Segurança da Informação

A segurança exige muito mais do que um firewall com capacidade de bloquear jogos do Facebook. A proteção precisa fornecer uma abordagem holística e integrada de segurança que cubra toda a sua rede

Vamos parar e pensar por um minuto ou dois. Como foi que os recentes ataques de ransomware aconteceram? As empresas estão focadas em ameaças válidas, corrigindo os problemas certos ou desenvolvendo os processos corretos? As tecnologias transformadoras mudaram o nosso pensamento? Não sejamos táticos. Em vez disso, precisamos pensar no seguinte: “Qual é a nossa melhor estratégia?”

Desde que o circo todo do NGFW (firewall de próxima geração) chegou à cidade, parece mais interessante ficar do lado de fora, nas barraquinhas, e perder o evento principal lá dentro. Por exemplo, ver como um firewall pode manipular os detalhes dos hábitos de um usuário é uma atividade que parece atraente. Eu já vi vários fornecedores tentando ganhar a confiança dos clientes mostrando como um firewall corporativo pode bloquear um jogo no Facebook, enquanto permite o acesso a outros jogos. Por isso, as capacidades de firewall começaram a ser medidas e avaliadas com base no número de assinaturas de aplicativos que o firewall contém, concluindo que quanto mais assinaturas de aplicativos, melhor o firewall corporativo.

Embora esta e outras tendências similares tenham dominado a conversa sobre o firewall corporativo, os recentes ataques dos vírus WannaCry e Petya deveriam fazer com que os fornecedores de firewall corporativo e seus clientes pensassem duas vezes. A questão aqui é: eles realmente estão se concentrando no problema que precisa ser resolvido? Ou ainda estão do lado de fora nas barraquinhas brincando com ursinhos de pelúcia?

Depois de analisar este problema com atenção, eu cheguei a essa conclusão: tanto os fornecedores de NGFW quanto seus clientes estão focados no problema errado. O principal risco de negócio – e como uma equipe de pesquisa de segurança vimos e comprovamos isso a todo momento – continua sendo ransomware e malware adquiridos por links em e-mails.

Vamos analisar um típico ataque de ransomware e como uma empresa é atingida.

Começamos com nosso velho amigo e companheiro de todas as horas, o e-mail. As pessoas estão acostumadas a receber mensagens de spam. Os tipos mais idiotas ainda circulam (por ex., você ganhou um milhão de dólares na loteria, ou um descendente monarca estrangeiro quer compartilhar sua riqueza com você). As tentativas mais inteligentes se apresentam como uma mensagem do seu banco, informando sobre algum problema inexistente com a sua conta, o governo tentando receber ou devolver dinheiro de impostos, ou informações sobre uma encomenda importante esperando por você. Outros e-mails de spam são mais assustadores, como uma mensagem urgente do seu chefe exigindo uma informação ou um pagamento relacionado a um projeto supersecreto no qual ele está trabalhando.

Chamamos estas últimas tentativas direcionadas de spear phishing (este setor está sempre criando novos nomes). O e-mail de spear phishing contém todos os nomes certos e todos os detalhes corretos para torná-los convincentes. Os profissionais de TI podem facilmente detectar os erros nesses e-mails, como erros de ortografia, gramática ruim ou logotipo desatualizado, e acabam rindo dessas tentativas. Mas uma empresa não é composta exclusivamente por profissionais de TI. Na verdade, mesmo uma empresa de TI profissional precisa de ajuda para viabilizar seus negócios. Nas empresas em geral, se você contratar centenas, milhares ou dezenas de milhares de funcionários, há sempre uma pessoa, seja um terceirizado, um estagiário, um amigo sobrecarregado na mesa ao lado da sua, um executivo que você nunca esperaria cair nesse tipo de golpe, ou às vezes você mesmo, que clicará nesse link ou anexo infectado.

Assim que clicar nesse link, o efeito não poderá ser revertido. E então começa o pesadelo.

O malware lançado imediatamente começa a busca por dados valiosos e vulneráveis. Ele também vai fundo no seu sistema de arquivos procurando por computadores conectados na mesma rede que pode infectar. Logo depois, começa a criptografia de dados e unidades, e então iniciam as chantagens. Para ter seus dados de volta, o departamento de finanças da empresa terá que comprar bitcoins (depois de pesquisar o que são bitcoins e como comprá-los) para ver se os dados mantidos como refém serão liberados. Mas isso raramente para por aí. Outras situações acontecerão que amarrarão sua empresa aos criminosos por dias, semanas ou meses. Então, surge a manchete do jornal, e todos sabem o que acontece depois porque lemos sobre isso todos os dias.

