Segurança da Informação

Estudo 2017 Midyear Cybersecurity Report revela que a escala e o impacto das ameaças cibernéticas continuarão crescendo

A Cisco acaba de divulgar a edição 2017 do Midyear Cybersecurity Report, que revela a cada vez mais rápida e estruturada evolução das ameaças, com a previsão de um crescente potencial de ataques de “destruição de serviço” (DeOS), capazes de eliminar os backups e redes de segurança das empresas. Justamente, os meios necessários responsáveis por restaurar os sistemas e dados após um ataque cibernético.

Casos recentes de ciberataques como o WannaCry e o Nyetya, definidos pela Cisco com ataques DeOS, são exeplos da rápida disseminação e o grande impacto que esses incidentes podem causar.

O estudo analisa os métodos de inteligência de ameaças mais recentes coletados pela Cisco Collective Security Intelligence.  Para esta edição,  um grupo diversificado de 10 parceiros de tecnologia de segurança foi convidado a compartilhar dados. Entre eles estão Anomali, Flashpoint, Lumeta, Qualys, Radware, Rapid7, RSA, SAINT Corporation, ThreatConnect e TrapX.

O que está em alta?
De acordo com os resultados, houve um crescimento no volume de malwares durante o primeiro semestre de 2017, com mudanças na forma como os criminosos estão adaptando suas técnicas. A Cisco percebeu um aumento na quantidade de vítimas ativadas por meio de abertura de links ou arquivos suspeitos. Os hackers estão desenvolvendo malwares que não necessitam a gravação de arquivos na memória do dispositivo e são mais difíceis de detectar ou rastrear, pois são eliminados logo que o dispositivo é reiniciado. muitos usam serviços como o Tor para camuflar as atividades de comando e controle.

E embora o estudo tenha identificado um considerável declínio nos kits de exploração, outros ataques tradicionais estão ressurigindo. Vejamos:

• Os volumes de spam estão aumentando significativamente, pois os criminosos se dedicam a outros métodos testados, como e-mail, para distribuir malwares e gerar receita. Os pesquisadores de ameaça da Cisco antecipam ainda que o volume de spam com anexos maliciosos continuará aumentando enquanto que o cenário do kit de exploração continua em declínio;

• Spyware e adware, que muitas vezes não são considerados pelos profissionais de segurança, por serem mais incômodos do que de fato prejudiciais, são formas de malware que persistem e trazem riscos para as empresas. A pesquisa da Cisco avaliou 300 companhias ao longo de um período de quatro meses e descobriu que três famílias de spyware prevalentes infectaram 20% da amostra. Em um ambiente corporativo, o spyware pode roubar informações de usuários e empresas, enfraquecer a conduta de segurança de dispositivos e aumentar os casos de malware;

• Evoluções no ransomware, como o crescimento do Ransomware-as-a-Service, acabam facilitando para os criminosos a realização desses ataques, independentemente do conjunto de habilidades. A Ransomware vem chamando a atenção da mídia e, segundo divulgações na imprensa, gerou mais de US$ 1 bilhão em 2016 de prejuizo no mundo, mas isso pode ser direto para algumas organizações, que enfrentam uma ameaça ainda maior e pouco difundida. O comprometimento de e-mail corporativo (BEC), um ataque em que um e-mail é projetado para enganar as empresas e transferir dinheiro para criminosos, está se tornando altamente lucrativo. Entre outubro de 2013 e dezembro de 2016, US$ 5,3 bilhões foram roubados via BEC, de acordo com o Internet Crime Complaint Center.

“Os criminosos estão se tornando cada vez mais criativos na maneira como estruturam seus ataques. Com isso, empresas de todos os setores estão em uma corrida constante contra os cibercriminosos. A garantia da segurança começa com o fechamento das brechas mais óbvias e se torna uma prioridade comercial, como parte essencial do processo”, explica Ghassan Dreibi, Gerente de Desenvolvimento de Negócios de Segurança para LatAm, da Cisco.

Diferentes indústria enfrentam desafios comuns
À medida que os criminosos continuam aumentando a sofisticação e a intensidade dos ataques, as empresas de diferentes setores são desafiadas a manter os requisitos fundamentais de segurança cibernética. Quanto mais a Tecnologia da Informação e a Tecnologia Operacional convergem rumo à Internet das Coisas, as companhias têm que lidar com maior visibilidade e complexidade. Como parte do estudo de benchmark de capacidades de segurança, a Cisco entrevistou cerca de 3.000 líderes de segurança em 13 países e descobriu que, em todas as indústrias, as equipes de segurança estão cada vez mais subjugadas pelo volume de ataques. Isso leva muitas empresas a se tornarem mais reativas para se manterem protegidas.

