Cibersegurança na área da defesa em 2026: limites reforçados, conteúdos não inspecionados

Mais de 80 % das organizações do setor aeroespacial e de defesa sofreram uma violação de segurança nos últimos doze meses.^[3] O setor regista cerca de 1250 incidentes cibernéticos por semana,^[4] com um aumento de 300% nos ataques desde 2018 e 61% das organizações afetadas por ransomware no último ano.^[5] Uma violação de segurança custa, em média, 5,46 milhões de dólares, sem contar com a interrupção de programas confidenciais, a exposição de contra-informação ou o risco contratual que se segue a uma falha de segurança de um fornecedor.^[6]

Threat Intelligence do Google confirmou, em fevereiro de 2026, que grupos de espionagem ligados à China têm visado os setores da defesa e aeroespacial mais do que qualquer outro ator estatal nos últimos dois anos,^[7] explorando dispositivos periféricos, equipamentos VPN e canais de transferência de ficheiros para estabelecer acesso de longa duração. A Rússia, o Irão e a Coreia do Norte operam na mesma base industrial. As campanhas DDoS de hacktivistas geram mais de 76% do volume de incidentes no setor (o dobro da média intersetorial^[8]), mas o volume não é a medida que importa. A ameaça estratégica é precisa e paciente. Não bate à porta. Entra através de conteúdos que já são considerados de confiança.

As técnicas LOTL (Living Off the Land), que utilizam ferramentas legítimas do sistema já presentes na rede, permitem que os adversários operem sem ativar a deteção. Quando a análise comportamental é acionada, um agente sofisticado já se encontra, muitas vezes, na rede há tempo suficiente para mapear o ambiente, identificar alvos de alto valor e preparar a exfiltração. A deteção é necessária. Mas não é suficiente. O ponto de força está no ponto de entrada, não no interior da rede.

O Zero Trust tornou-se o modelo de segurança predominante nas redes de defesa e governamentais, e por boas razões. Autenticação contínua, acesso com privilégios mínimos, imposição de conformidade dos dispositivos, microsegmentação — estes controlos são necessários e devem fazer parte de todas as arquiteturas de defesa. O problema não está no Zero Trust. O problema está em tratá-lo como a resposta definitiva a um problema que nunca foi concebido para resolver. O Acesso Zero Trust foi criado para controlar quem acede a uma rede. Não foi criado para verificar o que é transportado através de uma fronteira depois de os utilizadores estarem na rede. 

A limitação é específica. O modelo Zero Trust verifica quem está a atravessar a fronteira. A verificação de conteúdo determina o que é permitido atravessar. Uma política Zero Trust valida corretamente se um utilizador autenticado num dispositivo autorizado está a solicitar uma transferência legítima. Não tem visibilidade para determinar se o ficheiro que está a ser transferido contém uma macro maliciosa, uma carga maliciosa concatenada ou uma vulnerabilidade zero-day incorporada num formato de documento de confiança. 

As campanhas maliciosas que dão início a este blogue (os 393 dias de permanência do BRICKSTORM em ambientes de A&D, os cinco anos de presença do Volt Typhoon em infraestruturas críticas dos EUA) não conseguiram contornar os controlos de acesso. Entraram através de conteúdos que os controlos de acesso não tinham motivos para questionar.  

A gestão de identidades e acessos constitui a primeira camada indispensável. A verificação de conteúdos no ponto de entrada físico, no limite de classificação e na cadeia de abastecimento de software é a camada que determina o que é efetivamente autorizado a chegar ao destino. Em conjunto, formam um todo. Isoladamente, cada uma delas deixa por colmatar as lacunas da outra. 

A mudança mais significativa do ponto de vista operacional no panorama das ameaças baseadas em ficheiros em 2025–2026 é a aplicação da IA à geração de malware e à evasão estrutural. A equipa de inteligência de ameaças da Google identificou famílias de malware que sofrem mutações em tempo real durante a fase de ataque,^[14] com os custos de desenvolvimento de exploits a reduzirem-se drasticamente, passando de semanas de trabalho para quase zero.^[15]

A investigação OPSWATprópria OPSWATdocumentou um exemplo concreto: a técnica do PDF concatenado, na qual um PDF malicioso é anexado estruturalmente a um PDF limpo. Testada em 34 motores de análise, a taxa de deteção caiu de 34 para 5 quando os ficheiros foram concatenados.^[16] Três motores que anteriormente assinalavam a ameaça deixaram de o fazer. O leitor de PDF do utilizador apresentou o conteúdo de phishing exatamente como o atacante pretendia. A infraestrutura de segurança avaliou um documento diferente daquele que o utilizador abriu.

Não há nenhuma assinatura de malware para detetar. Não há nenhuma vulnerabilidade para identificar. Trata-se apenas de uma disposição estrutural de um formato de ficheiro legítimo que leva os scanners e os leitores a verem conteúdos diferentes. Numa fronteira de classificação, um único ficheiro que utilize esta técnica pode passar de «NÃO CLASSIFICADO» para «SECRETO» sem disparar qualquer alerta. Essa lacuna não é teórica.

O CDR (Content Disarm and Reconstruction) aborda esta questão ao nível do mecanismo. O CDR não procura identificar conteúdos maliciosos; em vez disso, descompõe cada ficheiro nos seus elementos constituintes, remove todo o conteúdo ativo e executável, independentemente da estrutura do ficheiro, e reconstrói uma versão limpa e funcionalmente intacta.

Uma variante gerada por IA sem assinatura conhecida, um documento malicioso com estrutura concatenada, um ficheiro do Office com macros incorporadas, um arquivo malicioso: todos são neutralizados pelo mesmo processo, porque o CDR remove o mecanismo de execução antes de o ficheiro chegar ao destino.

O CDR é um sistema de controlo de limites de ficheiros. Não aborda a atividade LOTL no interior de uma rede, nem a presença de adversários já instalados no ambiente.

Os requisitos das soluções de domínio cruzado evoluíram. As comunidades de interesse que necessitam de troca de dados são cada vez mais diversificadas. Os tipos de dados expandiram-se, passando de ficheiros de produtividade padrão para cargas de trabalho de sistemas, fluxos de inteligência e formatos nativos da nuvem. Conceber um CDS com longevidade requer uma abordagem modular e orquestrada, e não um dispositivo estático.

Managed File Transfer MetaDefender Managed File Transfer a receção e a transferência seguras de ficheiros através de redes classificadas e não classificadas, aplicando políticas de transferência, lógica de encaminhamento e registos de auditoria ao longo de todo o fluxo de trabalho. Os ficheiros passam pela pilhaCore MetaDefender Core para inspeção de conteúdo em cada ponto de controlo. Em conjunto, formam uma arquitetura coesa e interdomínios, regida por políticas:Managed File Transfer MetaDefender Managed File Transfer o fluxo, enquantoCore MetaDefender Core o que passa.

O CMMC 2.0 passou a ser aplicável nos contratos do Departamento de Defesa (DoD) a 10 de novembro de 2025. Pela primeira vez, a cibersegurança dos contratantes do setor da defesa é verificada, em vez de ser apenas auto-declarada. A Secção 866 da NDAA (Lei de Autorização de Defesa) para o ano fiscal de 2026 exige que o DoD normalize os requisitos de cibersegurança da DIB (Indústria de Defesa) até 1 de junho de 2026, com menos regras específicas por contrato, mas com uma aplicação mais rigorosa e consistente.

Ambos os desenvolvimentos são importantes. Nenhum deles colmata as lacunas acima descritas. Os 110 controlos do Nível 2 do CMMC foram concebidos para elevar o nível de referência numa ampla base industrial, em vez de impor controlos específicos que abordem essas superfícies de ataque. Os controlos não exigem a inspeção de suportes físicos nos pontos de entrada das instalações, a verificação do conteúdo dos ficheiros nas fronteiras entre domínios, a visibilidade dos componentes de software ao nível das dependências, nem a inspeção de conteúdo em linha com a separação de redes imposta por hardware.

Um contratante pode passar numa avaliação de Nível 2, incluindo a verificação C3PAO, mesmo que nenhuma dessas lacunas tenha sido totalmente resolvida. Apenas 21% das empresas do setor da defesa tinham selecionado tecnologia em conformidade com o CMMC em 2025.^[17] Em dezembro de 2025, apenas 92 C3PAOs tinham sido autorizados, face a uma base industrial de mais de 80 000 contratantes.^[18] A infraestrutura de conformidade ainda não acompanhou esta evolução.

Há uma segunda distinção importante no âmbito da acreditação. O CMMC regula as práticas de segurança do contratante. Não certifica as ferramentas utilizadas para implementar essas práticas. A certificação Common Criteria (exigida pela norma NSTISSP n.º 11 para produtos de IA em Sistemas de Segurança Nacional) verifica as propriedades de segurança de um produto específico através da avaliação realizada por um laboratório independente acreditado. Um produto com certificação CC utilizado para satisfazer um controlo CMMC fornece ao avaliador C3PAO provas verificadas em laboratório.

O CMMC e os Critérios Comuns são estruturas complementares. Uma regula as atividades da organização, enquanto a outra verifica se a ferramenta cumpre o que promete. É importante saber distinguir entre as duas.

MetaDefender aproximadamente 20 dos 110 controlos do Nível 2 do CMMC — o subconjunto para o qual a maioria das infraestruturas de segurança não foi concebida. O controlo de acesso, o registo de auditorias, a resposta a incidentes e a segurança do pessoal estão fora do âmbito de aplicação. O valor reside na precisão: os controlos rigorosos nas fronteiras que a sua infraestrutura atual não consegue alcançar, verificados de acordo com uma norma de laboratório independente.

As organizações que estarão em melhor posição nos próximos três anos não são aquelas com os maiores orçamentos de segurança ou com o maior número de controlos CMMC verificados. São aquelas que mapearam a sua superfície de ataque real — os pontos de entrada físicos, os limites de classificação, as interfaces OT-IT, a cadeia de abastecimento de software — e implementaram controlos verificados em cada um deles.

A deteção no interior da rede ficará sempre um passo atrás de um adversário sofisticado que já se tenha instalado no sistema. A prevenção na fronteira — antes de um ficheiro ser executado, antes de um dispositivo se ligar e antes de uma carga maliciosa ultrapassar uma linha de classificação — é onde reside a vantagem. É aí que OPSWAT .

Solicite uma reunião para discutir o seu ambiente e a sua arquitetura específicos.

Ainda está a definir a sua arquitetura CDS? Descarregue o Guia do Comprador de Soluções Interdomínios para o Setor Público e a Defesa, elaborado por especialistas em CDS para gestores de programas, arquitetos de segurança e equipas de aquisições que estejam a avaliar requisitos interdomínios modernos.