Segurança da Informação

A segurança de praticamente todos os computadores do planeta acabou de piorar, e a única solução real - que é claro que não é uma solução - é jogá-los e comprar novos.

Os pesquisadores anunciaram uma série de grandes vulnerabilidades de segurança nos microprocessadores no coração dos computadores mundiais nos últimos 15-20 anos. Eles foram chamados Specter e Meltdown, e eles têm a ver com a manipulação de maneiras diferentes que os processadores otimizam o desempenho ao reorganizar a ordem das instruções ou executar diferentes instruções em paralelo.

Um invasor que controla um processo em um sistema pode usar as vulnerabilidades para roubar segredos em outro lugar no computador. (Os trabalhos de pesquisa..papers are here and here.) Isso significa que um aplicativo mal-intencionado em seu telefone pode roubar dados de seus outros aplicativos. Ou um programa malicioso em seu computador - talvez um executado em uma janela do navegador a partir desse site esboçado que você está visitando, ou como resultado de um ataque de phishing - pode roubar dados em outro lugar em sua máquina.

Os serviços em nuvem, que muitas vezes compartilham máquinas entre vários clientes, são especialmente vulneráveis. Isso afeta aplicativos corporativos em execução em infra-estrutura de nuvem e aplicativos de nuvem de usuários finais, como o Google Drive. Alguém pode executar um processo na nuvem e roubar dados de todos os outros usuários no mesmo hardware.

As informações sobre essas falhas circularam secretamente entre as principais empresas de TI há meses, enquanto pesquisavam as ramificações e as atualizações coordenadas. Os detalhes deveriam ser lançados na próxima semana, mas a história quebrou cedo e todos estão se mexendo. Até agora, todos os principais fornecedores de nuvem corrigiram seus sistemas contra as vulnerabilidades que podem ser corrigidas. "Jogá-lo e comprar um novo" é um conselho de segurança ridículo, mas é o que o US-CERT recomenda (recommends).

Também é inviável. O problema é que não há nada para comprar que não seja vulnerável. Praticamente todos os principais processadores feitos nos últimos 20 anos são vulneráveis ​​a algum tipo de vulnerabilidades. Patching against Meltdown pode degradar o desempenho em quase um terço. E não há patch para o Specter; os microprocessadores devem ser redesenhados para evitar o ataque, e isso levará anos.

Isso é ruim, mas espere mais e mais. Várias tendências estão a convergir de uma forma que dificulta a implementação do nosso atual sistema de correção de vulnerabilidades de segurança. A primeira é que essas vulnerabilidades afetam os computadores incorporados em dispositivos de consumo. Ao contrário do nosso computador e telefones, esses sistemas são projetados e produzidos com menor margem de lucro com menos experiência de engenharia. Não há equipes de segurança em chamada para escrever patches, e muitas vezes não existem mecanismos para empurrar patches para os dispositivos. Nós já vemos isso com roteadores domésticos, gravadores de vídeo digital e webcams.

A vulnerabilidade que permitiu que eles sejam assumidos pelo botnet Mirai em agosto passado simplesmente não pode ser consertada. O segundo é que alguns dos patches requerem atualizar o firmware do computador. Isso é muito mais difícil de caminhar pelos consumidores, e é mais provável que ele permaneça o tijolo do dispositivo se algo der errado. Também requer mais coordenação. Em novembro, a Intel lançou uma atualização de firmware para corrigir uma vulnerabilidade em seu mecanismo de gerenciamento (ME): outra falha em seus microprocessadores. Mas não conseguiu essa atualização diretamente para usuários; tinha que trabalhar com as empresas de hardware individuais, e alguns deles simplesmente não eram capazes de obter a atualização para seus clientes.

Alguns patches exigem que os usuários desabilitem a senha do computador, o que significa que as organizações não podem automatizar o patch. Alguns softwares anti-vírus bloqueiam o patch, ou - pior - trava o computador. Isso resulta em um processo de três etapas: repare seu software andi-virus, repare seu sistema operacional e, em seguida, pare o firmware do computador.

O motivo final é a natureza dessas vulnerabilidades. Estas não são vulnerabilidades de software normais, onde um patch corrige o problema e todos podem seguir em frente. Essas vulnerabilidades estão nos fundamentos de como o microprocessador opera. Não deve ser surpreendente que os designers de microprocessadores tenham construído hardware inseguro há 20 anos. O que é surpreendente é que demorou 20 anos para descobri-lo.

Com a pressa de fazer computadores mais rápidos, eles não estavam pensando em segurança. Eles não tinham a experiência para encontrar essas vulnerabilidades.