• Mais de dois terços das companhias estão investigando alertas de segurança. Em certas indústrias (como saúde e transporte) esse índice é próximo de 50%;

• Mesmo nas indústrias mais responsivas (como finanças e saúde), as empresas estão mitigando menos de 50% dos ataques que sabem serem legítimos;

• As violações são uma forma de chamar a atenção dessas empresas. Em todas as indústrias, tais ataques conduziram para modestas melhorias de segurança em pelo menos 90% das organizações. Algumas indústrias (como do setor de transporte) que são menos sensíveis, a taxa de melhoria cai para 80%.

• Setor público – De todas as ameaças investigadas, 32% são identificadas como ameaças legítimas, mas apenas 47% são eventualmente remediadas;

• Varejo – 32% dos entrevistados do setor disseram que perderam receita devido a ataques no ano passado com cerca de um quarto de clientes perdedores ou oportunidades de negócios;

• Fabricação – 40% dos profissionais de segurança de manufatura disseram que não possuem uma estratégia formal de segurança, nem seguem práticas padronizadas de política de segurança da informação, como ISO 27001 ou NIST 800-53;

• Utilidades - Os profissionais de segurança disseram que ataques direcionados (42%) e ameaças persistentes avançadas, ou APTs (40%), foram os riscos de segurança mais críticos para suas empresas e,

• Saúde – 37% das empresas de saúde disseram que ataques direcionados são riscos de alta segurança para suas organizações.

Conselhos para as empresas
Para combater os ataques cada vez mais sofisticados, as empresas devem assumir uma posição proativa em seus esforços de proteção. Com isso a Cisco Security recomenda:

• Manter a infraestrutura e as aplicações atualizadas, para que os invasores não possam explorar fraquezas conhecidas publicamente;

• Combater a complexidade por meio de uma defesa integrada;

• Envolver a liderança executiva desde o início do processo para garantir visibilidade completa dos riscos, resultados e restrições orçamentárias;

• Estabelecer métricas claras e usá-las para validar e melhorar as práticas de segurança;

• Avaliar o grau de conhecimento de segurança dos funcionários com treinamento baseado em função ao invés de padronizado e,

• Definir a defesa com uma resposta ativa. Não ativar o "configure e esqueça", controles ou processos de segurança.

Para o MCR de 2017, um grupo diversificado de 10 parceiros de tecnologia de segurança foi convidado a compartilhar dados, os quais em conjunto, concluem o cenário de ameaça. Os parceiros que contribuíram para o relatório incluem Anomali, Flashpoint, Lumeta, Qualys, Radware, Rapid7, RSA, SAINT Corporation, ThreatConnect e TrapX. O ecossistema de parceiros de tecnologia de segurança da Cisco é um componente chave da visão da empresa para trazer uma segurança simples, aberta e automatizada para os clientes.

Vale a pena compreender melhor de que forma as hacking botnets atuam para corroer a integridade da rede e das aplicações

Há alguns dias a CVM (Comissão de Valores Mobiliários) divulgou um alerta sobre o possível uso de robôs para manipular o preço de algumas ações. Legiões de software robôs disparados por pessoas mal-intencionadas estariam influenciando artificialmente a liquidez de ativos negociados em portais Web de grandes corretoras de valores. O objetivo dos criminosos digitais é valorizar os ativos, aumentando a cotação de ações que, sem o uso de robôs, estariam em patamares mais baixos.

Essa operação tem nome: spoofing e layering.

Ao longo do ano passado, uma das maiores empresas de serviços financeiros do Brasil percebeu que robôs estavam invadindo seu portal Web para fazer solicitações de propostas. Neste caso, o robô é uma aplicação desenvolvida para pesquisar os preços dos serviços desta empresa. A missão desses robôs é se comportarem como clientes legítimos desta corporação e, a partir daí, ter acesso a dados confidenciais.

Embora faltem estatísticas sobre esse tema, é tangível a percepção de que cresce a cada dia a percentagem de tráfego na Internet feita por robôs, e não por pessoas.

Além do risco à segurança dos negócios e do ambiente de tecnologia, essas visitas indesejáveis consomem recursos digitais que não foram dimensionados para atender clientes ou prospects que, na prática, não existem.

Casos como os das corretoras de valores e da empresa de serviços financeiros são apenas a ponta do iceberg de uma tendência global que preocupa os CISOs e suas equipes. 

O mundo já está ciente, também, do papel das redes de robôs (botnets) na realização de ataques que derrubam os grandes portais da Internet. Conhecidos como ataques DDoS (Distributed Denial of Service), essa modalidade consiste em disparar automaticamente milhares ou milhões de acessos simultâneos a um endereço da Web. Os servidores responsáveis por manter este sistema no ar não conseguem atender a tamanha demanda. O resultado é a imobilização da Internet.

Um dos maiores ataques da história da Internet aconteceu em outubro de 2016 – a origem de tudo foi uma rede de robôs: a rede Mirai. Mirai é um programa robô que rastreia continuamente a Internet em busca de dispositivos IoT (Internet das Coisas) e os ataca. Quando tem sucesso, a botnet Mirai transforma inocentes dispositivos IoT – roteadores domésticos, receptores de TV a cabo, babás eletrônicas, etc. – em robôs comandados por seus senhores, os hackers. Esses ataques atingiram marcas recordes: 620 Gbps e 1 Tbps.

Mas os efeitos das redes de robôs vão muito além dos ataques DDoS.

Os hackers usam seus escravos digitais para transformar o dispositivo sendo atacado (servidores, roteadores, PCs, smartphones, todo tipo de device IoT) numa infraestrutura paralela de processamento. Essa preciosa infraestrutura será usada para transmitir SPAM, realizar o processamento pesado necessário para “quebrar” senhas ou chaves de encriptação ou, então, ser a base de uma miríade de ataques de Phishing. Para piorar o quadro, a conversão de dispositivos digitais em robôs é uma operação sutil, que muitas vezes passa desapercebida para o usuário. Ou seja: é possível que a rede seja da corporação ou da pessoa das 9:00 às 18:00 horas e dos hackers das 18:00 às 9:00 horas.

Qualquer que seja o plano específico do hacker que comanda a botnet, o alvo é sempre o mesmo: as aplicações de negócios que estão por trás dos portais Web das empresas. Estamos falando de sistemas críticos como Internet Banking, a aplicação B2C (business to consumer) que suporta a compra e venda de eletrodomésticos em um portal de e-commerce, ou a plataforma que processa os pagamentos dos direitos sociais de empregados domésticos.

Mais do que criar caos, é o acesso a dados e aplicações essenciais para a continuidade da vida que constitui o verdadeiro objetivo da guerra digital.

A criticidade dessas aplicações Web é tal que é comum que a botnet seja o instrumento pelo qual o hacker constrangerá o gestor da empresa atacada a pagar um ransomware. Hoje assistimos, também, a ataques de conotação política ou ideológica em que a meta é derrubar o portal Web da empresa, instituição ou governo que se deseja destruir. 

É importante aceitar o fato de que, na era da Transformação Digital, as organizações estão adotando tecnologias que possibilitam a automação. O crescente interesse pelos robôs está ligado a esta realidade. A Federação Internacional de Robótica informa que, em 2016, 179.000 robôs físicos foram vendidos no mundo. Fica claro que não há como retornar ao passado e ignorar o uso de robôs, sejam equipamentos, sejam software. Segundo o instituto de pesquisas IDC, os gastos com robôs chegarão a US$ 188 bilhões até 2020. Trata-se, portanto, de um caminho sem volta.

Por essa razão, vale a pena compreender melhor de que forma as hacking botnets atuam para corroer a integridade das aplicações que estão por trás dos grandes portais da Internet: 

Spammers - Spam bots entulham sites com lixo para desencorajar visitas legítimas, transformar os sites alvos em link farms e apresentar a visitantes desavisados armadilhas contendo links para malware/phishing.

O que está em risco: Não proteger o site contra spammers pode fazer com que o website entre nas listas negras, destruindo a credibilidade da presença online da empresa.

Hacking - Bots de hacking atuam sobre cartões de crédito e outras informações pessoais, injetando ou distribuindo malware para assumir o controle de um site ou servidor. Bots hackers também tentam desfigurar sites e eliminar conteúdo crítico.

O que está em risco: Se o site for vítima de um hacking bot, os clientes se sentirão vulneráveis, correndo o risco de ter seus dados expostos em praça pública (episódio Ashley Madison). As pessoas vão parar de realizar transações de e-commerce com a empresa que é alvo dos robôs hackers.

Click Frauders - Os bots do tipo “click fraud” tornam os anúncios de web advertising baseados na métrica PPC (pay-per-click) sem sentido. Os robôs “clicam” nos anúncios tantas vezes que isso leva a agência de publicidade a gastar ainda mais com web advertising. Mas, infelizmente, a oferta publicada no portal Web não está sendo vista por pessoas de verdade.

O que está em risco: Os bots de click fraud desperdiçam orçamentos de web advertising com clicks sem significado e, por inundar o portal Web, chegam a dificultar o acesso de clientes de verdade às ofertas sendo expostas.

Combater a ação de robôs malignos, principalmente aqueles que tentam simular o comportamento de um ser humano, é uma missão que exige engenhosidade, trabalho árduo e uma profunda compreensão do comportamento da aplicação. Deixada sem proteção, a aplicação Web poderá ser enganada e tratar esse falso e perigoso usuário – o robô – como se fosse um cliente ou funcionário legítimo, com acesso pleno ao sistema, ao negócio.

(*) Rita D’Andrea é country manager da F5 Brasil