Este processo, ou algo parecido com isso, acontece todos os dias há anos, apesar dos bilhões de dólares gastos com equipamentos NGFW. Por quê?

Bem, uma razão pode ser que o pessoal interno é responsável por 60% de todos os ataques. Destes, três quartos são intencionalmente maliciosos e o restante não é malicioso. Mas o ponto é que todos acontecem no lado errado do firewall.

É por isso que sistemas de defesa efetivos precisam de uma abordagem baseada em fabric que contenha os seguintes elementos:

1. Um sistema eficaz de filtro de malware em spam recebido por e-mail (como o FortiMail ou FML na nuvem)
2. Treinamento de conscientização do usuário
3. Criação de uma rede interna segmentada
4. Um bom backup de dados
5. Saber o que, com quem e por que está compartilhando tais dados
6. Compreender o seu sistema host e suas vulnerabilidades
7. Criação de um SOC (centro de operações de segurança) coordenado
8. Estabelecer um bom comando e sistema de controle

A segurança exige muito mais do que um firewall com capacidade de bloquear jogos do Facebook. A proteção precisa fornecer uma abordagem holística e integrada de segurança que cubra toda a sua rede. Não me interprete mal. Um dispositivo NGFW tem um papel importante na estratégia de segurança, mas não é o suficiente. É por isso que fornecemos muito mais que equipamentos e plataformas de NGFW. E como fornecemos o serviço completo com segurança de classe corporativa, reconhecemos facilmente quando um circo chega à cidade.

(*) Michael Xie é fundador, presidente e CTO da Fortinet

Estudo 2017 Midyear Cybersecurity Report revela que a escala e o impacto das ameaças cibernéticas continuarão crescendo

A Cisco acaba de divulgar a edição 2017 do Midyear Cybersecurity Report, que revela a cada vez mais rápida e estruturada evolução das ameaças, com a previsão de um crescente potencial de ataques de “destruição de serviço” (DeOS), capazes de eliminar os backups e redes de segurança das empresas. Justamente, os meios necessários responsáveis por restaurar os sistemas e dados após um ataque cibernético.

Casos recentes de ciberataques como o WannaCry e o Nyetya, definidos pela Cisco com ataques DeOS, são exeplos da rápida disseminação e o grande impacto que esses incidentes podem causar.

O estudo analisa os métodos de inteligência de ameaças mais recentes coletados pela Cisco Collective Security Intelligence.  Para esta edição,  um grupo diversificado de 10 parceiros de tecnologia de segurança foi convidado a compartilhar dados. Entre eles estão Anomali, Flashpoint, Lumeta, Qualys, Radware, Rapid7, RSA, SAINT Corporation, ThreatConnect e TrapX.

O que está em alta?
De acordo com os resultados, houve um crescimento no volume de malwares durante o primeiro semestre de 2017, com mudanças na forma como os criminosos estão adaptando suas técnicas. A Cisco percebeu um aumento na quantidade de vítimas ativadas por meio de abertura de links ou arquivos suspeitos. Os hackers estão desenvolvendo malwares que não necessitam a gravação de arquivos na memória do dispositivo e são mais difíceis de detectar ou rastrear, pois são eliminados logo que o dispositivo é reiniciado. muitos usam serviços como o Tor para camuflar as atividades de comando e controle.

E embora o estudo tenha identificado um considerável declínio nos kits de exploração, outros ataques tradicionais estão ressurigindo. Vejamos:

• Os volumes de spam estão aumentando significativamente, pois os criminosos se dedicam a outros métodos testados, como e-mail, para distribuir malwares e gerar receita. Os pesquisadores de ameaça da Cisco antecipam ainda que o volume de spam com anexos maliciosos continuará aumentando enquanto que o cenário do kit de exploração continua em declínio;

• Spyware e adware, que muitas vezes não são considerados pelos profissionais de segurança, por serem mais incômodos do que de fato prejudiciais, são formas de malware que persistem e trazem riscos para as empresas. A pesquisa da Cisco avaliou 300 companhias ao longo de um período de quatro meses e descobriu que três famílias de spyware prevalentes infectaram 20% da amostra. Em um ambiente corporativo, o spyware pode roubar informações de usuários e empresas, enfraquecer a conduta de segurança de dispositivos e aumentar os casos de malware;

• Evoluções no ransomware, como o crescimento do Ransomware-as-a-Service, acabam facilitando para os criminosos a realização desses ataques, independentemente do conjunto de habilidades. A Ransomware vem chamando a atenção da mídia e, segundo divulgações na imprensa, gerou mais de US$ 1 bilhão em 2016 de prejuizo no mundo, mas isso pode ser direto para algumas organizações, que enfrentam uma ameaça ainda maior e pouco difundida. O comprometimento de e-mail corporativo (BEC), um ataque em que um e-mail é projetado para enganar as empresas e transferir dinheiro para criminosos, está se tornando altamente lucrativo. Entre outubro de 2013 e dezembro de 2016, US$ 5,3 bilhões foram roubados via BEC, de acordo com o Internet Crime Complaint Center.

