Assume Breach (presumir a violação).

Assume Breach ("presumir a violação") é uma filosofia operacional de segurança popularizada pela Microsoft em meados da década de 2010 e hoje a postura padrão de programas maduros e de arquiteturas de confiança zero. Em vez de tratar a prevenção como defesa principal e a detecção como rede de segurança, um programa assume-breach projeta o ambiente como se o adversário já tivesse conquistado uma base de apoio e pergunta como a detecção, a contenção, a recuperação e a limitação do raio de impacto vão se sustentar. Concretamente, isso impulsiona: a microssegmentação da rede para restringir o movimento lateral, uma arquitetura centrada em identidade (cada requisição autenticada e autorizada), detecção e resposta em endpoints (EDR) em todos os lugares, registro centralizado com retenção longa o suficiente para a detecção real de campanhas lentas, exercícios regulares de red team e purple team contra o ambiente em produção (e não apenas em laboratório), playbooks de contenção automatizados (isolar o host, rotacionar chaves, encerrar a sessão) e ensaios de recuperação (backups imutáveis, caminhos alternativos para manter o negócio funcionando). A campanha SolarWinds/SUNBURST de 2020 (rastreada como UNC2452) é o argumento canônico dessa postura: uma atualização de software com cavalo de Troia deu ao ator meses de acesso não detectado dentro de redes reforçadas em prevenção, e as organizações que se saíram melhor foram aquelas que já monitoravam comportamentos anômalos de identidade e de movimento lateral, em vez de confiar no perímetro. Os longevos relatórios M-Trends da Mandiant acompanham o dwell time mediano global — o intervalo entre a intrusão e a detecção —, que caiu de mais de 400 dias uma década atrás para cerca de 10 nos últimos anos; os controles de assume-breach (telemetria de EDR, detecção comportamental, segmentação rígida) são a principal razão pela qual esse número continua caindo.

Assume Breach é um princípio fundamental do NIST SP 800-207 Zero Trust Architecture, da DoD Zero Trust Strategy dos EUA, do NCSC Cyber Assessment Framework do Reino Unido e da maioria dos programas de segurança modernos.

flowchart LR
  A[Presumir que o adversário<br/>já está dentro] --> B[Microssegmentar a rede<br/>limitar o movimento lateral]
  A --> C[Autenticar + autorizar<br/>cada requisição]
  A --> D[EDR + registro centralizado<br/>em todos os lugares]
  D --> E[Detectar identidade / movimento<br/>anômalos]
  E --> F[Contenção automatizada<br/>isolar, rotacionar chaves, encerrar sessão]
  F --> G[Recuperar a partir de<br/>backups imutáveis]
  G --> H[Purple team no ambiente em produção<br/>realimentar as lições]
  H --> A