E aqueles que estavam muito ocupados encontraram vulnerabilidades de software normais para examinar microprocessadores. Pesquisadores de segurança estão começando a olhar mais de perto para esses sistemas, então espere ouvir sobre mais vulnerabilidades nesse sentido. Specter e Meltdown são vulnerabilidades bastante catastróficas, mas só afetam a confidencialidade dos dados.

Ref: Bruce Schneier

Só assim serão capazes de entender o estado de maturidade da sua estratégia de segurança, e sua capacidade de antecipar ameaças

Os riscos trazidos pelos avanços digitais, como a dificuldade de identificar transferências de dados perigosas e a falta de visibilidade das atividades do usuário, são grandes desafios para os líderes de segurança de hoje, que precisam estar atentos a uma superfície de ataque cada vez maior e vulnerável, expondo o negócio a uma série de ameaças com alto poder de destruição.

Monitorar a rede e identificar mudanças bruscas no comportamento do ambiente de TI é essencial para garantir a segurança do negócio e evitar processos custosos de remediação, problemas com compliance e danos à reputação da empresa. Para isso, é preciso lidar com uma série de pontos cegos.

Veja abaixo três perguntas que os líderes de segurança precisam saber responder para entender o estado de maturidade da sua estratégia de segurança e sua capacidade de antecipar ameaças:

1. Você tem controle de todos os dispositivos conectados à rede?
A maioria das organizações não é capaz de detectar atividades anormais nos dispositivos conectados à rede, incluindo Internet das Coisas ou qualquer outro dispositivo não convencional. Os hackers sabem disso e têm investido cada vez mais em ataques contra esses dispositivos. É o caso, por exemplo, dos ataques DDoS usando o malware Mirai, em 2016, que, por meio de vulnerabilidades em câmeras Wi-Fi, deixaram uma série de serviços fora do ar durante horas.

Grande parte dos dispositivos de Internet das Coisas não foi feita tendo a segurança em mente – muitos não foram feitos nem para receber atualizações, por exemplo. O fato de as empresas não terem conseguido se adequar para garantir a manutenção correta desses dispositivos também é um ponto a favor dos hackers. É comum vermos boas práticas básicas deixadas de lado, como a necessidade de alterar as credenciais de acesso de fábrica.

2. Onde estão seus dados e como são usados?
Softwares de monitoramento da rede, como soluções de SIEM, por exemplo, certamente são úteis para revelar atividades anormais, porém, devido à falta de contexto, a quantidade de alertas é tão absurda que o time pode acabar ignorando atividades críticas, como grandes volumes de dados saindo da rede ou sendo copiados para pastas desprotegidas. Qualquer hacker capaz de ultrapassar a barreira do perímetro pode ficar semanas ou meses roubando informações de uma base de clientes sem ser notado.

É claro que você não precisa receber um alerta toda vez que um vendedor faz download de uma planilha de vendas, mas certamente é importante saber que alguém de outra área, que não precisa dessa informação, fez download desse mesmo material. Isso exige contexto e um amplo entendimento do fluxo de dados.

Saber onde estão os arquivos e como são usados é fundamental para detectar movimentos ilegítimos e bloqueá-los antes que a empresa perca informações de alto valor.

3. Como seus usuários de comportam?
É claro que nem todo usuário interno tem intenções maliciosas, mas vazamentos acidentais podem ser tão destrutivos como qualquer ataque malicioso para roubar informações. Falhas humanas foram a causa de 31% dos incidentes registrados no Brasil em 2017, segundo dados do Instituto Ponemon.

Mesmo que um usuário, por exemplo, tenha acesso a 90% dos dados da empresa, caso ele resolva acessar um arquivo com uma informação sensível, é importante saber quais foram as atividades que ele executou enquanto esteve usando as informações. Isso permite que a empresa obtenha um controle maior referente ao que cada usuário pode acessar, garantindo que as correções possam ser feitas rapidamente.

Acessos em horários diferentes do habitual, atividades como grande volume de downloads e mudança no local dos arquivos devem ser analisadas com cuidado, pois certamente podem estar ligadas a alguma ação imprudente ou maliciosa.

Poucos líderes de segurança são capazes de responder essas três perguntas totalmente confiantes, por isso, esse é o primeiro passo para começar a enfrentar os pontos cegos da rede e criar estratégias para gerar mais visibilidade e proteção para os ativos de informação mais importantes para o negócio.

(*) Carlos Rodrigues é vice-presidente da Varonis para a América Latina