“Os criminosos estão se tornando cada vez mais criativos na maneira como estruturam seus ataques. Com isso, empresas de todos os setores estão em uma corrida constante contra os cibercriminosos. A garantia da segurança começa com o fechamento das brechas mais óbvias e se torna uma prioridade comercial, como parte essencial do processo”, explica Ghassan Dreibi, Gerente de Desenvolvimento de Negócios de Segurança para LatAm, da Cisco.

Diferentes indústria enfrentam desafios comuns
À medida que os criminosos continuam aumentando a sofisticação e a intensidade dos ataques, as empresas de diferentes setores são desafiadas a manter os requisitos fundamentais de segurança cibernética. Quanto mais a Tecnologia da Informação e a Tecnologia Operacional convergem rumo à Internet das Coisas, as companhias têm que lidar com maior visibilidade e complexidade. Como parte do estudo de benchmark de capacidades de segurança, a Cisco entrevistou cerca de 3.000 líderes de segurança em 13 países e descobriu que, em todas as indústrias, as equipes de segurança estão cada vez mais subjugadas pelo volume de ataques. Isso leva muitas empresas a se tornarem mais reativas para se manterem protegidas.

• Mais de dois terços das companhias estão investigando alertas de segurança. Em certas indústrias (como saúde e transporte) esse índice é próximo de 50%;

• Mesmo nas indústrias mais responsivas (como finanças e saúde), as empresas estão mitigando menos de 50% dos ataques que sabem serem legítimos;

• As violações são uma forma de chamar a atenção dessas empresas. Em todas as indústrias, tais ataques conduziram para modestas melhorias de segurança em pelo menos 90% das organizações. Algumas indústrias (como do setor de transporte) que são menos sensíveis, a taxa de melhoria cai para 80%.

• Setor público – De todas as ameaças investigadas, 32% são identificadas como ameaças legítimas, mas apenas 47% são eventualmente remediadas;

• Varejo – 32% dos entrevistados do setor disseram que perderam receita devido a ataques no ano passado com cerca de um quarto de clientes perdedores ou oportunidades de negócios;

• Fabricação – 40% dos profissionais de segurança de manufatura disseram que não possuem uma estratégia formal de segurança, nem seguem práticas padronizadas de política de segurança da informação, como ISO 27001 ou NIST 800-53;

• Utilidades - Os profissionais de segurança disseram que ataques direcionados (42%) e ameaças persistentes avançadas, ou APTs (40%), foram os riscos de segurança mais críticos para suas empresas e,

• Saúde – 37% das empresas de saúde disseram que ataques direcionados são riscos de alta segurança para suas organizações.

Conselhos para as empresas
Para combater os ataques cada vez mais sofisticados, as empresas devem assumir uma posição proativa em seus esforços de proteção. Com isso a Cisco Security recomenda:

• Manter a infraestrutura e as aplicações atualizadas, para que os invasores não possam explorar fraquezas conhecidas publicamente;

• Combater a complexidade por meio de uma defesa integrada;

• Envolver a liderança executiva desde o início do processo para garantir visibilidade completa dos riscos, resultados e restrições orçamentárias;

• Estabelecer métricas claras e usá-las para validar e melhorar as práticas de segurança;

• Avaliar o grau de conhecimento de segurança dos funcionários com treinamento baseado em função ao invés de padronizado e,

• Definir a defesa com uma resposta ativa. Não ativar o "configure e esqueça", controles ou processos de segurança.

Para o MCR de 2017, um grupo diversificado de 10 parceiros de tecnologia de segurança foi convidado a compartilhar dados, os quais em conjunto, concluem o cenário de ameaça. Os parceiros que contribuíram para o relatório incluem Anomali, Flashpoint, Lumeta, Qualys, Radware, Rapid7, RSA, SAINT Corporation, ThreatConnect e TrapX. O ecossistema de parceiros de tecnologia de segurança da Cisco é um componente chave da visão da empresa para trazer uma segurança simples, aberta e automatizada para os clientes.