador como um processo de manutenção imprescindível
Os usuários podem acessar sites não confiáveis todos os dias, e um navegador desatualizado aumenta esse risco. As vulnerabilidades conhecidas em navegadores sem patch são catalogadas ativamente, o que significa que os invasores não precisam desenvolver novas técnicas, especialmente quando as antigas ainda funcionam.
As lacunas de atualização geralmente ocorrem porque os usuários demoram a reiniciar o navegador após a instalação de um patch, e navegadores desatualizados podem permanecer em sistemas legados. Sem um monitoramento centralizado, você fica sem saber quais versões de navegador estão sendo executadas em seus sistemas em todo o ambiente.
Dito isso, as políticas de gerenciamento de navegadores devem:
- Ativar atualizações automáticas
- Definir os requisitos mínimos de versão do navegador
- Incluir relatórios sobre dispositivos que não estão em conformidade
- Padronizar as configurações de navegação segura e antiphishing em todo o ambiente
Além das versões desatualizadas do navegador, configurações de segurança inconsistentes — como permissões excessivamente amplas para a câmera ou o microfone — e comportamentos de download não gerenciados também podem expor até mesmo um navegador totalmente atualizado.
Dica nº 5: Crie visibilidade para sua estratégia de segurança do navegador
O navegador lida diariamente com credenciais, envios de arquivos e acesso a SaaS, mas a maioria das organizações não possui uma trilha de auditoria para nada disso. No entanto, apesar dessa falta de supervisão, o sistema ainda lida com credenciais, envios de arquivos, acesso a aplicativos SaaS e dados confidenciais.
Esse ponto cego afeta significativamente sua capacidade de responder a incidentes relacionados a navegadores. Por exemplo, após sinalizar um evento de segurança, muitas vezes não há pistas a serem seguidas nem contexto para se agir.
Para melhorar a visibilidade do navegador no seu ambiente, é importante:
- Manter um inventário de navegadores e extensões do nos dispositivos gerenciados
- Monitorar as versões dos navegadores e sinalizar dispositivos não compatíveis
- Conecte alertas a plataformas de gerenciamento de serviços de TI (ITSM) ou a fluxos de trabalho de segurança
- Definir manuais de procedimentos claros para ameaças baseadas em navegadores
A visibilidade oferece uma visão clara da atividade do seu navegador em todo o ambiente, ajudando você a identificar problemas antecipadamente, responder com precisão e corrigir vulnerabilidades antes que elas sejam exploradas.
Como a política de gerenciamento de navegadores contribui para a segurança corporativa
Juntas, as cinco práticas recomendadas apresentadas neste guia constituem a base da sua política de navegadores. A criação de uma política de navegador gerenciado ajuda a garantir que esses controles sejam aplicados de maneira consistente em todos os dispositivos gerenciados.
Ao centralizar a aplicação desses controles, você passa de uma configuração no nível do dispositivo para uma linha de base padrão, na qual desvios, exceções e lacunas são gerenciados antes que se transformem em incidentes.
Além disso, a política do navegador funciona melhor quando é elaborada para complementar as ferramentas e regras de segurança já existentes, de modo que nada fique de fora. Por exemplo, uma organização que tenha um gerenciador de senhas aprovado, mas não possua uma política de armazenamento de senhas, ainda apresenta uma lacuna, já que os funcionários continuam podendo salvar credenciais usando seus navegadores.
O objetivo é criar um ambiente de navegador que seja seguro por padrão, aplicado de forma consistente e coeso, para que os usuários não precisem recorrer a soluções alternativas que possam introduzir novos riscos.
Priorizando as falhas de segurança dos navegadores
Não é recomendável corrigir todas as vulnerabilidades identificadas no navegador de uma só vez, pois nem todas apresentam o mesmo risco. Em vez disso, você deve priorizar as áreas com maior risco de exposição.
Isso significa priorizar, em primeiro lugar, os usuários que lidam com dados confidenciais ou que operam fora dos controles existentes para terminais. Isso inclui administradores com privilégios, equipes de alto risco e usuários do BYOD.
Em seguida, busque ampliar a cobertura, incluindo aplicativos web legados e fluxos de trabalho de transferência de arquivos de grande volume, e depois avance para os segmentos de menor risco do ambiente.
Garanta a segurança do navegador gerenciando-o
Os navegadores são onde o trabalho acontece, mas continuam sendo um ponto cego em muitos ambientes, funcionando como uma porta desprotegida para possíveis explorações. As cinco práticas recomendadas deste guia ajudam a evitar isso, definindo políticas, aplicando-as de forma consistente e tratando o navegador como uma superfície de segurança gerenciada.
Uma abordagem estruturada para lidar com as vulnerabilidades dos navegadores consiste em começar gerenciando os usuários de maior risco e corrigindo primeiro as vulnerabilidades mais expostas, para depois passar para os de menor risco.
Tópicos relacionados:
