Cibersegurança: novas tecnologias, novas vulnerabilidades

“Acho que a tecnologia continua vulnerável. Então vai haver tecnologia nova. Vai haver vulnerabilidades novas. Vai haver exploits novos e, certamente, vai haver malware que aproveita esses exploits”, destacou há alguns dias Rohit Ghai, CEO da RSA, na “RSA Conference 2022”, em São Francisco.

“Vivemos num mundo hiperconectado, em que o físico e o digital agora são indistinguíveis… Como é que vamos acompanhar essa torrente de disrupções globais? Bom, a disrupção é uma professora dura, mas justa, na escola darwiniana da sobrevivência”, delineou ele.

Rohit perguntou e respondeu: “Num mundo apaixonado por mudança, por que deveríamos nos importar com as constantes? Bom, as constantes são a base do progresso científico. Se a disrupção é uma professora dura, as constantes são aquele bom amigo a quem você sempre pode recorrer em busca de ajuda. As constantes nos dão uma plataforma para construir soluções.”

A cibersegurança é considerada um dos “riscos que mais pioraram desde o início da pandemia”, segundo o Global Risks Report 2022 do Fórum Econômico Mundial. Segundo o relatório, em 2020, os ataques de malware e de ransomware aumentaram 358% e 435%, respectivamente.

“Ransomware as a service” permite que até criminosos sem perfil técnico executem ataques, uma tendência que pode se intensificar com a chegada de malware movido a inteligência artificial (IA).”

Uma pandemia sem precedentes, uma guerra trágica… Hoje vemos como marcos históricos diferentes, combinados com avanços incessantes em tecnologias, estão deixando marcas profundas. E, com elas, surgem no mundo todo novas formas de violar a segurança digital, forçando um repensar da cibersegurança.

Das empresas de tecnologia mais avançadas aos governos dos países mais desenvolvidos. De instituições financeiras a indivíduos, escolas e hospitais. Ninguém está isento de ser vítima de ataques cibernéticos. A cada segundo estamos vulneráveis a novas formas de ataques maliciosos, com efeitos na nossa vida diária, na economia e na segurança.

Na Abstracta, estamos convencidos de que testar com foco em qualidade de software é crucial no caminho da transformação digital, acelerada pelas disrupções em que Rohit Ghai focou na conferência da RSA. O teste deve ser uma constante no ciclo de vida de todo software, como parte da prevenção e da cocriação de software seguro e de qualidade.

Com tudo isso em mente, entrevistamos, por um lado, Gustavo Betarte, CTO da Tilsor, empresa parceira da Abstracta especializada em cibersegurança; e, por outro, Roger Abelenda, CTO da Abstracta.

– Como é a aplicação de normas em relação à cibersegurança numa sociedade globalizada?¶

Gustavo: É muito difícil. A lei exige definir a lei aplicável e a jurisdição, e muitas vezes não é a do país onde a infração é cometida. Ou é, mas o autor não está no território. Tratados entre Estados e a cooperação internacional são a solução conhecida até agora.

– Como o cibercrime pode ser prevenido a partir da cibersegurança?¶

Gustavo: Não é possível prevenir todo cibercrime. Primeiro, é necessário identificar o tipo de cibercrime ao qual o sistema a proteger pode estar exposto. Isso varia de sistema para sistema. Há várias técnicas e procedimentos de prevenção: autenticação, controle de acesso, criptografia de comunicações e compartimentação, entre outros. Por outro lado, a definição, a aplicação e o controle de políticas organizacionais de segurança são um complemento importante às estritamente técnicas.

Roger: O principal é estar consciente da gravidade e do risco e, a partir daí, definir e implementar de fato políticas e mecanismos adequados para reduzir o impacto de ataques de computador. Algo crucial nesse aspecto é fazer isso de um jeito adequado à empresa em que se aplicam e encontrar um equilíbrio entre segurança (com o risco associado) e praticidade/eficiência do trabalho. Um exemplo típico são as políticas de segurança implementadas em bancos, em contraste com as necessárias na nossa casa ou numa empresa pequena, com pouco impacto e pouca atratividade para atacantes.

– Como um incidente é gerido depois que ocorre?¶

Gustavo: O processo de gestão de incidentes compreende várias etapas, cada uma com os seus próprios problemas e dificuldades. Para ser bem esquemático e conciso: etapa de primeira resposta, etapa de contenção, etapa de análise e etapa de remediação.

Roger: A primeira coisa é sempre interromper o incidente, bloquear o ataque. Depois, avaliar o dano causado, identificando se novos pontos de ataque podem ter sido abertos; comunicar o impacto do ataque para ser transparente com os stakeholders (clientes, empresas parceiras etc.); e implementar medidas para prevenir ataques futuros parecidos, ou outros que tenham sido detectados. Esses esforços não precisam necessariamente ser sequenciais. Podem ser feitos em paralelo, isto é, ser transparente com os nossos clientes sobre o que está acontecendo e mantê-los informados enquanto se resolve.

– Qual papel o teste de software tem nisso tudo?¶

Gustavo: O teste de software, e em particular aquele voltado a verificar a correção do ponto de vista de segurança, é um mecanismo preventivo.

Roger: É fundamental, ao desenvolver software, levar em conta boas práticas para evitar ataques e práticas conhecidas que tornam o software vulnerável. Isso exige alinhamento e responsabilidade compartilhada de todos os envolvidos no desenvolvimento de software: desenvolvedores, testadores, product owners e gerentes de projeto, sysadmins etc. O teste de software, em particular, é fundamental como forma de ter controle adicional sobre o que é implementado, seja com teste exploratório, teste automatizado de forma manual ou com o uso de ferramentas de varredura de vulnerabilidades e/ou análise estática de código.

– O que é pentesting e por que é relevante?¶

Gustavo: Enquanto uma análise de vulnerabilidades busca identificar a presença de vulnerabilidades conhecidas e já reportadas, por exemplo ao escanear rápido uma faixa de endereços IP, o teste de penetração vai um passo além e tenta demonstrar como essas vulnerabilidades podem ser exploradas por um atacante potencial para prejudicar a empresa ou a organização em que o sistema analisado está rodando.

Nesse tipo de avaliação, o analista emula a atividade própria de um atacante, buscando identificar formas e métodos para violar a segurança do sistema em análise. Para isso, usam-se ferramentas automáticas, mas também se faz trabalho artesanal. Além das ferramentas de detecção, usam-se ferramentas de exploração. E, se necessário, desenvolvem-se plugins e/ou ferramentas a usar em cada caso particular.

Roger: Pentesting, também conhecido como teste de penetração, trata de acessar um sistema e obter permissões além das esperadas e permitidas. A prática em si tenta detectar pontos potenciais de ataque e, então, identificar como remediá-los. É como ter um “hacker” pessoal que identifica os buracos para que você possa, então, tapá-los. Em resumo, o pentesting é relevante como medida preventiva.

– Por que a prevenção é importante na cibersegurança?¶

Gustavo: Porque nos permite antecipar e nos preparar para tipos possíveis de ataques. Porém, a prevenção sozinha não basta. Precisa ser complementada com mecanismos de detecção e de reação. Não é possível obter um alto grau de segurança num sistema usando só mecanismos preventivos. Por quê? Entre outros motivos, isso significaria que você conhece e sabe lidar com todas as vulnerabilidades do sistema que tenta proteger.

Roger: O principal problema da segurança e de todas as medidas preventivas é que, até sermos atacados, não percebemos o impacto real que um ataque, e não ter as medidas adequadas, pode ter. Um ataque de computador pode levar empresas a perder clientes por perda de confiança, levar a processos judiciais, levar a que clientes/pessoas sejam atacados diretamente por vazamento de dados e, o mais importante, levar muitas pessoas a perder o emprego e viver momentos muito estressantes e difíceis. Uma política de prevenção adequada nos permite dormir mais tranquilos e realizar as nossas atividades diárias de forma ótima, sem interferências maiores. É muito importante que as empresas invistam ativamente neste tipo de medida, e também que, no desenvolvimento e no teste de software, sempre levemos em conta esses aspectos e as boas práticas a respeito.

– Quais são as características principais de uma boa estratégia de cibersegurança?¶

Roger: É prioridade ter um protocolo para ataques potenciais previstos, incluindo atores intervenientes, escalação do incidente e timing. Além disso, é sempre necessário ter um plano de backup para situações imprevistas. Como em qualquer plano, se você já tem um, pode executá-lo rápido e evitar pontos cegos. A alternativa é improvisar na hora e sob pressão, o que pode levar a problemas potencialmente maiores do que o próprio ataque. Acredito que a característica principal de uma boa estratégia de cibersegurança é priorizar o fator humano, porque as tecnologias são desenvolvidas e configuradas por seres humanos. Então, além de testes e de outras formas de prevenção, é muito importante focar nas pessoas, trabalhar com elas para informá-las e mantê-las comprometidas com a segurança.

Você está em busca de um parceiro de teste de software? A Abstracta é uma das empresas mais confiáveis em engenharia de qualidade de software. Este ano, estamos em 1º lugar entre as melhores empresas de teste de software, segundo a Clutch.